NIS2, ISO 27001 y ENS: Por qué tu empresa no puede depender solo de Microsoft 365

La llegada de NIS2 ha incrementado notablemente las obligaciones en materia de seguridad y resiliencia para todas las organizaciones que dependen de servicios digitales. Sin embargo, esta directiva europea no llega sola: se alinea con normativas reconocidas como ISO/IEC 27001, el estándar internacional de gestión de seguridad de la información, y con el Esquema Nacional de Seguridad (ENS), referencia clave en España para administraciones públicas y proveedores tecnológicos.
Todas estas normativas comparten un mismo objetivo: garantizar la integridad, disponibilidad, trazabilidad y capacidad de recuperación de la información. NIS2 exige, al igual que ISO 27001 y el ENS, evidencias verificables, retención adecuada de datos, capacidad real de recuperación ante incidentes y un control constante frente a amenazas internas o externas.
En este punto, conviene recordar que el desconocimiento o la falta de aplicación del modelo de responsabilidad compartida puede dejar a muchas organizaciones en una situación crítica: sin evidencias, sin trazabilidad y sin capacidad real de restaurar su información cuando más lo necesitan. Y aunque conectemos estos requisitos con NIS2, ISO 27001 o el ENS, lo esencial es entender que la obligación de preservar, demostrar y recuperar los datos ante un ataque, error, desastre o requerimiento legal recae sobre todas las empresas, independientemente de que estén certificadas o no. La responsabilidad de garantizar la continuidad del negocio es universal.
Por ejemplo,
ISO 27001 obliga a demostrar
políticas claras de
backup, realizar pruebas periódicas de restauración y mantener procedimientos documentados de continuidad de negocio.
El ENS, por su parte, exige mecanismos de salvaguarda que permitan restaurar la información ante ataques, fallos o manipulaciones no autorizadas, así como auditorías periódicas con evidencia sólida e incontestable.
El conflicto surge cuando las organizaciones dependen exclusivamente de las herramientas nativas de Microsoft365 Ni la retención limitada, ni la ausencia de restauración granular, ni la falta de un backup independiente del tenant cumplen los requisitos de estas normas. En caso de incidente, auditoría o solicitud legal, la empresa debe poder demostrar control, trazabilidad y recuperación fiable de sus datos.
Por ello, contar con un sistema de backup externo deja de ser simplemente una recomendación. Se convierte en un requisito imprescindible para cumplir la ley, los estándares internacionales y cualquier auditoría formal de seguridad. Además, garantiza la continuidad del negocio y protege la información crítica frente a cualquier eventualidad.
En definitiva, la responsabilidad compartida entre proveedor de servicios y empresa usuaria implica entender que la seguridad no termina en la plataforma que utilizamos: debe complementarse con estrategias externas y verificables, asegurando que la organización cumpla con NIS2, ISO 27001 y ENS, y que pueda responder con confianza ante cualquier auditoría o incidente.










