Lo m\u00e1s importante en resumen<\/p>\n
- \n
- No sustituye:<\/strong> El BSI no reconoce expresamente una certificaci\u00f3n ISO-27001 como prueba de conformidad seg\u00fan el BSIG. La supervisi\u00f3n verifica directamente los p\u00e1rrafos 30, 32 y 38.<\/li>\n
- Gran coincidencia:<\/strong> La tabla de mapeo del BSI asigna los diez campos de medidas del p\u00e1rrafo 30 a controles ISO concretos. Un ISMS bien implementado reduce notablemente el esfuerzo de implementaci\u00f3n.<\/li>\n
- Tres lagunas:<\/strong> El \u00e1mbito de aplicaci\u00f3n, la aceptaci\u00f3n de riesgos y la obligaci\u00f3n de notificaci\u00f3n a la autoridad no los contempla la norma de esa manera. Precisamente aqu\u00ed fracasa el reflejo de presentar simplemente el certificado.<\/li>\n
- Asunto de la direcci\u00f3n:<\/strong> El p\u00e1rrafo 38 obliga personalmente a la direcci\u00f3n a la implementaci\u00f3n, supervisi\u00f3n y formaci\u00f3n peri\u00f3dica. Esta obligaci\u00f3n no se puede delegar en un certificado.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>NIS2 despu\u00e9s del plazo: Ahora comienza la supervisi\u00f3n del BSI<\/a> \/<\/span> MFA adaptativa en la auditor\u00eda NIS2<\/a><\/p>\n
Tres obligaciones del BSIG que su auditor\u00eda ISO desconoce<\/h2>\n
\u00bfQu\u00e9 es NIS2?<\/strong> NIS2 es la directiva de la UE sobre la seguridad de las redes y la informaci\u00f3n, transpuesta en Alemania mediante el BSIG reformado. Obliga a las entidades afectadas a la gesti\u00f3n de riesgos, a notificar incidentes significativos y a registrarse ante el BSI, con responsabilidad personal de la direcci\u00f3n.<\/p>\n
El certificado sigue siendo un fundamento s\u00f3lido. Un ISMS implementado cubre, seg\u00fan el mapeo del BSI, una gran parte de las medidas legales. Solo que no todo. Quien conoce las lagunas se evita costosos trabajos duplicados y correcciones en la primera auditor\u00eda.<\/p>\n
Si una entidad est\u00e1 sujeta a la ley depende del sector y el tama\u00f1o. El propio nivel de seguridad no influye en la afectaci\u00f3n. El p\u00e1rrafo 28 del BSIG distingue entre entidades especialmente importantes e importantes; los operadores de KRITIS se consideran autom\u00e1ticamente especialmente importantes. Quien est\u00e1 afectado asume tres obligaciones centrales que un auditor ISO no verifica en absoluto durante su certificaci\u00f3n.<\/p>\n
La primera es el registro seg\u00fan el p\u00e1rrafo 33. La segunda es la notificaci\u00f3n de incidentes significativos seg\u00fan el p\u00e1rrafo 32. La tercera es la gesti\u00f3n de riesgos junto con la documentaci\u00f3n seg\u00fan el p\u00e1rrafo 30. ISO 27001 es una norma voluntaria, el BSIG es derecho vigente con una autoridad de supervisi\u00f3n detr\u00e1s. Ese es el n\u00facleo del malentendido: un auditor certifica un sistema de gesti\u00f3n, una autoridad exige el cumplimiento de obligaciones legales concretas.<\/p>\n
El BSI formula esta separaci\u00f3n en su paquete informativo sobre la norma de forma inequ\u00edvoca. Una certificaci\u00f3n es una buena prueba de madurez, pero en el procedimiento de supervisi\u00f3n no cuenta como prueba de conformidad.<\/p>\n
D\u00f3nde ISO 27001 ya soporta seg\u00fan el mapeo del BSI<\/h2>\n
La buena noticia est\u00e1 en la tabla oficial de mapeo del BSI. El p\u00e1rrafo 30 apartado 2 enumera diez campos de medidas obligatorios, desde el an\u00e1lisis de riesgos pasando por la respuesta a incidentes y la continuidad del negocio hasta la cadena de suministro, la criptograf\u00eda y la autenticaci\u00f3n de m\u00faltiples factores. Para cada uno de estos campos, el BSI nombra las cl\u00e1usulas y controles correspondientes de ISO 27001 en su versi\u00f3n de 2022.<\/p>\n
Concretamente significa: Quien opera un ISMS vivo ya tiene la mayor parte de los componentes en casa. Registros de riesgos, playbooks de respuesta a incidentes, evaluaci\u00f3n de proveedores, una pol\u00edtica de criptograf\u00eda y una hoja de ruta de MFA contribuyen directamente a los campos legales. El BSI indica que una certificaci\u00f3n puede reducir el esfuerzo de implementaci\u00f3n. La autoridad no menciona intencionadamente un porcentaje fijo. Quien lo inventa vende una precisi\u00f3n aparente.<\/p>\n
Queda una reserva. El mapeo tiene car\u00e1cter informativo sin vinculaci\u00f3n jur\u00eddica. Un control implementado seg\u00fan ISO solo cumple la obligaci\u00f3n legal si el \u00e1mbito de aplicaci\u00f3n y la profundidad de implementaci\u00f3n son correctos. Y precisamente en estos dos puntos se abren las lagunas.<\/p>\n
Tres lagunas que un certificado no cierra<\/h2>\n
La primera laguna se refiere al \u00e1mbito de aplicaci\u00f3n. En ISO 27001 la organizaci\u00f3n define su propio alcance, a menudo limitado a un departamento, una sede o un proceso individual. El BSIG no conoce esta libertad. Las medidas se aplican a los servicios regulados y a los sistemas de TI que los prestan. Un certificado que solo abarca el departamento de TI no suele cubrir el requisito legal.<\/p>\n
La segunda laguna reside en el tratamiento de riesgos. ISO permite aceptar conscientemente los riesgos o transferirlos mediante un seguro. En cambio, el p\u00e1rrafo 30 exige la implementaci\u00f3n efectiva de medidas adecuadas seg\u00fan el estado de la t\u00e9cnica. Aceptar de forma gen\u00e9rica riesgos relevantes no se sostiene ante la supervisi\u00f3n. Quien lleva honestamente su registro de riesgos debe verificar cada entrada con estado aceptado frente a la obligaci\u00f3n legal de implementaci\u00f3n.<\/p>\n
La tercera laguna es la obligaci\u00f3n de notificaci\u00f3n. Un proceso de respuesta a incidentes seg\u00fan ISO regula la escalada interna. Sin embargo, no conoce un canal de notificaci\u00f3n a la autoridad. El p\u00e1rrafo 32 exige una notificaci\u00f3n en tres fases a la oficina conjunta de notificaciones de BSI y BBK: una alerta temprana en un plazo de 24 horas, una notificaci\u00f3n de seguimiento en un plazo de 72 horas y una notificaci\u00f3n de cierre en un plazo de un mes tras la notificaci\u00f3n de seguimiento. La directriz del BSI reza: rapidez antes que exhaustividad. Una notificaci\u00f3n interna al propio equipo de seguridad no sustituye esta obligaci\u00f3n.<\/p>\n
El siguiente resumen resume d\u00f3nde soporta el certificado y d\u00f3nde la ley va m\u00e1s all\u00e1.<\/p>\n
\n - Gran coincidencia:<\/strong> La tabla de mapeo del BSI asigna los diez campos de medidas del p\u00e1rrafo 30 a controles ISO concretos. Un ISMS bien implementado reduce notablemente el esfuerzo de implementaci\u00f3n.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/nis2-despues-del-plazo-comienza-la-supervision-del-bsi-cover-es-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/sicherheitsforschung-aus-der-grauzone-wie-nis2-coordinated-disclosure-verbindlich-macht-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/el-plan-de-emergencia-que-nadie-ha-puesto-en-practica-cover-es-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>