La frase llega casi siempre en la misma reunión, cuando una empresa empieza a trabajar con la Administración o quiere empezar a hacerlo: «tenemos la ISO 27001, así que el ENS lo tendremos cubierto». Es una de las confusiones más habituales que nos encontramos, y sale cara justo en el peor momento: cuando ya hay un pliego encima de la mesa con una fecha de presentación.
La respuesta corta es que no. Tener un certificado ISO 27001 no equivale a cumplir el Esquema Nacional de Seguridad. La respuesta larga es más interesante, porque tampoco significa empezar de cero: hay mucho trabajo hecho que se reutiliza y el propio Centro Criptológico Nacional publica el mapa para hacerlo. Vamos a verlo con detalle.
ISO 27001 y ENS: dos cosas distintas que se parecen por fuera
Ambos hablan de políticas, riesgos, controles y auditorías. Ahí termina el parecido. La diferencia de fondo es qué tipo de norma es cada uno y quién decide lo que tienes que implantar.
Qué es la ISO 27001
La ISO/IEC 27001 es una norma internacional voluntaria que certifica un sistema de gestión de la seguridad de la información (SGSI). Su lógica es la gestión de riesgos y la mejora continua: tú analizas tus riesgos, decides qué controles aplicas y justificas los que descartas en la Declaración de Aplicabilidad. El Anexo A de la versión de 2022 ofrece 93 controles agrupados en cuatro temas (organizativos, de personas, físicos y tecnológicos), pero no te obliga a implantarlos todos.
Lo que audita un certificador ISO es, sobre todo, si tu sistema de gestión funciona: si el análisis de riesgos es coherente, si las decisiones están justificadas, si hay evidencias y si la dirección revisa. El certificado lo emite una entidad de certificación acreditada, con un ciclo de tres años y auditorías de seguimiento anuales. Un apunte por si vienes de la versión antigua: el plazo de transición de ISO 27001:2013 a la revisión de 2022 terminó el 31 de octubre de 2025, así que a día de hoy cualquier certificado vivo debería estar ya en la versión 2022.
Qué es el ENS
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, no es una norma voluntaria: es una obligación legal en España. Se aplica al sector público y, por el artículo 2.3, también a los sistemas de las entidades privadas que, mediante contrato, prestan servicios o soluciones a las Administraciones Públicas para el ejercicio de sus competencias.
Y su lógica es la contraria a la de la ISO. Primero categorizas el sistema valorando el impacto en cinco dimensiones —disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad— conforme al Anexo I, lo que da una categoría BÁSICA, MEDIA o ALTA. Y a partir de ahí el Anexo II te dice, sin margen de interpretación, qué medidas te tocan de las 73 disponibles —agrupadas en marco organizativo, marco operacional y medidas de protección— y con qué refuerzos. No eliges: te viene dado.
Diferencias entre ISO 27001 y el ENS, punto por punto
| ISO/IEC 27001 | ENS (RD 311/2022) | |
|---|---|---|
| Naturaleza | Norma internacional voluntaria | Norma legal obligatoria en España |
| A quién aplica | A quien decida certificarse | Sector público y proveedores privados del sector público |
| Quién lo exige | El mercado, los clientes, tu política comercial | La ley y los pliegos de contratación |
| Qué implantas | Lo que decidas tras el análisis de riesgos | Lo que marque el Anexo II para tu categoría |
| Dimensiones | Confidencialidad, integridad y disponibilidad | Las tres anteriores más autenticidad y trazabilidad |
| Cómo se acredita | Certificado de una entidad acreditada | Declaración de conformidad (BÁSICA) o certificación (MEDIA y ALTA) |
| Auditoría | Ciclo de 3 años con seguimientos anuales | Ordinaria al menos cada 2 años (art. 31) |
| Nivel de detalle | Orientado a objetivos: tú justificas el cómo | Prescriptivo: el cómo viene detallado por nivel |
Esa última fila es la que más cuesta digerir a quien viene de la ISO. En ISO 27001 puedes argumentar que un control no aplica y cerrar el punto con una justificación razonable. En el ENS, si tu sistema es de categoría MEDIA, la medida es la que es y el refuerzo es el que toca.
Entonces, ¿por qué me piden el ENS si soy una empresa privada?
Porque el real decreto alcanza a la cadena de suministro de la Administración. Si tu empresa trata información pública o presta un servicio que permite a un organismo ejercer sus competencias, entras dentro, y los pliegos deben incluir los requisitos para asegurar esa conformidad. Los casos que vemos cada semana son bastante reconocibles:
- Un SaaS o una aplicación web que usa un ayuntamiento, una diputación o una consejería.
- Una empresa de mantenimiento informático con acceso remoto a equipos de un organismo público.
- Servicios de alojamiento, copias de seguridad o correo prestados a entidades públicas.
- Digitalización de documentación, gestión documental o tramitación externalizada.
- Consultoras e ingenierías que manejan expedientes y datos de proyectos públicos.
Y hay un segundo camino, cada vez más frecuente: no te lo exige la Administración directamente, sino un cliente que sí está sujeto y que te traslada el requisito por contrato. Es la misma dinámica que explicamos en el artículo sobre riesgo de proveedores: la obligación viaja aguas abajo.
Qué puedes reutilizar de tu ISO 27001 (y qué no)
Aquí están las buenas noticias. El CCN publica la guía CCN-STIC 825, dedicada precisamente a la relación entre la ISO 27001 y el ENS, con un anexo de mapeo entre los controles de ISO 27001:2022 y las medidas del RD 311/2022. Ese documento es el que usamos para no pagar dos veces por el mismo trabajo.
Lo que se aprovecha casi tal cual
Si tu SGSI está vivo —no solo certificado—, buena parte del cuerpo documental y de las evidencias sirve con adaptaciones menores:
- Política de seguridad de la información y normativa de segundo nivel.
- Metodología de análisis y tratamiento de riesgos, y el propio análisis.
- Inventario de activos y clasificación de la información.
- Procedimientos de gestión de accesos, altas y bajas, y revisión de privilegios.
- Seguridad ligada a las personas: acuerdos de confidencialidad, formación y concienciación.
- Gestión de incidentes, continuidad de negocio y pruebas de recuperación.
- Gestión de proveedores, seguridad física y del entorno, y gestión de cambios.
- Auditoría interna, revisión por la dirección y acciones correctivas.
Lo que hay que reforzar
El ENS coge muchos de esos controles y les pone apellidos. Donde la ISO dice «usa criptografía adecuada al riesgo», el ENS concreta algoritmos, longitudes y, en ciertos niveles, obliga a productos del catálogo de productos y servicios de seguridad TIC del CCN. Lo mismo ocurre con la protección frente a código dañino, la autenticación —con requisitos de multifactor según nivel—, la segmentación de redes, la protección del puesto de trabajo y, muy especialmente, con la monitorización y el registro de actividad: la dimensión de trazabilidad del ENS suele obligar a un nivel de registro, custodia y revisión de logs que muchos SGSI certificados no tienen montado. Ahí es donde entra la monitorización continua y no siempre se anticipa en el presupuesto.
Lo que no existe en ISO y hay que construir
Y luego está lo propio del ENS, que no tiene equivalente en la norma internacional:
- La categorización del sistema conforme al Anexo I, valorando las cinco dimensiones y determinando la categoría. Es el primer entregable y condiciona todo lo demás.
- La Declaración de Aplicabilidad del ENS, que no es la SoA de ISO: aquí se declaran las medidas del Anexo II aplicables y sus refuerzos, firmada por el responsable de la seguridad.
- El reparto de roles del ENS: responsable de la información, responsable del servicio, responsable de la seguridad y responsable del sistema, con separación de funciones entre el responsable de seguridad y el del sistema.
- El régimen de conformidad: distintivo, publicación y mantenimiento.
- La notificación de incidentes conforme a las instrucciones técnicas de seguridad y la relación con el CCN-CERT.
Las brechas que más nos encontramos
Cuando hacemos el gap analysis a una empresa que ya tiene ISO 27001, los hallazgos se repiten con una regularidad sospechosa:
- Trazabilidad insuficiente. Hay logs, pero sin retención definida, sin protección frente a manipulación y sin nadie que los revise.
- El alcance no coincide. El certificado ISO cubre «los servicios de desarrollo», pero el sistema que da servicio a la Administración incluye infraestructura y soporte que quedaron fuera.
- Multifactor a medias. Implantado para el correo y no para el acceso remoto de administración, que es justo el que mira el auditor.
- Roles sin separar. La misma persona es responsable de seguridad y responsable del sistema, algo que el ENS no admite. Si en tu plantilla no hay a quién nombrar sin romper esa separación, un servicio de CISO externo puede dar soporte al responsable de seguridad designado.
- Criptografía sin concretar. La política dice «se usará cifrado robusto» y no hay inventario de algoritmos ni de gestión de claves.
- Configuración de seguridad no documentada. No hay líneas base de bastionado por tipo de equipo ni evidencia de su aplicación.
- Proveedores sin cláusulas ENS. El hosting, el soporte o el desarrollo subcontratado no tienen trasladada la obligación aguas abajo.
Cómo se hace la adecuación al ENS cuando ya tienes ISO 27001
El camino es este, y conviene recorrerlo en orden:
- Delimitar el alcance y categorizar. Qué sistema e información entran, valoración de las cinco dimensiones y categoría resultante. Es lo que decide el tamaño del proyecto.
- Gap analysis contra el Anexo II, partiendo del mapeo de la CCN-STIC 825 para marcar qué cubre ya tu SGSI, qué cubre parcialmente y qué falta.
- Plan de adecuación con medidas, responsables, fechas y coste. Este documento es también el que enseñas al cliente público mientras el proyecto está en marcha.
- Documentación y evidencias: política, normativa, procedimientos, análisis de riesgos y Declaración de Aplicabilidad del ENS, reutilizando lo que ya tienes en vez de duplicarlo.
- Implantación técnica de los refuerzos: registro y monitorización, autenticación, cifrado, bastionado, segmentación y continuidad.
- Conformidad. En categoría BÁSICA basta una autoevaluación con declaración de conformidad; en MEDIA y ALTA hace falta auditoría de certificación por una entidad acreditada por ENAC. A partir de ahí, auditoría ordinaria al menos cada dos años.
En proyectos con un SGSI maduro detrás, una adecuación de categoría BÁSICA suele moverse en pocos meses, y una MEDIA algo más, según lo lejos que esté la parte técnica. Lo que dispara los plazos casi nunca es la documentación: es la monitorización y el bastionado.
Cuánto trabajo te ahorra de verdad la ISO 27001
Seamos honestos con el ahorro. La ISO 27001 te ahorra el músculo de gestión: tienes análisis de riesgos, procedimientos, cultura de evidencias y gente acostumbrada a que la auditen. Eso es mucho, y es la parte que más tarda en construirse desde cero. Lo que no te ahorra es la parte prescriptiva del ENS, que es técnica y se paga en horas de ingeniería y, a veces, en licencias.
Un matiz que sí tiene impacto en el presupuesto: si todavía no estás certificado en ninguno de los dos y sabes que vas a necesitar ambos, plantéalos como un único sistema de gestión desde el principio. Un solo cuerpo documental, un solo análisis de riesgos, dos marcos de conformidad encima. Hacerlo así cuesta bastante menos que certificarte primero en ISO y adecuarte al ENS dos años después. Y si además te preocupa la Directiva NIS2, el mismo SGSI sostiene buena parte de sus medidas.
Preguntas frecuentes sobre ISO 27001 y el ENS
¿Tener ISO 27001 sirve de algo para el ENS?
Sirve, y mucho, pero no sustituye. Un porcentaje alto de las medidas del Anexo II queda cubierto total o parcialmente por un SGSI certificado, y la guía CCN-STIC 825 recoge la correspondencia entre ambos marcos. Lo que no cubre es la categorización, la Declaración de Aplicabilidad del ENS, el reparto de roles y buena parte de los requisitos técnicos concretos.
¿El ENS obliga a las empresas privadas?
Sí, cuando prestan servicios o soluciones a entidades públicas para el ejercicio de sus competencias, según el artículo 2.3 del RD 311/2022. La exigencia se articula por los pliegos de contratación y se extiende a la cadena de suministro en función del análisis de riesgos.
¿Hace falta certificarse en el ENS o basta con una declaración?
Depende de la categoría del sistema. Los sistemas de categoría BÁSICA pueden acreditar su conformidad mediante autoevaluación y declaración de conformidad. Los de categoría MEDIA y ALTA necesitan una auditoría de certificación realizada por una entidad de certificación acreditada por ENAC.
¿Cada cuánto hay que auditar el ENS?
La auditoría ordinaria se realiza al menos cada dos años, y además hay auditorías extraordinarias cuando se producen modificaciones sustanciales en el sistema que puedan repercutir en las medidas de seguridad.
¿Puedo aprovechar la auditoría de la ISO 27001 para el ENS?
No son la misma auditoría ni las hace necesariamente la misma entidad, pero sí se pueden coordinar en el tiempo y compartir gran parte de la evidencia. En la práctica, planificarlas juntas reduce el desgaste interno de preparar dos procesos casi idénticos con meses de diferencia.
¿Qué pasa si un pliego me exige el ENS y no lo tengo?
Depende de cómo esté redactado: en unos casos es requisito de solvencia para licitar y en otros una obligación a cumplir durante la ejecución, con un plazo. Si es lo segundo, lo que se presenta es el plan de adecuación con fechas. Si es lo primero y no llegas, no hay atajo posible: por eso conviene no esperar a que aparezca el pliego.
No esperes al pliego para descubrir que no estás preparado
La situación que queremos evitarte es esta: un concurso que te interesa, un requisito de conformidad con el ENS y tres semanas de plazo. Con ese calendario no hay proyecto que salga bien.
En CiberPYME analizamos tu situación actual, identificamos las brechas frente al ENS, definimos el plan de adecuación, preparamos políticas, procedimientos, registros y evidencias, aprovechamos los controles que ya tienes implantados y te dejamos preparado para el proceso de conformidad o certificación que te corresponda. Puedes ver cómo trabajamos la adecuación al Esquema Nacional de Seguridad y la certificación ISO 27001, ambas dentro de nuestra consultoría GRC.
¿Tu empresa trabaja con la Administración Pública o quiere empezar a hacerlo? Cuéntanos tu caso y te decimos en una llamada qué parte del camino tienes hecha y qué te falta de verdad.
