Una auditoría ENS en Barcelona la realiza una entidad de certificación acreditada por ENAC, conforme a la UNE-EN ISO/IEC 17065 (apdo. VI.1 de la Instrucción Técnica de conformidad); en el sector público, el apdo. VI.4 exime de esa acreditación a los órganos públicos con competencias de auditoría de sistemas, siempre que su imparcialidad quede garantizada; no un auditor «local»: estas entidades operan en toda España y su ubicación no condiciona tu elección. En categoría BÁSICA basta una autoevaluación; en MEDIA y ALTA, la certificación de conformidad por un tercero es obligatoria y se repite, al menos, cada dos años. Aquí te explico quién puede auditar, las fases del proceso, de qué depende el precio y cómo preparo yo esa auditoría desde fuera de Barcelona.
Me llamo Ángel Ortega Castro y acompaño a empresas en la adecuación y la auditoría del Esquema Nacional de Seguridad. Trabajo desde Valladolid y Las Palmas, y atiendo proyectos en toda España, Cataluña incluida. Si has llegado hasta aquí buscando «auditor ENS en Barcelona», probablemente estés en un pliego que te lo exige, o a punto de estarlo. Voy a contarte cómo funciona de verdad: quién puede firmar tu certificado, qué se hace en remoto y qué en persona, cómo se calcula el precio y qué depende de ti para pasar la auditoría a la primera.
Quién puede auditar el ENS en Barcelona (respuesta rápida)
El ENS no lo audita cualquiera, y el matiz «en Barcelona» es menos importante de lo que parece. Lo que cambia no es la ciudad, sino la categoría de tu sistema y el tipo de conformidad que necesitas:
- Categoría BÁSICA. Se admite la autoevaluación de conformidad en categoría BÁSICA: la propia organización verifica que cumple y publica su declaración de conformidad. No hace falta una entidad externa que la firme, aunque conviene que la revise alguien con criterio antes de darla por buena.
- Categorías MEDIA y ALTA. La certificación de conformidad es obligatoria y solo puede emitirla una entidad de certificación acreditada por ENAC para el esquema del ENS, conforme a la UNE-EN ISO/IEC 17065 (apdo. VI.1 de la Instrucción Técnica de conformidad); en el sector público, el apdo. VI.4 exime de esa acreditación a los órganos públicos con competencias de auditoría de sistemas, siempre que su imparcialidad quede garantizada. Esa acreditación es la que garantiza que el auditor es independiente y competente; sin ella, un «certificado» no tiene valor ante un órgano de contratación.
La acreditación de ENAC es nacional: la entidad que te certifica en Barcelona es la misma que certifica en Madrid, Bilbao o Valladolid. No existe un registro de «auditores ENS de Barcelona» separado del resto de España. Para comprobar quién está reconocido, puedes revisar el listado de empresas certificadas en el ENS y contrastar categorías, alcance y vigencia. Y si quieres el detalle normativo de con qué periodicidad y quién realiza la revisión, lo desarrollo en el artículo sobre cada cuánto se repite la auditoría de conformidad y quién la realiza, apoyado en el Anexo III del ENS, que regula la auditoría de conformidad.
¿El auditor tiene que ser de Barcelona? Auditoría presencial y en remoto
No. La ubicación del auditor no limita tu elección y, en la práctica, buena parte del trabajo ni siquiera necesita que nadie pise tu oficina. Conviene separar las dos naturalezas del proceso:
- Lo que se hace en remoto. La revisión documental —política de seguridad, análisis de riesgos, declaración de aplicabilidad, procedimientos, evidencias— se realiza a distancia sin pérdida de calidad. Es el grueso de las horas de una auditoría bien preparada.
- Lo que suele requerir presencia. La verificación de campo (comprobar que lo documentado se aplica de verdad: control de accesos físicos, salas técnicas, entrevistas al personal, pruebas sobre sistemas concretos) puede exigir una visita in situ, sobre todo en categoría ALTA o cuando hay sedes físicas relevantes que proteger.
Que el proceso admita tanto remoto como presencial es justo lo que hace irrelevante el código postal del auditor. Elegir una entidad por cercanía geográfica, y no por su solvencia y su experiencia en tu sector, es optimizar la variable equivocada. Lo que sí aporta conocer el terreno catalán es entender qué piden los pliegos de la Generalitat y de los entes locales, algo que se resuelve con criterio, no con proximidad física.
Fases de una auditoría ENS: de la revisión documental al certificado
Una auditoría de conformidad sigue siempre la misma secuencia, tenga tu empresa la sede en Barcelona o en cualquier otro sitio. Esta tabla resume cada fase y dónde se ejecuta:
| Fase | En qué consiste | Dónde se hace |
|---|---|---|
| 1. Alcance y planificación | Definir qué sistemas y servicios se auditan, la categoría aplicable y el calendario | Remoto |
| 2. Auditoría documental | Revisar la documentación del sistema de gestión: política, análisis de riesgos, declaración de aplicabilidad y procedimientos | Remoto |
| 3. Auditoría de campo | Verificar que lo documentado se aplica: entrevistas, evidencias operativas y pruebas técnicas | Presencial o remoto según categoría y alcance |
| 4. Informe de hallazgos | Documentar no conformidades y observaciones, clasificadas por gravedad | Remoto |
| 5. Plan de acciones correctivas | Subsanar las no conformidades dentro del plazo acordado | Trabajo interno + revisión remota |
| 6. Emisión del certificado | La entidad acreditada emite la certificación (o tú publicas la declaración, en BÁSICA), con validez de referencia de dos años | Remoto |
La duración total varía mucho: unas semanas para un alcance pequeño en categoría BÁSICA y hasta varios meses en sistemas complejos de categoría ALTA, contando siempre el tiempo de subsanar las no conformidades. El plazo lo marca sobre todo lo preparado que llegues a la fase 2, no la agenda del auditor.
Los seis puntos que el auditor tiene que constatar
No es discrecional. El Anexo III del Real Decreto 311/2022 fija lo que la auditoría debe comprobar, y su apartado 1.1 lo enumera en seis letras: que la política de seguridad define los roles y que hay un procedimiento para designar y renovar a quienes los ocupan; que existen procedimientos de resolución de conflictos entre esos responsables; que se ha hecho un análisis de riesgos con revisión y aprobación anual; que se cumplen las recomendaciones de protección del Anexo II según las medidas que apliquen; que existe un sistema de gestión de la seguridad de la información documentado y con revisión y aprobación periódica; y que se cumplen los requisitos mínimos y los principios básicos.
El apartado 1.2 añade sobre qué se apoya el dictamen: se admiten cuatro clases de evidencia, y los productos certificados conforme al artículo 19 valen como evidencia suficiente. Comprar producto certificado sale más caro el primer día y más barato el día de la auditoría.
Quien te prepara no puede auditarte
Conviene saberlo antes de contratar nada, porque condiciona a quién llamas. La Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información, aprobada por la Resolución de 27 de marzo de 2018 (BOE-A-2018-4573), establece en su apartado IV.2 que la auditoría no puede incluir consultoría sobre el sistema auditado, y eso alcanza expresamente a la redacción de los documentos del ENS.
La consecuencia práctica es que son dos contratos y dos proveedores. Uno te acompaña en la adecuación: análisis de riesgos, política, procedimientos, Declaración de Aplicabilidad, implantación de medidas. Otro, acreditado por ENAC, viene después y comprueba. Si alguien te ofrece las dos cosas en el mismo paquete para el mismo sistema, o no va a auditarte él, o hay un problema de independencia que aparecerá justo cuando peor viene.
Que la entidad certificadora esté o no en Barcelona es, comparado con esto, casi irrelevante: la acreditación de ENAC vale en toda España y buena parte del trabajo se hace en remoto.
Cuánto cuesta una auditoría ENS y de qué depende el precio
No voy a darte una cifra cerrada porque sería inventarme tu caso. El coste de una auditoría ENS no responde a un tarifario, sino a un puñado de factores que multiplican o reducen los días de trabajo del auditor. Estos son los que de verdad mueven la aguja:
| Factor | Cómo afecta al coste |
|---|---|
| Categoría del sistema | A mayor categoría (BÁSICA, MEDIA o ALTA), más medidas del Anexo II a verificar y más profundidad de auditoría |
| Alcance | Número de sistemas, servicios y procesos incluidos: cuanto más amplio, más horas |
| Número de sedes | Varias ubicaciones físicas relevantes pueden multiplicar las visitas de campo |
| Complejidad tecnológica | Desarrollos propios, servicios en la nube o muchas aplicaciones alargan la verificación |
| Madurez previa | Contar con ISO 27001 o una adecuación bien hecha reduce hallazgos y, por tanto, coste y plazo |
| Preauditoría | Es un gasto adicional que suele salir a cuenta: detecta las brechas antes de la auditoría oficial y evita repetir fases |
Para hacerte una idea realista y coherente de las horquillas, cruza estos factores con lo que explico en el artículo sobre el proceso y los costes de la certificación ENS. La regla práctica es sencilla: cada euro que inviertes en llegar preparado a la auditoría es un euro que no gastas en repetir fases y subsanar no conformidades.
ENS para proveedores de administraciones catalanas: qué exigen los pliegos
El motivo más habitual por el que una empresa catalana busca auditarse en el ENS es un pliego. Si prestas o quieres prestar servicios a la Generalitat, a las diputaciones (Barcelona, Girona, Tarragona o Lleida) o a los ayuntamientos, cada vez es más frecuente que el contrato te exija acreditar conformidad con el ENS, porque tratas información o sistemas de una Administración pública. El Consorci Administració Oberta de Catalunya (AOC), que coordina la administración electrónica en Cataluña, empuja precisamente en esa dirección.
Dos claves para no equivocarte al leer el pliego:
- La categoría la fija el pliego o el sistema, no tú. Un contrato puede pedir conformidad en categoría MEDIA y otro en ALTA; certificarte en la que no toca ni te sirve para licitar ni te ahorra dinero. Revisa qué exige exactamente el pliego antes de mover ficha.
- La obligación se traslada en cascada. Si subcontratas parte del servicio, tus subcontratistas relevantes también quedan alcanzados. Conviene tenerlo previsto en tus propios contratos.
Todo esto lo trato con más detalle en la guía sobre qué exige el ENS a los proveedores de la Administración en licitaciones y pliegos. La idea de fondo: el ENS ha dejado de ser cosa solo del sector público; es, cada vez más, la llave para entrar en su cadena de suministro.
Trabajar con un consultor ENS en remoto (y presencial cuando hace falta)
Aquí quiero ser transparente contigo, porque es donde más confusión veo. Hay dos papeles distintos que no pueden mezclarse:
- La entidad de certificación es quien audita y emite el certificado en MEDIA y ALTA. Debe ser independiente y estar acreditada por ENAC. Por esa exigencia de independencia, quien te ayuda a adecuarte no puede ser, a la vez, quien te certifica.
- El consultor —mi papel— es quien te prepara: monta el sistema de gestión, hace el análisis de riesgos, redacta la declaración de aplicabilidad, corrige lo que falla y te acompaña en una preauditoría para que llegues a la certificación sin sustos.
Trabajo desde Valladolid y Las Palmas, y esa es justo la ventaja que te ofrezco con honestidad: casi todo mi trabajo contigo es remoto —documentación, riesgos, reuniones, revisión de evidencias— y me desplazo a tu sede cuando el proyecto lo pide, en Barcelona o donde estés. No te vendo cercanía de barrio; te vendo que el ENS no necesita que tu consultor viva en tu misma ciudad para hacerlo bien, y sí necesita que sepa lo que hace. Si lo que buscas es esa preparación, ahí encaja mi servicio de consultoría ENS, pensado para empresas que quieren licitar o ser proveedoras de la Administración.
Cómo preparar la auditoría del ENS para pasarla a la primera
Las auditorías no se «aprueban» por suerte: se llega a ellas preparado o no. Estos son los puntos que reviso siempre antes de sentar a un cliente delante del auditor:
- Análisis de riesgos vivo. Actualizado, coherente con la categoría del sistema y trazable hasta las medidas que has implantado.
- Declaración de aplicabilidad honesta. Que refleje lo que de verdad aplicas, con la justificación de lo que excluyes. Un documento maquillado se cae en la fase de campo.
- Evidencias con fecha. Registros de la gestión de incidentes, pruebas de continuidad y resultados recientes. Los documentos sin fecha levantan más sospechas de las que evitan.
- Preauditoría. Un ensayo general que detecta las no conformidades antes de que las encuentre el auditor oficial, cuando aún salen baratas de corregir.
Si quieres el detalle de esta fase, lo amplío en el artículo sobre cómo prepararse y superar la auditoría de conformidad. La preparación es, con diferencia, la variable que más influye en que la auditoría sea corta, barata y sin sobresaltos.
Preguntas frecuentes sobre la auditoría ENS en Barcelona
¿Quién puede auditar el ENS?
En categorías MEDIA y ALTA, la certificación la emite una entidad certificadora acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. En categoría BÁSICA no hace falta auditor externo: la conformidad se acredita mediante autoevaluación, que según el Anexo III puede realizar el propio personal que administra el sistema o la persona en quien delegue.
¿La auditoría ENS puede hacerse en remoto desde Barcelona?
Buena parte del trabajo sí. La revisión documental y muchas de las entrevistas se hacen en remoto, y el real decreto no impone presencialidad. Lo que sí exige el Anexo III es que las comprobaciones sobre sistemas en operación se planifiquen y se acuerden previamente, para no comprometer el servicio.
¿Cuánto tarda una auditoría ENS?
Depende del alcance y de lo preparado que llegues, no de la ciudad. Lo que sí tiene plazo fijo es la repetición: la comprobación del cumplimiento se hace al menos cada dos años, y hay que volver a auditar de forma extraordinaria siempre que se produzcan modificaciones sustanciales en el sistema, lo que reinicia el cómputo de los dos años.
¿Qué pasa si la auditoría detecta no conformidades?
Depende de su gravedad, y la Instrucción Técnica de Seguridad de Auditoría distingue dos clases. Una no conformidad menor es un incumplimiento puntual que no compromete la eficacia del sistema de gestión; una mayor sí la compromete, y hasta que no se subsana no hay certificación. Además, en categoría ALTA, el artículo 31.6 permite al responsable del sistema suspender temporalmente el tratamiento de informaciones, la prestación de servicios o la operación del sistema, según la gravedad de las deficiencias.
¿Necesito el ENS para licitar con la Generalitat o los ayuntamientos catalanes?
Si el pliego lo pide, sí, y el artículo 2.3 del Real Decreto 311/2022 obliga a que los pliegos contemplen los requisitos necesarios para asegurar la conformidad con el ENS, mencionando expresamente la presentación de Declaraciones o Certificaciones de Conformidad. Lo que cambia entre organismos no es la obligación, es qué documento piden y con qué alcance.
¿Cuánto cuesta una auditoría ENS en Barcelona?
La factura de la auditoría la pone la entidad certificadora y depende de tu categoría y de tu alcance, no de la provincia. Lo que sí cambia el precio total del proyecto es cuánto llegues con hecho: una auditoría sobre un expediente incompleto se alarga, y las no conformidades mayores obligan a subsanar y volver.
¿Cada cuánto hay que repetir la auditoría del ENS?
Al menos cada dos años, tanto en la vía de la declaración como en la de la certificación. Y de forma extraordinaria siempre que se produzcan modificaciones sustanciales en el sistema, que reinician el cómputo. El real decreto prevé además una prórroga de hasta tres meses por causa de fuerza mayor no imputable a la entidad titular.
¿Puede auditarme la misma consultora que me preparó el expediente?
No para el mismo sistema. La Instrucción Técnica de Seguridad de Auditoría establece en su apartado IV.2 que la auditoría no puede incluir consultoría sobre el sistema auditado, incluida la redacción de los documentos del ENS. Son dos papeles incompatibles y dos contratos distintos.
Conclusión: elige por solvencia, no por proximidad
Auditarte en el ENS estando en Barcelona no tiene ningún misterio geográfico: la certificación la firma una entidad acreditada por ENAC que opera en toda España, buena parte del trabajo es remoto y el precio depende de tu categoría, tu alcance y lo preparado que llegues, no de la distancia. Lo que decide el resultado es la calidad de la preparación previa, y eso sí puedes controlarlo.
Si estás ante un pliego que te pide el ENS, o quieres adelantarte antes de que llegue, cuéntame tu caso y lo vemos juntos, sin compromiso.
Si prefiere llegar a esa auditoría con todo revisado antes de que la haga un tercero, puedo prepararle el terreno: así trabajo la auditoría ENS para empresas.
¿Necesitas preparar y superar la revisión de conformidad? Conoce mi servicio de auditoría ENS para empresas y administraciones de toda España, Cataluña incluida.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.