ISO 27001: seguridad de la información con la evidencia que piden NIS2 y el RGPD
ISO/IEC 27001:2022 — Information security management systems · Atualizado : septiembre de 2026
ISO/IEC 27001:2022 especifica el sistema de gestión de seguridad de la información: análisis de riesgos, declaración de aplicabilidad sobre los 93 controles del Anexo A, gestión de incidentes, continuidad y mejora continua. Es el marco con el que se acreditan las medidas que exigen el RGPD y la Directiva NIS2.
A quem se aplica
A cualquier organización que trate información sensible o preste servicios digitales. Es obligatoria de hecho para proveedores de entidades esenciales e importantes bajo NIS2, que trasladan la exigencia por contrato a su cadena de suministro.
Uma norma, as leis de cada país
O sistema de gestão é um só. O que muda em cada jurisdição é a lei que o exige e o que está em jogo se falhar.
| País | Norma que o exige | O que exige |
|---|---|---|
| 🇪🇺União Europeia | Directiva (UE) 2022/2555 (NIS2) | Gestión de riesgos, notificación de incidentes en 24 y 72 horas, y seguridad de la cadena de suministro. |
| 🇪🇺União Europeia | RGPD, art. 32 | Medidas técnicas y organizativas apropiadas al riesgo. |
| 🇨🇱Chile | Ley 21.663 (Marco de Ciberseguridad) | Deberes de gestión de incidentes y reporte a la ANCI. |
| 🇧🇷Brasil | LGPD (Lei 13.709/2018) | Medidas de seguridad y comunicación de incidentes a la ANPD. |
Certificar-se não cumpre a lei: a certificação atesta um sistema de gestão, e a autoridade avalia a evidência de que ele funcionava. O que a norma poupa é ter um sistema por país.
O que a norma exige
Como o DSA Compliance resolve
- Declaración de aplicabilidad como catálogo de requisitos con su justificación, no como hoja de cálculo suelta.
- Incidentes con plazos vigilados: las 24 y 72 horas de NIS2 no dependen de que alguien se acuerde.
- Seguridad de la cadena: los requisitos de seguridad como bloqueantes en la homologación del proveedor.
- Evidencia de cada control, con responsable y periodicidad.
Perguntas frequentes
¿ISO 27001 cumple NIS2?
No la cumple por sí sola, pero cubre buena parte del terreno: la gestión de riesgos, los controles y la respuesta a incidentes se solapan. Lo que NIS2 añade y hay que resolver aparte son los plazos de notificación y la responsabilidad expresa del órgano de dirección.
¿Qué cambió en la versión de 2022?
El Anexo A se reorganizó de 114 a 93 controles en cuatro temas —organizativos, personas, físicos y tecnológicos— y se incorporaron once controles nuevos, entre ellos inteligencia de amenazas y seguridad en servicios en la nube.