ENS, ISO 27001 y Ciberseguridad: Todas tus Dudas Resueltas

El plazo depende de la categoría del sistema (BÁSICA, MEDIA o ALTA) y del punto de partida de la organización:

— Categoría BÁSICA: entre 3 y 4 meses.
— Categoría MEDIA: entre 4 y 8 meses.
— Categoría ALTA: entre 8 y 14 meses, especialmente si se parte de cero.

Realizamos un diagnóstico inicial gratuito que permite dar un calendario realista desde el primer día y que identifica los gaps más urgentes a cerrar.

El ENS (Real Decreto 311/2022) es directamente obligatorio para las Administraciones Públicas. Las empresas privadas quedan sujetas cuando prestan servicios o tratan datos en el ámbito del sector público: proveedores con contrato TIC con la Administración, empresas que acceden a sistemas o redes públicas, y las que procesan datos de carácter público.

Desde 2023, la Disposición Final Decimotercera de la Ley 11/2022 amplió la obligatoriedad a nuevos sectores. Si tienes dudas sobre si tu empresa está en el ámbito, consúltanos sin compromiso.

La categoría se determina evaluando el impacto potencial de un incidente en las cinco dimensiones CIDAD (Confidencialidad, Integridad, Disponibilidad, Autenticidad, Trazabilidad):

— Si al menos una dimensión alcanza nivel ALTO → categoría ALTA.
— Si ninguna es ALTO pero al menos una es MEDIO → categoría MEDIA.
— Si todas son BAJO → categoría BÁSICA.

Cada categoría exige un conjunto diferente de medidas de seguridad del Anexo II del RD 311/2022. La categoría más alta implica más medidas y más exigentes.

El incumplimiento del ENS puede tener consecuencias en varios planos:

— Contractual: los pliegos de contratación pública exigen cada vez más la conformidad ENS; no tenerla puede impedir licitar o renovar contratos con la Administración.
— Responsabilidad: los órganos de control (Tribunal de Cuentas, Inspección General de Servicios) pueden iniciar expedientes a las entidades públicas que no cumplen. Para los proveedores privados el riesgo es la rescisión o no renovación del contrato.
— Operativo: sin las medidas del ENS, la organización está más expuesta a incidentes con impacto real (pérdida de datos, indisponibilidad de servicios críticos).

La declaración de conformidad ENS tiene una validez de dos años para categoría BÁSICA y MEDIA, y de dos años también para ALTA (aunque con auditorías de seguimiento intermedias). Transcurrido ese plazo, debe realizarse una nueva auditoría completa por una entidad de certificación acreditada por ENAC y acreditada ante el CCN. Además, cualquier cambio significativo en el sistema (nuevo alcance, nueva infraestructura, cambio en la categoría) puede requerir una revisión anticipada.

El coste total varía según el tamaño de la organización y el alcance. De forma orientativa para una pyme española de 50–200 personas:

— Honorarios de consultoría (gap analysis, implementación, documentación): 15.000 – 40.000 €.
— Auditoría de certificación por organismo acreditado: 4.000 – 12.000 €.
— Auditorías de seguimiento anuales posteriores: 2.000 – 5.000 € / año.

Para organizaciones más grandes o con alcances complejos (múltiples sedes, infraestructura cloud, proveedores críticos) los costes aumentan proporcionalmente. Solicitando un diagnóstico inicial podemos darte un presupuesto cerrado.

Un proyecto de implementación y certificación ISO 27001 suele completarse en 6 – 12 meses para una organización mediana. Las fases son:

1. Diagnóstico inicial y gap analysis (2–4 semanas).
2. Diseño del SGSI, análisis de riesgos y SoA (6–10 semanas).
3. Implementación de controles y documentación (12–20 semanas).
4. Auditoría interna (2–4 semanas).
5. Auditoría de certificación externa (variable según organismo).

Organizaciones que ya disponen de controles técnicos implantados pueden acortar significativamente este plazo.

La certificación tiene una validez de tres años. Durante ese período el organismo certificador realiza dos auditorías de seguimiento anuales (primer y segundo año) para verificar que el SGSI sigue operativo. Al tercer año se realiza una auditoría de recertificación completa. La organización debe mantener también revisiones internas periódicas: al menos una auditoría interna y una revisión por la dirección cada año.

ISO 27001 es la norma certificable: define los requisitos del SGSI y es la que audita el organismo de certificación.

ISO 27002 es una guía de buenas prácticas que describe cómo implementar cada uno de los 93 controles del Anexo A de ISO 27001, pero no se puede certificar por sí sola.

Dicho de otro modo: ISO 27001 dice qué hay que conseguir; ISO 27002 explica cómo conseguirlo. Es habitual usarlas juntas durante la implementación.

La versión vigente, ISO/IEC 27001:2022, incluye 93 controles en el Anexo A, agrupados en cuatro dominios:

— Controles organizativos: 37.
— Controles de personas: 8.
— Controles físicos: 14.
— Controles tecnológicos: 34.

Esta estructura sustituye a los 14 dominios y 114 controles de la versión 2013. Se incorporaron 11 controles nuevos, entre ellos inteligencia de amenazas, seguridad en la nube y continuidad de TIC.

Como referencia general, se recomienda:

— Pentest externo: al menos una vez al año.
— Pentest interno: al menos cada 18 meses.
— Antes de puesta en producción de sistemas críticos o tras cambios significativos en la arquitectura.

El ENS exige auditorías técnicas periódicas en sistemas de categoría MEDIA y ALTA. En el sector financiero, DORA exige pruebas de penetración avanzadas (TLPT) para entidades significativas. Otros factores que justifican un pentest adicional: integración de nuevas aplicaciones, tras un incidente de seguridad o por requisito contractual de un cliente.

Un análisis de vulnerabilidades identifica y clasifica debilidades conocidas en sistemas y configuraciones, generalmente con herramientas automatizadas. Es rápido y puede ejecutarse con frecuencia alta (mensual o trimestral).

Un pentest va más allá: un equipo especializado intenta explotar activamente esas vulnerabilidades —y otras no detectadas automáticamente— para determinar el impacto real de un ataque. Requiere más tiempo, mayor especialización y ofrece una visión más realista del riesgo.

El análisis de vulnerabilidades es ideal para monitorización continua; el pentest para evaluaciones periódicas en profundidad.

Un Red Team es un ejercicio de seguridad ofensiva en el que un equipo externo simula a un adversario real —con las mismas técnicas, tácticas y procedimientos (TTPs) de ciberatacantes avanzados— durante semanas o meses, con objetivos concretos definidos de antemano.

A diferencia de un pentest convencional, el Red Team evalúa también las capacidades defensivas (detección, respuesta) del equipo de seguridad interno (Blue Team). Es el ejercicio de mayor realismo y suele reservarse para organizaciones con un nivel de madurez alto. La combinación de Red y Blue Team se denomina Purple Team.

La Directiva NIS 2 (UE 2022/2555) amplía el ámbito respecto a la NIS original. Afecta a:

Sectores esenciales: energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio.

Sectores importantes: servicios postales, gestión de residuos, fabricación de productos críticos, química, alimentación, proveedores digitales.

Las microempresas (<10 empleados, <2 M€ de facturación) están generalmente excluidas. Su transposición al ordenamiento español está pendiente de ley nacional específica.

Depende del tipo de organización y la gravedad del incidente:

— Sector público: incidentes de nivel alto o crítico se notifican al CCN-CERT.
— Operadores de servicios esenciales y proveedores digitales: se notifican al INCIBE-CERT en un máximo de 24 h (alerta temprana) y 72 h (notificación formal), según el esquema de la NIS 2.
— Incidentes con datos personales: siempre hay que notificar a la AEPD en 72 horas desde la detección, por exigencia del RGPD, independientemente del sector.

ISO 27001 e ISO 27701 (extensión de privacidad) son complementarios al RGPD, no sustitutivos. Implementar un SGSI conforme a ISO 27001 cubre gran parte de las obligaciones del RGPD en materia de seguridad del tratamiento (Art. 32), pero no la totalidad: el RGPD también impone derechos de los interesados, base jurídica del tratamiento, registros de actividades, evaluaciones de impacto (DPIA) y plazos de notificación de brechas.

Una organización certificada en ISO 27001 tiene ventaja probatoria a la hora de demostrar conformidad con el RGPD, pero la certificación no garantiza automáticamente el cumplimiento completo del Reglamento.

Un vCISO (Virtual CISO) es un CISO externo que presta sus servicios de forma parcial o por proyecto, aportando la visión estratégica de un director de seguridad sin el coste de una contratación a tiempo completo.

Es especialmente útil cuando:

— No tienes departamento de seguridad propio.
— Afrontas un proyecto de certificación ENS o ISO 27001 y necesitas liderazgo experto.
— Necesitas un interlocutor experto para el comité de dirección o un cliente que lo exige.
— El ENS te obliga a designar formalmente un Responsable de Seguridad y no tienes un perfil interno adecuado.

Para una auditoría ENS: política de seguridad, análisis de riesgos, declaración de aplicabilidad (SoA), procedimientos de las medidas aplicables según el Anexo II, evidencias de su aplicación práctica, y actas de revisión por la dirección.

Para ISO 27001 el esquema es similar, referenciando las cláusulas 4–10 de la norma y los 93 controles del Anexo A.

En ambos casos, la auditoría evalúa tanto la documentación como la evidencia de que los controles están operativos —no basta con tener el papel escrito.

Nuestro proceso habitual tiene cuatro fases:

1. Diagnóstico inicial gratuito: análisis del punto de partida, identificación de gaps y estimación del esfuerzo.
2. Propuesta y planificación: alcance, hitos, responsabilidades y presupuesto cerrado.
3. Implantación o auditoría: según el servicio, con seguimiento semanal y entregables parciales.
4. Cierre y soporte: revisión de resultados, documentación editable y soporte a la auditoría de certificación.

Trabajamos de forma colaborativa con el equipo interno del cliente, no como una caja negra.

Trabajamos con todo tipo de organizaciones: ayuntamientos y diputaciones, hospitales, universidades, pymes tecnológicas y empresas de servicios de distintos sectores. Adaptamos metodología, alcance y presupuesto a la realidad de cada cliente. Muchos de nuestros proyectos son precisamente con organizaciones sin departamento de seguridad propio que necesitan un equipo externo que actúe como extensión de su equipo.

Sí. Cada servicio puede contratarse de forma independiente: solo el pentest, solo la formación en phishing, solo la auditoría interna ISO 27001, o solo la redacción de la política de seguridad. No tenemos paquetes cerrados obligatorios.

También ofrecemos consultoría continua (vCISO) para acompañarte mes a mes sin necesidad de proyectos puntuales.

Ofrecemos tres herramientas gratuitas en la web:

— Test de Autoevaluación de Cumplimiento: 17 preguntas que miden tu madurez en cinco categorías de seguridad.
— Herramienta de Categorización ENS: calcula la categoría BÁSICA/MEDIA/ALTA de tu sistema según el Anexo I del RD 311/2022.
— Generador de Declaración de Aplicabilidad: para ISO 27001 y ENS.

Cualquiera de las tres te dará una primera orientación objetiva en pocos minutos.