Soy Ángel Ortega Castro, consultor ENS independiente. Hago la pre-auditoría ENS de tu empresa: un ensayo completo de la auditoría de conformidad (Anexo III del RD 311/2022), con informe de no conformidades y plan de cierre, antes de que llegue el auditor de la entidad acreditada por ENAC. La certificación no la emito yo: la emite esa entidad.
La pre-auditoría ENS ensaya, antes de la visita de la entidad acreditada, lo que exige el Anexo III del Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191): las medidas del Anexo II que corresponden a tu categoría, la política de seguridad, el análisis de riesgos con su revisión anual y el sistema de gestión documentado (apartado 1.1). Qué es la auditoría ENS y cómo se prepara completa está en la guía de la auditoría del ENS.
No es una revisión documental superficial. El ensayo examina la implantación real de los controles, la existencia de evidencias auditables y la coherencia entre lo declarado en la Declaración de Aplicabilidad (DdA) y lo practicado en la organización. Su resultado es un informe de pre-auditoría con los hallazgos, las no conformidades y un plan de cierre. El informe de auditoría con dictamen (favorable, favorable con no conformidades o desfavorable) y, en categoría media o alta, la certificación los emite la entidad acreditada.
En categoría media o alta, la auditoría de conformidad la realiza un tercero, una entidad acreditada por ENAC, que evalúa de forma objetiva el grado de cumplimiento del sistema. En categoría básica basta una autoevaluación hecha por el propio personal.
Los pliegos de contratación pública exigen cada vez con más frecuencia que los proveedores acrediten la conformidad ENS. La certificación es el justificante que los satisface.
La certificación ENS tiene una vigencia de dos años. Pasado ese plazo es necesario superar una nueva auditoría de conformidad para mantener la certificación vigente.
El ciclo de auditoría obliga a mantener y actualizar los controles, lo que convierte la conformidad ENS en un sistema vivo de mejora de la seguridad, no en un trámite puntual.
La disposición transitoria única del RD 311/2022 fijó 24 meses para que los sistemas preexistentes se adecuasen; ese plazo finalizó el 5 de mayo de 2024. La obligación está plenamente vigente: los nuevos sistemas deben cumplir desde el primer día y la cláusula modelo del CCN para los contratos exige mantener la conformidad en vigor durante todo el contrato. Si tu empresa presta servicios al sector público y aún no has iniciado la adecuación, te explico el punto de partida en la guía completa del ENS y en el servicio de consultoría ENS para empresas.
Con la declaración de conformidad (categoría básica) o la certificación (media o alta), el sistema se publica con su distintivo de conformidad en tu web o sede, enlazado al documento correspondiente (artículo 38.2 del RD 311/2022; Instrucción Técnica de Conformidad, apartados IV.3, V.3 y VII.3). Cómo se hace está en distintivo de conformidad ENS.
La certificadora no puede asesorarte ni redactar tu documentación (Instrucción Técnica de Auditoría, apartado IV.2). Por eso la preparación y la certificación son dos contratos distintos, y el listado oficial de entidades de certificación lo publica el CCN en su sede.
Esta página trata el ensayo previo. Si lo que buscas es entender y organizar toda la preparación, está la guía para preparar la auditoría del ENS paso a paso; y si lo que necesitas es contratar la auditoría de certificación y elegir entidad, lo explico en cómo contratar la auditoría ENS y a quién.
Muchas no conformidades en una auditoría ENS nacen de la improvisación: llegar sin evidencias ordenadas, con la DdA desactualizada o con controles implantados pero sin registro. Mi trabajo empieza antes de la visita del auditor de la entidad acreditada; cada fase produce un entregable concreto sobre el que apoyamos la siguiente.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico pre-auditoría | Análisis diferencial entre la situación real del sistema y los requisitos del Anexo III. Identificamos los controles sin evidencia, los procedimientos sin formalizar y las brechas que el auditor detectaría. | Informe de brechas con criticidad y orden de cierre. Base para el Anexo III del ENS. |
| Fase 02 Mapa de evidencias | Catalogación exhaustiva de todas las evidencias requeridas por el Anexo II según la categoría del sistema (básica, media o alta). Para cada control: estado actual, evidencia disponible, pendiente y responsable. | Registro de evidencias con semáforo de estado. Alineado con las guías CCN-STIC 802, 804 y 808. |
| Fase 03 Revisión y ajuste documental | Actualización de la Declaración de Aplicabilidad (DdA), la política de seguridad y el análisis de riesgos (MAGERIT). Coherencia entre la documentación y la implantación real de los controles. | Documentación alineada con el Anexo III y con la guía CCN-STIC 806 (plan de adecuación). |
| Fase 04 Ensayo (pre-auditoría) | Ensayo completo que simula la visita del auditor de la entidad acreditada: revisión de controles, entrevistas con el personal responsable y pruebas técnicas. Resultado: lista de no conformidades antes de la auditoría real. Si he hecho yo la adecuación, este ensayo es una revisión de preparación, no una auditoría independiente: no audito lo que yo mismo he implantado. | Informe de pre-auditoría con no conformidades y plan de cierre. Ver guía de preparación de la auditoría ENS. |
| Fase 05 Acompañamiento en la auditoría acreditada | Soporte durante la visita de la entidad acreditada por ENAC: coordinación de reuniones, clarificación de evidencias en tiempo real y respuesta técnica a los hallazgos del auditor. | Reducción de no conformidades durante el proceso. La certificación la emite la entidad acreditada por ENAC, no el consultor. |
| Fase 06 Cierre y seguimiento bienal | Resolución de las no conformidades detectadas por el auditor. Hoja de ruta para mantener la conformidad activa hasta la renovación bienal y preparar el siguiente ciclo de auditoría. | Plan de mejora continua y calendario de renovación cada dos años. |
¿Quieres entender en qué consiste cada prueba que realiza el auditor? Lo detallo en el artículo sobre el Anexo III del ENS y la auditoría de conformidad. Y si tu empresa provee servicios a la Administración, encontrarás el contexto jurídico en ENS para proveedores: ¿me obliga la Administración?
El Anexo I del RD 311/2022 establece tres categorías de sistemas según el impacto que tendría un incidente de seguridad sobre las cinco dimensiones (CIDAT): confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. La dimensión con mayor nivel determina la categoría del sistema, y esta categoría define la vía de conformidad que tu organización debe seguir y el tipo de auditoría exigido.
Cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas.
Cuando un incidente supondría un perjuicio grave; alguna dimensión alcanza el nivel medio.
Cuando un incidente causaría un perjuicio muy grave, incluso irreparable; alguna dimensión llega al nivel alto.
La hago yo como ensayo, antes de la visita del tercero acreditado. Su objetivo es detectar no conformidades con tiempo suficiente para corregirlas. No tiene validez oficial ni acredita la conformidad ante la Administración, pero es la forma de llegar con los hallazgos ya cerrados. Si he hecho yo la adecuación, este ensayo es una revisión de preparación, no una auditoría independiente: no audito lo que yo mismo he implantado.
En categoría media o alta, la conformidad solo puede acreditarse mediante una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012 (o en proceso de acreditación, según la relación del CCN). Esta entidad emite el certificado de conformidad ENS, que es el documento que satisface los pliegos de contratación pública. El consultor prepara y acompaña; el certificado lo emite el tercero acreditado. Nunca «certificación garantizada»: eso no existe en ningún proceso de auditoría riguroso.
¿Necesitas ayuda para categorizar tu sistema antes de decidir qué vía seguir? Te orienta la guía de categorías ENS básica, media y alta, y si dudas entre el ENS y la ISO 27001, comparo ambos marcos en ENS o ISO 27001 para licitar con la Administración.
El trabajo de preparación no consiste en redactar documentos que nadie lee. Cada entregable tiene un destinatario concreto (el auditor de la entidad acreditada, tu equipo de seguridad o el responsable de la licitación) y está diseñado para ser útil en el proceso real de certificación.
Integradores, proveedores de servicios en la nube y desarrolladores de software que necesitan certificar la conformidad ENS para mantener sus contratos públicos o acceder a nuevos pliegos que la exigen.
Compañías privadas que afrontan por primera vez la certificación ENS como requisito de solvencia para presentarse a concursos públicos. La auditoría es la puerta de entrada a un mercado que de otro modo queda cerrado.
Organizaciones cuya certificación ENS caduca en los próximos meses y necesitan una revisión del estado actual, actualización de evidencias y acompañamiento en la nueva auditoría de conformidad bienal.
El coste depende de la categoría del sistema (básica, media o alta), del número de sistemas en alcance y de la madurez de partida: cuantas más brechas existan antes de la auditoría, mayor es el trabajo de cierre previo. No hay una cifra única válida para todos los casos.
A este coste de preparación y acompañamiento hay que sumar, en categoría media o alta, los honorarios de la entidad certificadora acreditada, que son independientes de los míos y los factura el tercero que emite el certificado. En la primera llamada valoramos ambas partidas sin compromiso.
La pre-auditoría ENS es un ensayo completo de la auditoría de conformidad (Anexo III del Real Decreto 311/2022) que se hace antes de que llegue el auditor: se revisan controles, evidencias y documentación, se entrevista al personal responsable y se entrega un informe con las no conformidades y un plan de cierre. No tiene valor de certificación. El dictamen oficial lo emite, en categoría media o alta, la entidad acreditada por ENAC. Su utilidad es llegar a esa auditoría con los hallazgos ya cerrados. La auditoría real, qué es y cómo se prepara, está en la guía de la auditoría ENS.
No. No emite certificado ni declaración de conformidad, y no sustituye ni a la autoevaluación de categoría básica ni a la auditoría de certificación de categoría media o alta (artículo 38.1 y Anexo III del RD 311/2022). Es una herramienta de preparación: te dice qué encontraría un auditor y te da tiempo para corregirlo.
Un informe de brechas frente al Anexo III con la criticidad de cada hallazgo, el mapa de evidencias por control del Anexo II con su estado y responsable, y un plan de cierre de las no conformidades con plazos y acciones. Si además hace falta, reviso la Declaración de Aplicabilidad, la política de seguridad y el análisis de riesgos. La organización de toda la preparación, paso a paso, está en la guía para preparar la auditoría del ENS.
Antes de la primera auditoría de certificación y antes de cada renovación: el ENS exige auditoría ordinaria al menos cada dos años y extraordinaria cuando hay modificaciones sustanciales en el sistema (artículo 31.1 del RD 311/2022). Lo ideal es dejar margen suficiente entre la pre-auditoría y la visita real para cerrar los hallazgos.
El método se parece, pero no son lo mismo. La auditoría interna la hace la propia organización o quien esta designe: el RD 311/2022 no fija quién debe hacerla, aunque conviene que quien la haga no audite lo que implantó él mismo. Por eso, si yo hago tu adecuación, mi pre-auditoría es una revisión de preparación, no una auditoría independiente. Ninguna de las dos certifica. Comparo las dos vías con detalle en auditoría interna ENS frente a auditoría de certificación.
En categoría media o alta, la auditoría para la certificación la realiza una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012, o en proceso de acreditación, según la relación que publica el CCN en su listado de entidades de certificación. En categoría básica basta una autoevaluación hecha por el propio personal y no hace falta auditor externo. Yo no certifico: preparo y acompaño. La certificadora tampoco puede asesorarte ni redactar tu documentación (Instrucción Técnica de Auditoría, apartado IV.2), por eso son dos contratos. Qué se contrata a cada proveedor y cómo elegir entidad lo explico en contratar la auditoría ENS y a quién.
La auditoría de certificación es obligatoria si tu sistema es de categoría media o alta y prestas servicios o provees soluciones al sector público para el ejercicio de sus competencias y potestades administrativas (artículo 2.3 del RD 311/2022). En categoría básica basta la declaración de conformidad autoevaluada, aunque algunos pliegos exigen más. El plazo de adecuación de los sistemas preexistentes finalizó el 5 de mayo de 2024. Cada cuánto se audita y quién puede hacerlo lo explico en cada cuánto se audita el ENS y quién audita; y si no sabes si tu empresa está obligada, mira la guía sobre ENS para proveedores y licitaciones.
Si el dictamen es «favorable con no conformidades», tienes un mes como máximo para presentar el Plan de Acciones Correctivas, y el certificado se expide si ese plan trata y resuelve los hallazgos, a criterio de la entidad. Si es «desfavorable», hay que pasar una auditoría extraordinaria sobre esos hallazgos en un plazo no superior a seis meses (apartados VI.3 a VI.5 de la Instrucción Técnica de Auditoría de la Seguridad). Una pre-auditoría rigurosa reduce el número y la gravedad de los hallazgos; si aparecen, te acompaño en el cierre.
No. La consultoría ENS abarca todo el ciclo de adecuación: diagnóstico inicial, categorización del sistema, análisis de riesgos con MAGERIT, plan de adecuación e implantación de las medidas del Anexo II. La pre-auditoría es el ensayo final antes de la verificación por un tercero acreditado. Si partes de cero, el camino empieza en la consultoría; si ya tienes el sistema adecuado, entramos directamente en las fases de esta página.
Depende de la categoría del sistema, del número de sistemas en alcance y de la madurez de partida. Preparo un presupuesto cerrado tras un diagnóstico inicial. En categoría media o alta hay que sumar los honorarios de la entidad certificadora, que son independientes de los míos.
Primera llamada sin coste ni compromiso. Valoramos tu categoría y el alcance del sistema, identificamos las brechas principales y, si encajamos, te paso una propuesta cerrada para hacer la pre-auditoría y llegar preparado a la auditoría de conformidad.