ISO 27001 vs DORA vs NIS2 — Matriz de Superposición de Controles

por

Contexto: Navegando Múltiples Marcos Regulatorios

Las organizaciones que operan en la Unión Europea —especialmente en servicios financieros, infraestructuras críticas y servicios esenciales— se encuentran cada vez más sujetas a múltiples marcos regulatorios superpuestos. ISO 27001, DORA (Reglamento de Resiliencia Operativa Digital) y NIS2 (Directiva de Seguridad de Redes y Sistemas de Información) imponen requisitos de seguridad de la información que, aunque provienen de objetivos regulatorios diferentes, comparten un terreno común sustancial.

Para los responsables de cumplimiento y auditores, el principal desafío es comprender dónde estos marcos se alinean (implementar una vez, evidenciar una vez), dónde divergen (requisitos específicos adicionales) y cómo construir un programa de cumplimiento eficiente que satisfaga los tres sin triplicar el esfuerzo.

Este artículo proporciona una matriz de superposición completa y orientación práctica para el cumplimiento de múltiples marcos, con especial atención a la gobernanza del pipeline CI/CD donde los tres marcos tienen implicaciones significativas.

Matriz Completa de Superposición de Controles

La siguiente tabla mapea diez dominios de control fundamentales en ISO 27001, DORA y NIS2, identificando puntos de alineación y divergencia.

Dominio de Control Referencia ISO 27001 Referencia DORA Referencia NIS2 Notas de Alineación
Gestión de Riesgos Cláusula 6.1, 8.2; A.6 Organización Artículo 6 — Marco de gestión de riesgos ICT Artículo 21(2)(a) — Análisis de riesgos y políticas de seguridad de los sistemas de información Alineación fuerte. Los tres requieren gestión formal de riesgos. DORA exige un marco de riesgos ICT específico con supervisión a nivel de consejo. NIS2 requiere un enfoque basado en riesgos. ISO 27001 proporciona la base metodológica.
Control de Acceso A.9 — Control de Acceso (A.9.1–A.9.4) Artículo 9(4)(c) — Políticas de gestión de acceso Artículo 21(2)(i) — Seguridad de los recursos humanos, políticas de control de acceso Alineación fuerte. Los tres requieren control de acceso formal con mínimo privilegio. DORA exige específicamente la gestión de identidades y accesos para los sistemas ICT. Mapear los controles A.9 para satisfacer los tres.
Gestión de Cambios A.12.1.2 Gestión de cambios; A.14.2.2 Control de cambios del sistema Artículo 9(4)(e) — Procedimientos de gestión de cambios ICT Artículo 21(2)(a) — Políticas sobre seguridad de los sistemas de información (incluye control de cambios) Alineación fuerte. Los tres requieren control formal de cambios. DORA exige explícitamente la gestión de cambios ICT con requisitos específicos de documentación. Los pipelines CI/CD son el mecanismo principal de aplicación.
Gestión de Incidentes A.16 — Gestión de incidentes de seguridad de la información Artículos 17–23 — Gestión de incidentes relacionados con ICT (clasificación detallada, plazos de notificación, notificación a autoridades) Artículos 23–24 — Obligaciones de notificación de incidentes (alerta temprana de 24 horas, notificación de 72 horas) Alineación parcial. ISO 27001 proporciona el marco del proceso. DORA y NIS2 añaden plazos obligatorios de notificación y notificación a las autoridades que van más allá de ISO 27001. DORA tiene el esquema de clasificación más prescriptivo.
Continuidad de Negocio A.17 — Aspectos de seguridad de la información en la gestión de la continuidad de negocio Artículos 11–12 — Gestión de la continuidad de negocio ICT, planes de respuesta y recuperación Artículo 21(2)(c) — Continuidad de negocio y gestión de crisis Alineación moderada. Los tres requieren planificación de la continuidad. DORA añade requisitos específicos de pruebas de continuidad ICT, incluyendo pruebas basadas en escenarios. NIS2 incluye consideraciones de continuidad de la cadena de suministro.
Cadena de Suministro / Terceros A.15 — Relaciones con proveedores Artículos 28–30 — Gestión de riesgos de terceros ICT (requisitos contractuales detallados, riesgo de concentración, supervisión de terceros críticos) Artículo 21(2)(d) — Seguridad de la cadena de suministro Divergencia significativa. DORA tiene los requisitos más extensos, incluido un marco de supervisión para proveedores críticos de terceros ICT. NIS2 requiere evaluación de riesgos de la cadena de suministro. ISO 27001 A.15 proporciona la línea base pero es menos prescriptivo. Los requisitos de DORA superan sustancialmente a los de ISO 27001.
Criptografía A.10 — Criptografía Artículo 9(4)(d) — Controles de cifrado y criptografía Artículo 21(2)(h) — Políticas y procedimientos sobre criptografía y cifrado Alineación fuerte. Los tres requieren controles criptográficos y gestión de claves. NIS2 menciona explícitamente el cifrado. Implementar los controles A.10 de forma integral para satisfacer los tres.
Gestión de Vulnerabilidades A.12.6 — Gestión de vulnerabilidades técnicas Artículo 9(3) — Los sistemas ICT deben ser monitorizados y controlados continuamente en busca de vulnerabilidades Artículo 21(2)(e) — Gestión y divulgación de vulnerabilidades Alineación moderada. Todos requieren gestión de vulnerabilidades. NIS2 añade requisitos explícitos de divulgación de vulnerabilidades. DORA requiere monitoreo continuo. ISO 27001 proporciona la base del proceso.
Registro y Monitoreo A.12.4 — Registro y monitoreo Artículo 9(4)(b) — Monitoreo y registro de operaciones ICT; Artículo 10 — Detección Artículo 21(2)(b) — Gestión de incidentes (requiere capacidad de detección) Alineación moderada. Todos requieren registro y monitoreo. DORA tiene los requisitos más específicos para el monitoreo de operaciones ICT y la detección de anomalías. ISO 27001 A.12.4 proporciona el marco base.
Pruebas de Seguridad A.14.2.8 — Pruebas de seguridad del sistema Artículos 24–27 — Pruebas de resiliencia operativa digital (incluidas pruebas de penetración avanzadas basadas en amenazas — TLPT) Artículo 21(2)(f) — Políticas y procedimientos para evaluar la efectividad de las medidas de gestión de riesgos de ciberseguridad Divergencia significativa. DORA tiene los requisitos de pruebas más prescriptivos, incluida la TLPT obligatoria para entidades financieras significativas. NIS2 requiere evaluación de efectividad. ISO 27001 requiere pruebas de seguridad pero con menor especificidad. Los requisitos de pruebas de DORA superan sustancialmente a los de ISO 27001.

Dónde los Marcos se Alinean — Implementar Una Vez, Evidenciar Una Vez

Los siguientes dominios de control tienen suficiente alineación para que un único control bien implementado pueda satisfacer los tres marcos simultáneamente:

  • Metodología de gestión de riesgos: Un único marco de gestión de riesgos que cumpla los requisitos de la Cláusula 6.1 de ISO 27001, con categorías de riesgo ICT específicas, puede servir de base para el cumplimiento del Artículo 6 de DORA y el Artículo 21(2)(a) de NIS2
  • Control de acceso: Los controles A.9 de ISO 27001 implementados de forma integral (incluyendo cuentas de servicio, credenciales del pipeline y MFA) satisfacen los requisitos de control de acceso de DORA y NIS2
  • Gestión de cambios: El control de cambios aplicado por el pipeline que cumpla A.14.2.2 y A.12.1.2 satisface el Artículo 9(4)(e) de DORA y las expectativas de control de cambios de NIS2
  • Controles criptográficos: La implementación de A.10 que cubra cifrado en reposo y en tránsito, gestión de claves y gestión del ciclo de vida de certificados aborda los tres marcos
  • Registro y monitoreo básico: Los controles de registro A.12.4 proporcionan la base para los tres marcos, aunque DORA puede requerir mayor especificidad en el monitoreo

Dónde los Marcos Divergen — Requisitos Adicionales

Ciertos dominios requieren esfuerzo adicional más allá de los controles base de ISO 27001 para satisfacer DORA y/o NIS2:

Notificación de Incidentes (especificidades de DORA + NIS2)

  • DORA: Exige un esquema detallado de clasificación de incidentes, notificación inicial a las autoridades competentes dentro de los plazos especificados, informes intermedios e informes finales. Los incidentes deben clasificarse por severidad usando criterios específicos.
  • NIS2: Requiere alerta temprana en 24 horas, notificación de incidente en 72 horas e informe final en un mes. Se aplica a incidentes significativos que afectan la prestación del servicio.
  • Brecha respecto a ISO 27001: ISO 27001 A.16 requiere gestión de incidentes pero no exige plazos de notificación a las autoridades. Las organizaciones deben superponer las obligaciones de notificación de DORA/NIS2 sobre el proceso de ISO 27001.

Riesgo de Terceros / Cadena de Suministro (especificidades de DORA)

  • DORA: Requiere un registro integral de proveedores de terceros ICT, evaluación del riesgo de concentración, disposiciones contractuales obligatorias (incluidos derechos de auditoría, estrategias de salida y controles de subcontratación), y monitoreo continuo. Los proveedores críticos de terceros ICT están sujetos a un marco de supervisión europeo.
  • NIS2: Requiere evaluación de la seguridad de la cadena de suministro teniendo en cuenta las prácticas de seguridad de los proveedores directos y prestadores de servicios.
  • Brecha respecto a ISO 27001: A.15 sobre gestión de proveedores es menos prescriptivo que DORA. Las organizaciones de servicios financieros deben mejorar significativamente su programa de gestión de proveedores para cumplir los requisitos de DORA, especialmente para los proveedores de plataformas CI/CD y servicios de pipeline alojados en la nube.

Pruebas de Resiliencia (especificidades de DORA)

  • DORA: Requiere un programa integral de pruebas de resiliencia operativa digital, incluyendo pruebas basadas en escenarios, evaluaciones de vulnerabilidades y, para las entidades significativas, pruebas de penetración basadas en amenazas (TLPT) realizadas por evaluadores externos calificados siguiendo marcos reconocidos.
  • Brecha respecto a ISO 27001: A.14.2.8 requiere pruebas de seguridad pero no exige TLPT ni el nivel de rigor en las pruebas especificado por DORA. Las organizaciones de servicios financieros deben desarrollar un programa de pruebas sustancialmente más completo.

Divulgación de Vulnerabilidades (especificidades de NIS2)

  • NIS2: Introduce requisitos de divulgación coordinada de vulnerabilidades y exige que las organizaciones tengan políticas para gestionar y divulgar vulnerabilidades.
  • Brecha respecto a ISO 27001: A.12.6 cubre la gestión de vulnerabilidades pero no aborda la divulgación pública. Las organizaciones deben desarrollar políticas y procesos de divulgación de vulnerabilidades.

Enfoque Práctico: Construir sobre ISO 27001, Superponer DORA/NIS2

El camino más eficiente hacia el cumplimiento de múltiples marcos sigue un enfoque por capas:

  1. Establecer ISO 27001 como línea base. ISO 27001 proporciona el marco del sistema de gestión más completo. Sus controles del Anexo A cubren el rango más amplio de dominios de seguridad. Comience aquí.
  2. Mapear las adiciones específicas de DORA. Identificar dónde DORA requiere más de lo que entrega ISO 27001 — principalmente en notificación de incidentes, gestión de terceros y pruebas de resiliencia. Construir estas como extensiones de los controles de ISO 27001 existentes, no como programas separados.
  3. Mapear las adiciones específicas de NIS2. Identificar los requisitos de NIS2 no cubiertos por ISO 27001 + DORA, principalmente la divulgación de vulnerabilidades y los plazos específicos de notificación.
  4. Unificar la recopilación de evidencia. Diseñar procesos de recopilación de evidencia que produzcan artefactos que satisfagan los tres marcos simultáneamente. Una única traza de auditoría del pipeline, correctamente estructurada, puede servir a los auditores de ISO 27001, DORA y NIS2.

Recomendaciones de Eficiencia para el Cumplimiento de Múltiples Marcos

Recomendación Beneficio Prioridad de Implementación
Usar un único registro de riesgos con etiquetas específicas por marco Una única evaluación de riesgos sirve a los tres marcos; los auditores filtran por marco aplicable Alta
Mantener una matriz de controles unificada que mapee los controles a todos los marcos aplicables Demuestra cobertura, identifica brechas, reduce el esfuerzo duplicado de evaluación Alta
Diseñar la gestión de incidentes con el plazo más estricto (alerta temprana de 24 horas) Cumplir el plazo más corto satisface automáticamente los plazos más largos Alta
Implementar la gestión de proveedores al nivel de rigor de DORA DORA tiene los requisitos más exigentes; cumplir DORA satisface automáticamente ISO 27001 y NIS2 Media
Estructurar las trazas de auditoría del pipeline teniendo en cuenta las necesidades de evidencia de los tres marcos Una única fuente de evidencia sirve a múltiples auditores; reduce la carga de recopilación de evidencia Alta
Realizar pruebas de resiliencia al estándar de DORA Los requisitos de pruebas de DORA superan a los de ISO 27001 y NIS2; cumplir DORA satisface los tres Media
Alinear el programa de auditoría interna para cubrir los tres marcos en cada ciclo Reduce la fatiga de auditoría; proporciona una garantía integral Media

Qué Evalúan los Auditores de Forma Diferente en Cada Marco

Si bien los dominios de control se superponen significativamente, los auditores de cada marco tienen áreas de enfoque y enfoques de evaluación distintos:

  • Los auditores de certificación ISO 27001 se centran en el sistema de gestión — el ciclo PDCA, el compromiso de la dirección, la mejora continua y si los controles están funcionando según lo documentado. Evalúan la conformidad con la norma.
  • Las evaluaciones supervisoras de DORA se centran en la resiliencia operativa — ¿puede la organización soportar, responder y recuperarse de las interrupciones ICT? Los evaluadores evalúan la madurez y efectividad de las medidas de resiliencia, con especial énfasis en los resultados de las pruebas y la gestión de riesgos de terceros.
  • Las evaluaciones de cumplimiento de NIS2 se centran en si la organización cumple con su deber de cuidado en materia de seguridad de redes y sistemas de información, con énfasis en la capacidad de notificación de incidentes, la seguridad de la cadena de suministro y la responsabilidad de gobernanza (incluida la responsabilidad personal del órgano de dirección bajo NIS2).

Comprender estas diferentes perspectivas permite a los responsables de cumplimiento preparar evidencia dirigida y presentaciones para cada tipo de evaluación, incluso cuando los controles subyacentes son compartidos.

Lectura Adicional

Relacionado para Auditores

¿Nuevo en la auditoría de CI/CD? Comience con nuestra Guía para Auditores.