ReCyF, NIS2, ISO 27001: la tabla de correspondencia

Los 20 objetivos del ReCyF de la ANSSI cubren las diez medidas del artículo 21 de la directiva NIS2, y la mayoría tienen un equivalente en el Anexo A de la ISO/IEC 27001:2022. Una sola evaluación bien llevada alimenta, por tanto, las tres lecturas. La tabla siguiente ofrece esas correspondencias objetivo por objetivo; después se explica dónde se detienen, porque una correspondencia nunca es una equivalencia.

¿Por qué una tabla de correspondencia, y qué no dice?#

Un MSP que atiende a varios clientes oye los tres nombres en la misma semana: un cliente entra en el ámbito de NIS2, otro prepara una certificación ISO 27001, un tercero ha recibido un cuestionario que cita el ReCyF. Rehacer tres evaluaciones para tres textos que hablan en gran medida de las mismas medidas no tiene sentido.

Pero hay que ser preciso sobre lo que una correspondencia autoriza. Un objetivo ReCyF «se corresponde» con un control ISO cuando ambos tratan el mismo asunto y una misma prueba puede servir a los dos. Eso no significa que alcanzar uno equivalga a alcanzar el otro: los niveles de exigencia, el alcance y la manera de verificar difieren. Las correspondencias con la ISO 27001 que figuran abajo proceden del comparador de la ANSSI; la lectura del artículo 21 y los consejos son nuestros.

¿Qué dicen los tres textos, en una frase cada uno?#

• La directiva NIS2 fija la obligación. Su artículo 21 enumera diez familias de medidas, señaladas de la (a) a la (j); el artículo 20 compromete la responsabilidad de los administradores, y el artículo 23 organiza la notificación de los incidentes.
• El ReCyF v2.5 de la ANSSI traduce esas obligaciones en 20 objetivos de seguridad, de los cuales 15 se aplican a las entidades importantes y los 20 a las entidades esenciales. Es un documento de trabajo, sin versión definitiva antes del final de la transposición.
• La ISO/IEC 27001:2022 es una norma de certificación voluntaria: un sistema de gestión de la seguridad (cláusulas 4 a 10) y 93 controles en el Anexo A.

La tabla, objetivo por objetivo#

La columna NIS2 es nuestra lectura del artículo 21, apartado 2: las letras remiten a sus puntos. Las dos columnas siguientes recogen el comparador publicado por la ANSSI en MesServicesCyber, que relaciona cada uno de los 152 requisitos del ReCyF con las normas ISO 2700x; nosotros hemos agrupado sus correspondencias por objetivo. El nivel resume lo que la ANSSI concluye para los requisitos del objetivo: «fuerte» cuando al menos el 60 % de ellos presentan una correspondencia elevada, «débil» cuando al menos la mitad se consideran débiles, «parcial» en los demás casos. Datos consultados el 29 de septiembre de 2026.

(EE): objetivo reservado a las entidades esenciales. Para una entidad importante, la evaluación recae sobre los otros quince — el test de las tres preguntas dice en qué categoría cae un cliente.

La ANSSI vincula además nueve objetivos a las cláusulas de la norma dedicadas a la apreciación y al tratamiento de los riesgos (6.1.2, 6.1.3, 8.2 y 8.3), el objetivo 2 a la cláusula 5 sobre liderazgo, y el objetivo 17 a las cláusulas 9.2 (auditoría interna) y 10.2 (no conformidades).

¿Dónde se detiene la correspondencia?#

Según la ANSSI, la correspondencia es débil en tres objetivos: el inventario de los sistemas de información (1), el dominio de la administración (11) y la respuesta a las crisis de origen cibernético (14). La norma trata esos asuntos, pero no al nivel de exigencia del ReCyF. Otros cuatro solo se corresponden en parte: el ecosistema (3), los accesos remotos (8), los ejercicios (15) y la administración desde recursos dedicados (19). Es en esos siete objetivos donde un cliente certificado en ISO 27001 presentará carencias con más frecuencia.

A la inversa, una parte de la ISO 27001 no está vinculada a ningún requisito del ReCyF. El desarrollo seguro es el ejemplo más claro: entre los controles 8.25 a 8.31, solo el 8.27 (arquitectura de sistemas segura) aparece en el comparador. Una evaluación ReCyF no cubre, por tanto, el ciclo de desarrollo de software.

La criptografía, punto (h) del artículo 21, no tiene un objetivo ReCyF que lleve su nombre: la ANSSI vincula el control 8.24 (uso de la criptografía) a los accesos remotos (8) y a la administración desde recursos dedicados (19).

Para algunos prestadores, el artículo 21 está detallado en otro sitio. Los proveedores de servicios gestionados y de servicios de seguridad gestionados — es decir, buena parte de los MSP, cuando ellos mismos entran en el ámbito — están sujetos también al reglamento de ejecución (UE) 2024/2690, que precisa los requisitos técnicos del artículo 21 para su sector. El comparador de la ANSSI ofrece, de hecho, la comparación del ReCyF con el anexo de ese reglamento.

¿Una certificación ISO 27001 equivale a la conformidad con NIS2?#

No. Cubre una gran parte y aporta pruebas reutilizables — política, análisis de riesgos, revisión por la dirección, controles del Anexo A — pero NIS2 es una obligación legal cuyo cumplimiento aprecia la autoridad nacional, sobre el alcance y según los requisitos de la transposición. El certificado no sustituye ni al registro, ni a la notificación de los incidentes, ni al compromiso de los administradores previsto en el artículo 20. Sigue siendo un excelente punto de partida.

¿Cómo lo utiliza un MSP en la práctica?#

Evaluar una vez, presentar tres. Para una primera fotografía antes del diagnóstico, la autoevaluación en 20 preguntas sigue los mismos objetivos. La evaluación se hace sobre los 20 objetivos ReCyF (o 15 para una entidad importante), con cada nivel respaldado por una prueba. Esas mismas pruebas sirven después para cumplimentar la declaración de aplicabilidad ISO 27001 de un cliente que aspira a la certificación, y para responder al cuestionario NIS2 de un gran cliente.

Dos reglas evitan sorpresas desagradables: no trasladar nunca un nivel de un referencial a otro sin volver a leer la prueba, y tratar aparte las zonas sin correspondencia enumeradas más arriba. Es también la lógica de Vigicap: la declaración de aplicabilidad ISO 27001 se deriva allí del diagnóstico ReCyF, y los controles sin equivalente quedan explícitamente «por evaluar» en lugar de heredar un nivel que no les corresponde.