Tiempo de lectura: 7 minutos
Puntos clave
- La Directiva NIS2 requerirá a administraciones y proveedores cumplir normativamente en ciberseguridad para 2026, asegurando trazabilidad y seguridad de la información.
- Se presenta una checklist mínima para ayudar a las administraciones en la preparación hacia NIS2, basada en estándares como ENS e ISO/IEC 27001.
- Es crucial documentar e implementar medidas de seguridad efectivas; no basta con declaraciones de buenas intenciones.
- Los pliegos de contratación ya exigen acreditación en ENS Alta y cumplimiento de NIS2, lo que podría influir en la responsabilidad de las administraciones.
- A partir de 2026, las administraciones deben demostrar cumplimiento real de NIS2, incluyendo gestión de incidentes y contratos con cláusulas de seguridad.
Tabla de contenidos
En 2026, no valdrá con decir «estamos trabajando en ello». La Directiva NIS2, de aplicación obligatoria en toda la Unión Europea, exigirá a administraciones públicas y a sus proveedores de servicios esenciales que demuestren un cumplimiento normativo real, no declarativo. Y en el ámbito documental, eso incluye trazabilidad, integridad y seguridad de la información, desde su creación hasta su destrucción.
En este artículo recopilamos una checklist mínima, centrada en la gestión documental y basada en estándares como el ENS y la ISO/IEC 27001, con el objetivo de servir de apoyo a las administraciones públicas y a sus proveedores en sus tareas de preparación y adecuación normativa de cara a 2026. También se incluyen consideraciones habituales en pliegos técnicos relacionados con la seguridad de la información como referencia práctica y contextual.
El vínculo ENS-NIS2, una relación cada vez más visible en la contratación pública
La legislación española ya contempla un marco robusto en materia de ciberseguridad. El Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad (ENS), establece requisitos obligatorios para los sistemas utilizados en el sector público. Lo que quizá no es tan conocido es que:
Esto no es una suposición. Lo confirma el propio Centro Criptológico Nacional (CCN), y lo está empezando a reflejar la redacción de muchos pliegos públicos que incorporan como condición la acreditación de cumplimiento del ENS en la categoría correspondiente al sistema (frecuentemente Alta en servicios documentales o TIC).
De hecho, diferentes documentos técnicos y organismos —incluido el Centro Criptológico Nacional (CCN)— han señalado que el cumplimiento del ENS en su categoría Alta cubre, en gran parte, las exigencias estructurales que establece la NIS2.
En esta línea, España ha expuesto ante la Unión Europea la alineación del ENS con los requisitos de la Directiva NIS2, destacando su papel como base normativa sólida en el ámbito público.
Además, algunas administraciones ya están añadiendo como criterio de solvencia técnica la certificación ISO/IEC 27001, alineada con el enfoque de gestión de riesgos de NIS2.
¿La conclusión? Si en 2026 una administración contrata servicios críticos a un proveedor sin ENS Alta o sin medidas proporcionales equivalentes, está asumiendo un riesgo (y una posible responsabilidad) evitable.
Checklist mínima NIS2 para 2026 (ámbito documental y proveedores)
A continuación, una guía práctica para que responsables de archivo, jurídico, TIC y contratación evalúen su situación actual.
1. ¿Contamos con una política de gestión documental alineada con ENS y NIS2?
- Política aprobada por dirección que incluya explícitamente principios de ciberseguridad documental.
- Revisión periódica del cumplimiento de requisitos técnicos y organizativos.
- Plan de continuidad de negocio con escenarios específicos para pérdida de documentos o compromisos de integridad.
2. ¿Tenemos clasificados nuestros activos documentales críticos?
- Inventario actualizado de sistemas de gestión documental, bases de datos, expedientes electrónicos.
- Valoración del nivel de impacto (según ENS) para cada tipo de información tratada.
3. ¿Aplicamos medidas técnicas proporcionales al nivel de riesgo?
- Control de accesos, segregación de funciones y doble autenticación.
- Cifrado de documentos electrónicos y protocolos seguros de transmisión.
- Registro y trazabilidad de accesos, modificaciones y eliminaciones documentales.
- Integridad garantizada de los metadatos exigidos por el ENI.
4. ¿Nuestros contratos con proveedores incluyen cláusulas específicas sobre seguridad documental?
- Inclusión de la obligación de cumplir ENS y NIS2 (o estándares equivalentes).
- Exigencia de evidencias: certificados, políticas, auditorías.
- Penalizaciones por incumplimiento de medidas de seguridad.
5. ¿Nuestros proveedores tienen certificaciones válidas?
- ¿Disponen de certificación ENS en la categoría requerida por el servicio?
- ¿Están certificados en ISO 27001?
- ¿Cómo gestionan la subcontratación? ¿Incluyen cláusulas de seguridad en su cadena?
6. ¿Estamos preparados para notificar incidentes?
- Procedimientos operativos claros para clasificación y comunicación de incidentes (según art. 23 NIS2).
- Capacidad de demostrar actuaciones realizadas, logs, evidencia documental.
Prácticas observadas en pliegos públicos recientes
En los últimos años, algunos pliegos técnicos vinculados a servicios documentales o tecnológicos han empezado a incorporar requisitos específicos relacionados con la seguridad de la información, como parte de los criterios de solvencia técnica o del contenido contractual. Entre ellos, se observa:
- Cláusula de solvencia técnica mínima: certificado vigente de cumplimiento ENS categoría Alta, ISO 27001 o justificación técnica equivalente.
- Criterios de adjudicación: puntuación adicional si el licitador presenta sistemas con trazabilidad documental conforme al ENI y auditorías de seguridad realizadas.
- Obligaciones del contrato: notificación de incidentes, mantenimiento de registros, cesión controlada, destrucción certificada, etc.
- Modelo de evaluación de riesgos compartido: especialmente en contratos donde el proveedor gestiona parte del archivo o de los sistemas de información.
Esto no es una propuesta futurista, ya se está haciendo. Pliegos de grandes ministerios, universidades, diputaciones y hospitales ya incluyen estas condiciones. Lo que viene es que pasen de recomendación a estándar.
La seguridad se contrata, no se improvisa. NIS2 para 2026
En gestión documental, como en ciberseguridad, no basta con declarar buenas intenciones. A efectos de NIS2, lo que cuenta son las medidas efectivas implantadas y documentadas. Y esto solo se consigue con:
- Proveedores que acrediten cumplimiento ENS (preferentemente categoría Alta).
- Procesos evaluables y trazables.
- Contratos alineados con la normativa.
Si trabajas en una administración o si eres proveedor, toca preguntarse ¿podrías demostrar hoy que cumples con la NIS2 si te lo exige un auditor?
En Normadat operamos bajo categoría Alta del ENS, ISO 27001, y con sistemas documentales trazables, auditables y seguros. Pero esto no es una medalla, es un requisito.
Si estás revisando pliegos, evaluando proveedores o planificando adaptaciones normativas, contar con evidencias verificables de cumplimiento puede marcar la diferencia.
En ese camino, estamos preparados para aportar experiencia, rigor y garantías.
Preguntas frecuentes (FAQ)
¿Qué pasa si mi proveedor no tiene certificación ENS Alta?
La administración podría considerarse responsable por contratar servicios sin garantías de seguridad adecuadas según NIS2.
¿Basta con ISO 27001 para cumplir NIS2?
No completamente. ISO 27001 cubre gestión de riesgos, pero NIS2 exige medidas de continuidad, notificación y supervisión.
¿Cuándo entrará plenamente en vigor la NIS2?
La transposición nacional se aplica desde 2025, pero las obligaciones de cumplimiento efectivo serán exigibles en 2026.
Preguntas Frecuentes
La Directiva NIS2 exige a las administraciones públicas y a sus proveedores de servicios esenciales que demuestren un cumplimiento normativo real y documentado en ciberseguridad para 2026. Su propósito es asegurar la trazabilidad, integridad y seguridad de la información desde su creación hasta su destrucción. No bastará con declaraciones, sino con medidas efectivas implementadas.
Las obligaciones de cumplimiento efectivo de la Directiva NIS2 serán exigibles a partir de 2026. Aunque la transposición nacional se aplica desde 2025, el plazo crítico para demostrar la implementación real de las medidas es el año siguiente. Esto implica que las organizaciones deben prepararse y adecuarse durante 2025.
Una organización certificada en ENS categoría Alta ya cumple, en gran medida, con los requisitos estructurales de la NIS2, según confirma el Centro Criptológico Nacional (CCN). España ha expuesto ante la Unión Europea la alineación del ENS con NIS2, destacando su papel como base normativa sólida. Por ello, muchos pliegos públicos ya incorporan la acreditación del ENS como condición.
La checklist mínima incluye contar con una política de gestión documental alineada con ENS y NIS2, y clasificar los activos documentales críticos con su nivel de impacto. También exige aplicar medidas técnicas proporcionales al riesgo, como control de accesos y cifrado, e incluir cláusulas de seguridad NIS2/ENS en los contratos con proveedores. Finalmente, es crucial estar preparado para notificar incidentes según el artículo 23 de NIS2.
Si una administración contrata servicios críticos a un proveedor sin ENS Alta o medidas equivalentes en 2026, estará asumiendo un riesgo considerable y una posible responsabilidad evitable. La seguridad se contrata, no se improvisa, y la falta de evidencias verificables de cumplimiento puede tener consecuencias. De hecho, algunos pliegos públicos ya penalizan la ausencia de estas certificaciones.
