Adecuación al Esquema Nacional de Seguridad (ENS) e ISO 27001, con preparación para NIS2
Os preparamos para el Esquema Nacional de Seguridad (ENS) e ISO 27001 y os acompañamos hasta la auditoría. El certificado lo emite una entidad de certificación acreditada e independiente.
En resumen
La adecuación al Esquema Nacional de Seguridad (ENS) e ISO 27001 consiste en dejar vuestros sistemas, procesos y documentación listos para superar la auditoría. Empezamos con un análisis de carencias desde 2.000 € (sin IVA, precio cerrado, incluye el plan de adecuación), seguimos con la implantación técnica y documental y os acompañamos en la auditoría. El certificado lo emite una entidad de certificación acreditada.
O llamadnos al 644 00 76 20
- Idiomas
- Español, catalán o inglés
- Contacto
- Os respondemos el mismo día o el siguiente laborable
Qué incluye
- Informe de carencias con semáforo, control por control.
- Categorización del sistema según el ENS.
- Análisis de riesgos y plan de tratamiento.
- Declaración de Aplicabilidad.
- Plan de adecuación priorizado, con calendario.
- Política de seguridad y procedimientos.
- Guía de evidencias para la auditoría.
- Informe de auditoría interna antes de la auditoría de certificación.
¿Cuándo la necesitáis?
Casi siempre porque alguien de fuera os la pide:
- Queréis presentaros a licitaciones públicas que exigen la conformidad con el ENS.
- Prestáis servicios a una administración pública y os piden la certificación o la declaración de conformidad.
- Un cliente os envía un cuestionario de seguridad o pide ISO 27001 como requisito para contratar.
- Sois un ayuntamiento o un organismo público y tenéis que cumplir el ENS.
- Queréis ordenar vuestra seguridad con un marco reconocido, aunque nadie os lo pida todavía.
- Queréis hacer ENS e ISO 27001 a la vez, con un solo análisis y una sola documentación.
- Vuestro sector está entre los que cubre la directiva NIS2 y queréis llegar preparados.
Trabajamos el ENS en categorías básica y media.
¿Quién emite el certificado?
Os preparamos y acompañamos hasta la auditoría. El certificado lo emite una entidad de certificación acreditada e independiente. Qué piden las administraciones a sus proveedores lo explicamos en la guía del ENS para proveedores del sector público.
En el ENS, la categoría del sistema decide cómo se demuestra la conformidad (Real Decreto 311/2022, artículos 31 y 38):
- Categoría básica: basta una autoevaluación para la declaración de conformidad, aunque también podéis pasar una auditoría de certificación.
- Categorías media y alta: hace falta una auditoría de certificación.
- En todos los casos, auditoría ordinaria al menos cada dos años, y extraordinaria si cambian de forma sustancial los sistemas.
La auditoría de certificación la factura directamente la entidad de certificación y no está incluida en nuestros precios.
Las entidades que certifican la conformidad con el ENS deben estar acreditadas por la Entidad Nacional de Acreditación (ENAC), según la Instrucción Técnica de Seguridad de conformidad con el ENS, apartado VI.1. En ISO 27001, el certificado lo emite igualmente una entidad de certificación acreditada.
¿Cómo se hace?
Ocho fases. Las tres primeras forman el análisis de carencias, con precio cerrado; el resto se presupuesta por escrito con el plan de adecuación delante.
Alcance y categorización
Qué sistemas, servicios y sedes entran, y en el ENS la categoría de cada sistema según la guía CCN-STIC 803.
Análisis de carencias
Control por control frente al Anexo II del ENS y al Anexo A de ISO 27001:2022, con un semáforo de lo que tenéis, lo que falta y lo que está a medias.
Análisis de riesgos
Con la metodología MAGERIT y la herramienta µPILAR del CCN, y el plan de tratamiento de cada riesgo.
Plan de adecuación
Medidas priorizadas con calendario y responsables, y la Declaración de Aplicabilidad.
Implantación
Cambios técnicos en vuestros sistemas y documentación: política de seguridad, procedimientos y registros.
Auditoría interna
Una pre-auditoría con los mismos criterios que usará la entidad de certificación, para corregir antes.
Auditoría de certificación
Os acompañamos: preparamos las evidencias, estamos con vosotros durante la auditoría y os ayudamos a cerrar las no conformidades.
Mantenimiento
Documentación al día, revisiones periódicas y preparación de las auditorías siguientes.
Los documentos que entregamos siguen el formato habitual de la documentación del ENS: portada, control de versiones, índice y paginación. Podéis verlo en el extracto de auditoría de ejemplo con formato ENS, con datos ficticios.
¿Cuánto cuesta y cuánto tarda?
| Parte | Precio orientativo (sin IVA) | Plazo orientativo |
|---|---|---|
| Análisis de carencias con plan de adecuación | Desde 2.000 €, precio cerrado | 2-4 semanas |
| Implantación hasta la auditoría | Precio cerrado tras el análisis | ENS básica: 1-3 meses. ENS media o ISO 27001 (10-50 personas): 3-6 meses |
| Acompañamiento mensual | 300 €/mes: mantenimiento documental y revisión trimestral | Tras la certificación |
| Acompañamiento mensual con jornada técnica | 600 €/mes: lo anterior más 1 jornada técnica al mes | Tras la certificación |
Los plazos son orientativos y no se garantizan: dependen de lo que ya tengáis hecho y de vuestra disponibilidad. Las horas de cada nivel de acompañamiento quedan por escrito antes de empezar. Antes del análisis, por email y sin coste, os hacemos un diagnóstico inicial y fijamos el alcance y el precio cerrado. La auditoría de certificación la factura directamente la entidad de certificación y no está incluida en nuestros precios.
Implantación de ISO 27001
Para empresas a las que un cliente o una licitación les pide ISO 27001, aunque no trabajen con la Administración.
Implantamos el sistema de gestión de seguridad de la información (SGSI) que pide la norma ISO/IEC 27001:2022 y os dejamos preparados para la auditoría de certificación:
- Alcance: qué procesos, sistemas, sedes y personas entran en el SGSI. Un alcance bien acotado acorta la implantación y la auditoría.
- Contexto y riesgos: partes interesadas, análisis de riesgos y plan de tratamiento.
- Declaración de Aplicabilidad: qué controles del Anexo A aplicáis, cuáles no y por qué.
- Implantación técnica y documental: los controles en vuestros sistemas, la política de seguridad y los procedimientos.
- Auditoría interna y revisión por la dirección: las pide la norma y tienen que estar hechas antes de la auditoría de certificación.
Plazo orientativo: de 3 a 6 meses para organizaciones de 10 a 50 personas. Depende del alcance, de lo que ya tengáis hecho y de vuestra disponibilidad, así que no lo garantizamos. El presupuesto va según el alcance y os lo damos por escrito tras el análisis de carencias. El certificado lo emite una entidad de certificación acreditada: nosotros os preparamos y os acompañamos, no certificamos.
¿ENS e ISO 27001 a la vez?
Suele compensar. Muchas medidas del Anexo II del ENS tienen su equivalente en el Anexo A de ISO 27001:2022: control de accesos, copias, registro de actividad, gestión de incidentes, continuidad. Hacemos un único análisis de carencias y una única documentación que sirve para los dos marcos, y señalamos lo que es propio de cada uno. Qué cambió en la versión de 2022 de la norma está en ISO 27001:2022: qué cambia respecto a la de 2013.
Si antes queréis saber en qué punto técnico está vuestra plataforma, la auditoría de fiabilidad y seguridad revisa accesos, copias, despliegues y exposición, y sus evidencias se aprovechan en la adecuación.
Preparación para la directiva NIS2
La Directiva (UE) 2022/2555, conocida como NIS2, exige a las entidades de dieciocho sectores críticos medidas de gestión de riesgos de ciberseguridad (artículo 21) y la notificación de incidentes (artículo 23).
En España todavía no es ley. A 2 de noviembre de 2026, el anteproyecto de ley que la transpone, aprobado por el Consejo de Ministros el 14 de enero de 2025, no ha terminado su tramitación, y con las Cortes disueltas por el Real Decreto 806/2026 (elecciones el 29 de noviembre de 2026) tendrá que retomarla el nuevo Parlamento. Hasta entonces, sigue en vigor el Real Decreto-ley 12/2018. El 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea por no haberla transpuesto.
Mientras tanto, os ayudamos a prepararos: revisamos vuestras medidas frente a las que pide el artículo 21, preparamos el procedimiento de notificación de incidentes y aprovechamos lo que ya cubren el ENS o ISO 27001. Cuando se apruebe la ley española, revisamos el plan con el texto definitivo. A quién afecta y en qué punto está, en la guía NIS2: qué es y a quién afecta.
¿Qué experiencia hay detrás?
Hemos auditado infraestructuras de otras empresas y, desde la dirección técnica, como CTO y en dirección de sistemas, hemos sido responsables de la seguridad y la disponibilidad de plataformas en producción. Por eso los cambios técnicos los hacemos nosotros mismos en vuestros sistemas, y la documentación describe lo que de verdad funciona, no solo lo que pide la norma.
Preguntas frecuentes
¿Nos certificáis vosotros?
No. Os preparamos y acompañamos hasta la auditoría. El certificado lo emite una entidad de certificación acreditada e independiente, que elegís y contratáis vosotros. Nosotros nos encargamos de que lleguéis con el sistema, la documentación y las evidencias en orden.
¿Para qué categorías del ENS trabajáis?
Categorías básica y media.
¿Cuánto tarda?
Orientativamente: el análisis de carencias, 2-4 semanas; ENS básica, 1-3 meses; ENS media o ISO 27001 en empresas de 10 a 50 personas, 3-6 meses. Depende sobre todo de cuánto tengáis ya hecho y de vuestra disponibilidad, así que no garantizamos plazos.
¿Cuánto se tarda en implantar ISO 27001?
Orientativamente, de 3 a 6 meses para organizaciones de 10 a 50 personas, hasta la auditoría de certificación. Depende del alcance, de lo que ya tengáis hecho y de vuestra disponibilidad. El presupuesto va según el alcance: os lo damos por escrito tras el análisis de carencias.
¿La directiva NIS2 ya es obligatoria en España?
A 2 de noviembre de 2026 no hay ley española que la transponga y sigue en vigor el Real Decreto-ley 12/2018. Si vuestro sector está entre los que cubre la directiva, conviene prepararse ya: buena parte de lo que pide coincide con el ENS e ISO 27001.
Contadnos vuestro caso
Llamadnos o escribidnos y os decimos dónde estáis y por dónde empezar. Gratis y sin compromiso.
O llamadnos al 644 00 76 20
Revisado el