Llevamos casi 25 años acompañando a empresas en sus procesos de adecuación. Este año nos ha tocado a nosotros: Gesprodat ha obtenido la certificación ISO/IEC 27001:2022 y ha renovado su certificación ENS de categoría MEDIA, ambas emitidas por IVAC – Instituto de Certificación (Kiwa) y con un alcance que incluye nuestra plataforma Gesprodat SaaS Governance.
Aprovechamos nuestro reciente proceso de adecuación visto desde dentro para compartir con tu empresa lo que cuesta, lo que dura y lo que cambia después, sin teorías: experiencia real.
Tras recorrer en primera persona el mismo camino que planteamos a nuestros clientes: la definición de alcance, las evidencias y el auditor enfrente, ponemos nuestra experiencia a tu servicio.
¿Por qué hacerlo ahora? Cada vez más licitaciones y más organismos públicos exigen conformidad con el ENS a sus proveedores, y la ISO 27001 aparece ya en la mayoría de cuestionarios de proveedor del sector privado ¿Recuerdas nuestro primer caso abierto? Una empresa tuvo que cerrar por no tener el Esquema Nacional de Seguridad y no poder certificarse a tiempo para un concurso.
Qué son la ISO 27001 y el ENS, en dos minutos
La ISO 27001 es la norma internacional que acredita que una organización gestiona la seguridad de su información mediante un sistema auditado por una entidad externa. Es voluntaria y la pueden exigir los clientes, las licitaciones y los cuestionarios de proveedor. La versión vigente es la ISO/IEC 27001:2022.
El ENS (Esquema Nacional de Seguridad) es el marco español regulado por el Real Decreto 311/2022. Obliga al sector público y, por su artículo 2.3, también a las entidades privadas que «presten servicios o provean soluciones» a ese sector. Su objetivo es garantizar la seguridad de sistemas y servicios dentro de su alcance. Tiene tres categorías según el impacto que tendría un incidente: básica, media y alta. Los sistemas de categoría básica declaran su conformidad mediante autoevaluación y los de media y alta necesitan una auditoría para certificarse.
Cuánto dura
Nuestros procedimientos internos ya se basaban en estas políticas desde hacía tiempo, así que no partíamos de cero. Lo que hicimos este año fue documentarlo todo para la certificación y, al hacerlo, detectar y subsanar algunas deficiencias. Desde que cerramos la declaración de aplicabilidad en enero de 2026 hasta tener los dos certificados pasaron unos diez meses: la ISO 27001 llegó en junio, la auditoría del ENS se celebró en julio y el certificado de renovación se emitió en octubre.
Lo que más aceleró el proceso fue tener una estructura base de seguridad sólida, tanto en la parte técnica como en la procedimental. Lo que más lo frena es arrancar sin documentación previa: el trabajo de campo se hace relativamente rápido, pero reconstruir a posteriori quién aprobó qué y cuándo puede llevar semanas. En nuestro caso no fue así porque ya teníamos realizado un trabajo previo.
Cuánto cuesta
Esta cifra casi nunca se publica porque depende mucho de cada organización, así que vamos por partes. El presupuesto de una certificación tiene cinco partidas y solo dos llegan en forma de factura:
- Auditoría de certificación. La entidad certificadora cobra por jornadas de auditor, y las jornadas salen del alcance y del tamaño de la organización. Es la única partida con precio cerrado desde el principio.
- Consultoría de adecuación. Quien no tiene el conocimiento en casa debe contratarlo externamente. En nuestro caso realizamos la implementación de ambas normas internamente y con nuestros propios recursos, y fue un auditor externo quien midió nuestro nivel de cumplimiento antes de presentarnos al proceso de certificación.
- Horas del equipo. La partida que nadie suma y que suele ser la mayor. Reuniones, redacción de políticas, búsqueda de evidencias y formación de la plantilla salen del tiempo de gente que ya tiene su trabajo.
- Herramientas. Donde se centraliza la documentación, las evidencias y el seguimiento de los controles.
- Mantenimiento. Los seguimientos anuales de la ISO 27001 y la auditoría del ENS al menos cada dos años. El gasto no termina con el certificado.
El precio se dispara por un alcance más amplio del que hacía falta, varias sedes o sociedades dentro del mismo proyecto, o empezar sin nada documentado. La primera es la más cara y la más fácil de evitar.
Lo que nadie te cuenta
Aquí van las cinco cosas que a cualquiera que se atreve a iniciar esta empresa le gustaría conocer antes de empezar.
El alcance es la decisión más cara y se toma el primer día. Define cuántas jornadas de auditoría pagas, cuántas medidas aplicas y cuánta gente se ve afectada. Se decide en una reunión de dos horas, con prisa, y condiciona todo el proyecto.
Lo que se da por sabido no cuenta. En cualquier organización hay prácticas que el equipo ejecuta cada semana sin que queden registradas con fecha y responsable: la revisión de las copias, la retirada de accesos cuando alguien sale, el tratamiento de una incidencia. El auditor valora lo que puede leer, así que una parte importante del proyecto consiste en poner por escrito lo que ya se está haciendo.
La auditoría valora que el sistema funcione. Encontrar no conformidades forma parte del proceso. Lo que se valora es que la organización sepa dónde falla y tenga un plan con responsable y plazo para cada punto.
La dirección tiene que aparecer de verdad. Un comité que firma y desaparece se nota en la primera entrevista del auditor, porque las preguntas sobre riesgos asumidos y recursos asignados solo las puede responder quien decide.
El día que llega el certificado no se acaba nada. Empiezan las revisiones periódicas, y lo que no esté metido en la rutina de trabajo se cae en el primer seguimiento.
Qué cambia cuando ya lo tienes
Gesprodat ha obtenido la certificación ISO/IEC 27001:2022 (junio de 2026) y ha renovado su certificación de conformidad con el Esquema Nacional de Seguridad en categoría MEDIA (octubre de 2026), ambas emitidas por IVAC – Instituto de Certificación (Kiwa). El alcance cubre nuestros servicios de consultoría y formación, la gestión de canales de denuncias y la plataforma Gesprodat SaaS Governance.
Hacia fuera, el cambio es inmediato. Mantener el ENS nos permite seguir trabajando con el sector público sin interrupciones, y con la ISO 27001 los cuestionarios de seguridad que antes llevaban días de recopilación ahora se contestan adjuntando un certificado.
Hacia dentro cambia algo menos visible y más útil. Cada control tiene un responsable y una fecha de revisión, las decisiones sobre riesgos quedan registradas y, cuando pasa algo, hay un procedimiento escrito en lugar de una cadena de correos. Como lo resume Luis Andrés Varón, director de consultoría:
Ayudamos a empresas a certificarse; nuestra experiencia en este proceso nos ayuda a contar con la empatía antes de proponer o aconsejar. Hemos pasado por el mismo camino que atraviesan las empresas que están en proceso de certificación.
Y hay una consecuencia de todo esto que ya teníamos entre manos y que el proceso confirmó: el cuello de botella de cualquier certificación son las evidencias repartidas entre carpetas compartidas, hojas de cálculo y correos. Este es uno de los motivos para haber desarrollado una herramienta terriblemente necesaria en este ámbito: Gesprodat SaaS Governance, donde el ENS, la ISO 27001 y el resto de marcos conviven con las evidencias vinculadas a cada requisito y las tareas con su responsable y su fecha.
Si te acaban de pedir una de las dos y no sabes por dónde empezar, cuéntanos tu caso. Hemos pasado por ello hace poco y lo tenemos reciente.
Preguntas frecuentes
¿Es obligatorio el ENS para una empresa privada?
Sí, cuando presta servicios o provee soluciones a entidades del sector público. Así lo recoge el artículo 2.3 del Real Decreto 311/2022, que además permite que los requisitos de conformidad se extiendan a la cadena de suministro del contratista.
¿Qué diferencia hay entre la ISO 27001 y el ENS?
La ISO 27001 es una norma internacional voluntaria que se exige por contrato; el ENS es una obligación legal española vinculada al sector público. La ISO 27001 tiene un único nivel y el ENS tres categorías (básica, media y alta), con formas distintas de acreditar el cumplimiento.
¿Qué categoría del ENS necesito?
La que corresponda al impacto que tendría un incidente sobre la información y los servicios del sistema, según el procedimiento del anexo I del Real Decreto 311/2022. En muchos casos viene indicada en el pliego de la licitación o la fija el organismo al que prestas el servicio.
¿Hace falta auditoría para el ENS?
Depende de la categoría. Los sistemas de categoría básica pueden declarar su conformidad mediante autoevaluación, mientras que los de categoría media y alta necesitan una auditoría para obtener la certificación de conformidad.
¿Cada cuánto hay que renovar?
El ENS obliga a auditar los sistemas incluidos en su ámbito al menos cada dos años. La ISO 27001 funciona con ciclos de certificación de tres años y auditorías de seguimiento anuales.
¿Me sirve la ISO 27001 para cumplir el ENS?
Adelanta bastante trabajo, aunque no sustituye al ENS. El análisis de riesgos, las políticas y buena parte de las evidencias son aprovechables, pero el ENS tiene su propio catálogo de medidas y su propio procedimiento de conformidad.
¿Cuánto se tarda en certificarse?
Depende sobre todo del alcance elegido y de cuánto haya documentado ya la organización. Una empresa con políticas y registros al día avanza mucho más rápido que otra que arranque de cero, así que el análisis de diferencias inicial es lo que permite dar un plazo fiable.
¿Cuánto cuesta certificarse en ISO 27001 o en el ENS?
El presupuesto tiene cinco partidas: la auditoría de la entidad certificadora, la consultoría de adecuación, las horas internas del equipo, las herramientas donde se centraliza la documentación y el mantenimiento posterior. La auditoría se cotiza por jornadas según el alcance y el tamaño de la organización, y las horas internas suelen ser la partida mayor.
¿Puede certificarse una pyme?
Sí. El tamaño influye en el volumen de trabajo, no en la posibilidad de obtenerla, y el alcance puede acotarse a los servicios que realmente lo necesitan.