Certificación ENS: Proceso, Requisitos y Costes 2026

La certificación ENS exige análisis de riesgos, declaración de aplicabilidad y auditoría por entidad ENAC. Coste orientativo: 9.000-50.000€ según categoría y punto de partida.

Si lo que necesitas es la auditoría en sí y no el proceso de certificación completo, lo detallo en auditoría ENS para empresas y administración, y cómo llegar preparado en preparar la auditoría ENS.

Obtener la certificación del Esquema Nacional de Seguridad es un proceso que requiere planificación, recursos y un conocimiento preciso de lo que los auditores van a evaluar. No es un trámite sencillo, pero con la preparación adecuada y una hoja de ruta clara, cualquier organización puede superarlo con éxito. Esta guía detalla cada fase del proceso, los requisitos por categoría, los costes reales que puede esperar y los plazos habituales de un proyecto de certificación.

Antes de entrar en el proceso conviene tener claro el punto de partida: resumo qué es el ENS en cinco minutos y detallo a qué empresas y proveedores obliga el ENS.

Declaración, certificación y auditoría bienal: tres cosas distintas

Se confunden a diario, y la confusión sale cara porque cada una tiene un emisor y una consecuencia contractual distintas.

La lectura que más disgustos evita: la autoevaluación de la categoría básica no le exime del ciclo bienal, solo determina la forma que adopta. El anexo III lo llama «niveles de auditoría» y coloca la autoevaluación como el nivel que corresponde a la básica, no como una excepción al calendario.

La auditoría del artículo 31 puede servir también para certificarse

El artículo 31.1 impone una auditoría regular ordinaria, al menos cada dos años, a todos los sistemas del ámbito de aplicación, quiera usted certificarse o no. Y obliga a una auditoría extraordinaria «siempre que se produzcan modificaciones sustanciales en los sistemas de información, que puedan repercutir en las medidas de seguridad requeridas». Ese punto se pasa por alto al planificar, y es el que mueve el calendario: la extraordinaria «determinará la fecha de cómputo para el cálculo de los dos años» de la siguiente ordinaria. El plazo solo se extiende tres meses, y por fuerza mayor no imputable a la entidad titular.

La buena noticia está en el artículo 38.1: los sistemas de categoría media o alta precisan auditoría de certificación «sin perjuicio de la auditoría de la seguridad prevista en el artículo 31 que podrá servir asimismo para los fines de la certificación». No hacen falta dos auditorías: una bien planteada cubre ambas finalidades. Conviene decírselo a la certificadora antes de firmar la propuesta, porque condiciona el encargo.

La categoría BÁSICA también puede certificarse

El artículo 38.1 cierra la frase con un matiz que importa: los sistemas de categoría básica «solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoría de certificación». La instrucción técnica va más lejos y dice que esa posibilidad es «siempre la deseable». Si usted es un proveedor pequeño que compite donde el órgano de contratación valora el certificado por encima de la declaración, certificarse es una decisión comercial disponible, no un requisito legal.

Declaración de conformidad (categoría BÁSICA)

Los sistemas clasificados en categoría BÁSICA no necesitan pasar por una auditoría externa. El responsable del sistema puede emitir una declaración de conformidad que acredite el cumplimiento de los requisitos aplicables. Esta declaración debe ser firmada por el responsable de seguridad, fechada, y estar disponible para cualquier organismo que la requiera. Se renueva cada dos años.

Aunque no requiere auditoría externa, la declaración de conformidad no es un mero formalismo. El responsable que la firma asume una responsabilidad real sobre la veracidad de lo declarado. Es recomendable que, incluso para categoría BÁSICA, se realice un proceso interno riguroso de verificación antes de emitir la declaración.

Certificación formal (categorías MEDIA y ALTA)

Los sistemas de categoría MEDIA y ALTA deben obtener una certificación emitida por una entidad acreditada por ENAC conforme al esquema de certificación del CCN. Esta certificación implica una auditoría presencial realizada por auditores cualificados que verifican el cumplimiento de todos los controles aplicables.

Qué comprueba exactamente el auditor: los seis puntos del anexo III

El anexo III del Real Decreto 311/2022 es la lista corta y literal de lo que hay que acreditar. La auditoría se hace «al objeto de constatar» estos seis puntos:

1. Que la política de seguridad define los roles y funciones de los responsables del sistema, la información, los servicios y la seguridad.
2. Que existen procedimientos para resolver conflictos entre esos responsables.
3. Que se han designado personas para esos roles a la luz del principio de «diferenciación de responsabilidades».
4. Que se ha realizado un análisis de riesgos, con revisión y aprobación anual. Anual, no «cuando toque»: es el punto donde más proyectos llegan cojos.
5. Que se cumplen las medidas del anexo II en función de las condiciones de aplicación de cada caso.
6. Que existe un sistema de gestión de la seguridad documentado, con proceso regular de aprobación por la dirección, tomando como base la Declaración de Aplicabilidad del artículo 28.

Y el anexo añade sobre qué se sostiene el dictamen: la auditoría «se basará en la existencia de evidencias», concretadas en documentación de los procedimientos, registro de incidentes, examen del personal afectado —conocimiento y praxis de las medidas que le afectan— y productos certificados. Ese tercer punto sorprende a mucha gente: el auditor puede sentarse con alguien de su equipo y preguntarle. Un procedimiento aprobado la semana anterior no supera esa prueba.

Lo que debe estar firmado antes de pedir presupuesto

Traducido a lo que la certificadora le va a pedir para admitirle a auditoría:

• Alcance escrito y cerrado: qué sistemas y qué servicios entran, con sus sedes, proveedores e interfaces.
• Categorización formalizada de cada sistema, decidida por quien tiene competencia para hacerlo, no por el departamento de sistemas.
• Política de seguridad aprobada por el órgano de gobierno. Si es usted una empresa privada que entra por vía contractual, el artículo 2.3 exige que la apruebe «el órgano que ostente las máximas competencias ejecutivas».
• Análisis de riesgos aprobado, con su revisión anual y con aceptación explícita del riesgo residual.
• Declaración de Aplicabilidad firmada por el responsable de la seguridad — así lo dice el artículo 28.2—, justificando las medidas que no aplican. Escribir «no aplica» sin motivo es una no conformidad casi automática. Si ha sustituido medidas por otras compensatorias, el artículo 28.3 obliga a incluir en la propia Declaración, «de forma detallada», la correspondencia entre unas y otras.
• Los cuatro roles designados por nombre (información, servicio, seguridad y sistema), con su separación documentada.
• Evidencias de al menos un ciclo de operación y una auditoría interna previa con sus hallazgos tratados.

Si no sabe en cuál de estos puntos está hoy, el autodiagnóstico ENS le sitúa antes de pedir presupuesto a nadie.

El alcance: el requisito que decide el precio y el valor del certificado

De todos los anteriores, el alcance es el que peor se define y el que más consecuencias tiene. Uno estrecho abarata la auditoría, pero produce un certificado que puede no servirle: si el pliego pide conformidad para el servicio que usted presta y su certificado cubre otro sistema, el órgano de contratación puede rechazarlo. Ampliarlo después es posible, pero cuesta.

La regla práctica es leer primero los pliegos a los que quiere presentarse y redactar el alcance en los términos del servicio contratado, no en los de su organigrama. El artículo 2.3 lo justifica: los pliegos «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas». Y añade que esa cautela «se extenderá también a la cadena de suministro de dichos contratistas». Quien decide qué debe cubrir su certificado es, en la práctica, el pliego.

Cómo certificarse en el ENS paso a paso

De forma resumida, este es el itinerario que sigue una organización desde que arranca el proyecto hasta que obtiene la declaración de conformidad o el certificado ENS. Cada paso se detalla en profundidad en los apartados siguientes.

1. Diagnóstico inicial y categorización del sistema de información según el impacto de un incidente de seguridad (BÁSICA, MEDIA o ALTA).
2. Análisis de riesgos con MAGERIT u otra metodología reconocida para identificar activos, amenazas y vulnerabilidades.
3. Elaboración de la política de seguridad y de la Declaración de Aplicabilidad, donde se justifica qué controles se aplican y cuáles no.
4. Implantación de los controles aplicables según la categoría del sistema.
5. Realización de al menos una auditoría interna antes de solicitar la certificación externa.
6. Auditoría documental y presencial a cargo de una entidad acreditada por ENAC, o emisión de la declaración de conformidad si el sistema es de categoría BÁSICA.
7. Resolución de las no conformidades detectadas en el informe de auditoría dentro del plazo acordado.
8. Emisión del certificado ENS y mantenimiento del cumplimiento mediante auditorías de seguimiento periódicas.

Fase 0: preparación interna

Antes de solicitar la auditoría de certificación, la organización debe haber completado su proceso de adecuación al ENS. Esto incluye la categorización del sistema, la elaboración de la política de seguridad, el análisis de riesgos con MAGERIT u otra metodología reconocida, la implantación de los controles aplicables, la elaboración de la Declaración de Aplicabilidad (donde se justifica qué controles se aplican y cuáles no, y por qué), y la realización de al menos una auditoría interna.

La preparación interna es el factor que más influye en el éxito de la certificación. Una organización bien preparada supera la auditoría en la primera convocatoria; una mal preparada puede necesitar varias iteraciones con el coste adicional que ello supone.

Fase 1: auditoría documental

El equipo auditor revisa toda la documentación del sistema de gestión de seguridad antes de la visita presencial. En esta fase se evalúa si la política de seguridad cumple los requisitos del ENS, si el análisis de riesgos es completo y coherente, si la Declaración de Aplicabilidad está correctamente elaborada, si los procedimientos de seguridad están documentados y si el plan de mejora contempla las acciones necesarias.

Si se detectan deficiencias documentales graves, la auditoría presencial puede posponerse hasta que se subsanen. Es preferible invertir tiempo en tener la documentación impecable antes de solicitar la auditoría.

Fase 2: auditoría presencial

Los auditores verifican in situ que los controles declarados están realmente implantados y funcionan de manera efectiva. Esto incluye entrevistas con los responsables de seguridad y del sistema, revisión de evidencias de operación (logs, registros, informes de incidentes), comprobación técnica de configuraciones de seguridad, verificación del cumplimiento de procedimientos y evaluación de la eficacia de los controles.

Fase 3: informe de auditoría

El equipo auditor elabora un informe detallado que clasifica los hallazgos en tres categorías. Las no conformidades mayores impiden la certificación y deben resolverse antes de obtener el certificado. Las no conformidades menores no impiden la certificación pero deben abordarse en un plazo acordado. Las observaciones son recomendaciones de mejora que no condicionan la certificación.

Fase 4: resolución de no conformidades

Si se han identificado no conformidades, la organización dispone de un plazo (habitualmente 90 días para mayores y 6 meses para menores) para presentar evidencias de corrección. El equipo auditor verifica las correcciones y, si son satisfactorias, emite el certificado.

Fase 5: emisión del certificado

El certificado ENS tiene una validez de dos años. Durante ese periodo, la entidad certificadora realiza al menos una auditoría de seguimiento (normalmente al año) para verificar que se mantiene el cumplimiento. Al expirar, se requiere una auditoría de renovación completa.

Lo que le sigue obligando después del certificado

Colgar el distintivo no cierra el proyecto. Quedan cuatro obligaciones vivas.

Publicar la conformidad con enlace al documento

El artículo 38.2 obliga a dar publicidad «en los correspondientes portales de internet o sedes electrónicas» a las declaraciones y certificaciones. La instrucción técnica concreta el formato: el distintivo debe incluir un enlace al documento, que ha de permanecer accesible, y el certificado debe mostrar número, categoría, servicios cubiertos, fecha de certificación inicial y fecha de renovación. Un certificado en un cajón no cumple; un distintivo que no enlaza a nada, tampoco.

Mantener el circuito del informe

El artículo 31.5 fija que los informes se presentan al responsable del sistema y al responsable de la seguridad, y que este último los analiza y presenta sus conclusiones al primero para que adopte las medidas correctoras. Si ambos roles recaen en la misma persona, la trazabilidad se rompe y el auditor lo verá.

Enseñar el informe a quien le contrata

Esta es la que casi nadie anticipa. La instrucción técnica permite que, además del CCN y de ENAC, las entidades públicas usuarias de sus servicios le pidan en todo momento los informes de autoevaluación o auditoría para verificar que su distintivo se corresponde con algo. Si trabaja con la Administración, escriba el informe pensando en que su cliente puede leerlo.

La facultad de suspensión en categoría ALTA

El artículo 31.6 permite al responsable del sistema suspender temporalmente el tratamiento de informaciones, la prestación de servicios o la total operación del sistema si las deficiencias son graves. Es una facultad, no un automatismo, pero la dirección debería saber que existe antes de aprobar un alcance de categoría alta. El artículo 31.7 añade que el CCN puede requerir los informes.

Quién puede firmar el certificado

Aquí la norma es tajante y comprobable. La instrucción técnica de conformidad exige que las entidades certificadoras estén acreditadas por ENAC «para la certificación de sistemas del ámbito de aplicación del Esquema Nacional de Seguridad» conforme a la norma UNE-EN ISO/IEC 17065:2012, de requisitos para organismos que certifican productos, procesos y servicios. Esas dos comillas son la clave: no basta con que la entidad esté acreditada, tiene que estarlo para este esquema. Estar acreditada para ISO 27001 no habilita para certificar el ENS, y el alcance de cada acreditación es público.

Hay una segunda vía, y solo una: la misma instrucción exime del requisito a las entidades, órganos y unidades vinculadas a las administraciones públicas cuyas competencias incluyan auditar sistemas de información, siempre que así conste en su normativa de creación y «quede garantizada la debida imparcialidad».

Esa palabra —imparcialidad— es también la respuesta a la pregunta comercial de siempre. La acreditación que se exige es la de un organismo de certificación, y su régimen de imparcialidad es justo lo que ENAC evalúa: pedirle a la misma casa que le implante el sistema y que después se lo certifique choca de frente con ese régimen. Una propuesta que ofrezca las dos cosas juntas merece una pregunta escrita antes de firmar nada.

Dónde comprobarlo sin fiarse de un logotipo en una web: el Centro Criptológico Nacional mantiene en su sede electrónica «una relación actualizada de las Entidades de Certificación», y ENAC publica el alcance concreto de cada acreditación. El detalle, en certificadoras ENS acreditadas por ENAC.

Coste de adecuación (consultoría)

El coste de la consultoría depende enormemente del tamaño de la organización, la complejidad de sus sistemas y su punto de partida en materia de seguridad. Como referencia general, una PYME con un sistema de información de categoría MEDIA puede esperar un coste de consultoría de entre 6.000 y 35.000 euros — el extremo bajo es un proyecto pequeño con buena parte del trabajo ya hecho. Para organizaciones más grandes o sistemas de categoría ALTA, los costes pueden superar los 50.000 euros.

Coste de certificación (auditoría externa)

La auditoría de certificación propiamente dicha tiene un coste que oscila entre 3.000 y 15.000 euros para categoría MEDIA, y entre 6.000 y 25.000 euros para categoría ALTA, dependiendo del alcance y la complejidad del sistema. Las auditorías de seguimiento anuales suelen tener un coste aproximado del 50-60% de la auditoría inicial.

¿Cuánto cuesta la adecuación al ENS?

Sumando consultoría y auditoría externa, el coste total de un proyecto de adecuación al ENS varía según la categoría del sistema y varios factores propios de cada organización. Antes de pedir presupuesto conviene entender qué mueve ese coste en cada caso.

Como referencia orientativa, el coste conjunto de adecuación y auditoría externa para una pyme en categoría MEDIA suele situarse entre 9.000 y 50.000 euros, según el alcance del proyecto y cuánto trabajo tengas ya hecho. En categoría BÁSICA el coste es menor al no requerir auditoría externa, y en categoría ALTA tiende a ser mayor por la exigencia adicional de los controles y del proceso de certificación.

¿Qué subvenciones hay disponibles?

El programa la ayuda al asesoramiento digital del Gobierno de España financiaba parte de la consultoría en ciberseguridad, incluida la adecuación al ENS, en empresas de 10 a 249 empleados. Conviene no confundir las cifras: cada servicio de asesoramiento está dotado con 6.000 €, y los 24.000 € son el techo del bono completo de una empresa de 100 a 249 empleados; de 10 a 49 empleados el techo es de 12.000 €. La auditoría de certificación queda fuera («Certificación no incluida», anexo IV de la Orden TDF/436/2024). Hoy su convocatoria figura finalizada.

Cómo se financia con esa vía un proyecto de seguridad lo desarrollo en el Kit Consulting de ciberseguridad e ISO 27001.

¿Cuál es el plazo de un proyecto de certificación?

Un proyecto de certificación ENS sigue habitualmente la siguiente cronología. El diagnóstico inicial y la categorización requieren entre 2 y 4 semanas. El análisis de riesgos con MAGERIT necesita entre 4 y 8 semanas. La implantación de controles es la fase más larga y variable, entre 8 y 24 semanas según el punto de partida. La auditoría interna previa ocupa entre 2 y 4 semanas. La resolución de hallazgos internos lleva entre 2 y 6 semanas. Y la auditoría de certificación externa requiere entre 2 y 4 semanas entre planificación y ejecución.

En total, desde el inicio del proyecto hasta la obtención del certificado, el plazo típico oscila entre 6 y 12 meses para categoría MEDIA, y entre 9 y 18 meses para categoría ALTA.

Las 10 no conformidades más frecuentes en auditorías ENS

Conocer los errores habituales permite evitarlos. Las no conformidades más frecuentes que los auditores detectan son las siguientes.

Primera: análisis de riesgos incompleto o no actualizado, donde faltan activos relevantes o las valoraciones no están justificadas. Segunda: política de seguridad que no cumple todos los requisitos del Anexo II del ENS. Tercera: ausencia de segregación de funciones entre los roles de responsable de la información, responsable del servicio, responsable de seguridad y responsable del sistema. Cuarta: gestión de incidentes de seguridad sin procedimiento formal o sin evidencias de su aplicación. Quinta: formación y concienciación insuficiente del personal.

Sexta: control de acceso inadecuado, con cuentas compartidas o privilegios excesivos. Séptima: ausencia de plan de continuidad de negocio o plan no probado. Octava: monitorización de seguridad insuficiente, sin revisión periódica de logs. Novena: gestión de cambios sin proceso formal de autorización. Y décima: protección criptográfica insuficiente o uso de algoritmos obsoletos.

Cómo anticiparse a estas no conformidades y llegar a la cita con las evidencias en orden lo explico en la guía de preparación de la auditoría ENS.

Perfiles de cumplimiento específicos: la vía que puede acortarle el proyecto

El artículo 30 habilita perfiles de cumplimiento específicos: conjuntos de medidas idóneas para «determinadas entidades o sectores de actividad concretos», en virtud del principio de proporcionalidad, que valida y publica el Centro Criptológico Nacional. Antes de dimensionar el proyecto contra el catálogo completo del anexo II, compruebe si hay un perfil publicado para su tipo de entidad: cuando lo hay, hay menos que evidenciar, porque el artículo 31.2 manda auditar «en función de la categoría del sistema y, en su caso, del perfil de cumplimiento específico que corresponda». El catálogo, en la guía completa del ENS.

La instrucción técnica que lo regula sigue siendo la de 2016

Merece la pena saberlo antes de firmar un contrato plurianual. El artículo 38.1 remite el procedimiento —y los requisitos exigibles a las entidades certificadoras— a «la correspondiente Instrucción Técnica de Seguridad». La única publicada sobre conformidad es la aprobada por Resolución de 13 de octubre de 2016, dictada al amparo del Real Decreto 3/2010, que el propio Real Decreto 311/2022 derogó. Sigue aplicándose porque la disposición derogatoria solo tumba «cuantas disposiciones de igual o inferior rango que se opongan» al nuevo texto. Pero eso deja un texto que remite a artículos y anexos de una norma que ya no existe: donde dice artículo 34 y anexo III del Real Decreto 3/2010, hoy hay que leer artículo 31 y anexo III del Real Decreto 311/2022.

Consecuencia práctica: pida a la certificadora que le confirme por escrito bajo qué texto trabaja y qué pasaría con su certificado si se aprueba una instrucción nueva a mitad de proyecto. Es una pregunta de dos líneas en un correo y evita una discusión de miles de euros.

Lo que las horquillas de coste no incluyen

Las cifras que maneja el mercado cubren consultoría y auditoría. En los proyectos que se desvían del presupuesto, lo que se había quedado fuera suele ser lo mismo: las horas internas del equipo, las pruebas técnicas que el alcance exige, las herramientas para evidenciar monitorización y registro, la formación del personal y la ampliación del alcance a mitad de camino. Si va a llevar esto a los presupuestos de 2027, que esas cinco partidas figuren con nombre propio y no dentro de un «varios». El resto del marco, en cumplimiento ENS.

Conclusión

La certificación ENS es un proceso exigente pero perfectamente abordable con planificación y asesoramiento adecuado. El retorno de la inversión es claro: acceso a licitaciones públicas, cumplimiento normativo, mejora real de la seguridad y generación de confianza ante clientes del sector público.

No espere a que un pliego de licitación le exija la certificación para empezar a prepararse. El proceso lleva meses y, cuanto antes lo inicie, antes podrá acceder a las oportunidades que el ENS abre.

Si está valorando certificarse en el ENS y no sabe por dónde empezar, escríbame y lo vemos. Con lo que me cuente le digo en qué categoría encaja su sistema, qué le queda por resolver de la fase de preparación y cuáles de las no conformidades habituales le afectarían hoy: sale de esa conversación con un punto de partida claro. Y si veo que todavía no le compensa certificarse, también se lo digo.

Si quiere recorrer este proceso acompañado en vez de a ciegas, puedo hacerlo con usted: así trabajo la consultoría ENS. El resto de material del marco está en el área de ENS.

Si su proyecto de certificación está arrancando en Valencia o en Sevilla, el itinerario de fases que acaba de leer es el mismo que sigo en la consultoría ENS en Valencia y en la consultoría ENS en Sevilla.

Preguntas frecuentes

¿Qué requisitos hay que cumplir para certificarse en el ENS?

Los fija el anexo III del Real Decreto 311/2022: política de seguridad que defina los roles, procedimientos de resolución de conflictos entre ellos, personas designadas con diferenciación de responsabilidades, análisis de riesgos con revisión y aprobación anual, cumplimiento de las medidas del anexo II y un sistema de gestión documentado basado en la Declaración de Aplicabilidad del artículo 28. Todo ello sostenido en evidencias: procedimientos documentados, registro de incidentes, conocimiento real del personal y productos certificados.

¿Puedo usar la misma auditoría para el artículo 31 y para certificarme?

Sí. El artículo 38.1 prevé que la auditoría de seguridad del artículo 31 «podrá servir asimismo para los fines de la certificación». Conviene acordarlo con la entidad certificadora al definir el encargo, porque condiciona el alcance y la planificación.

¿La consultora que me prepara puede auditarme después?

No es lo esperable. Las entidades certificadoras se acreditan ante ENAC bajo la norma UNE-EN ISO/IEC 17065:2012, cuyo objeto es el régimen de imparcialidad de los organismos de certificación, y la instrucción técnica exige «la debida imparcialidad» incluso a los órganos públicos exentos de acreditación. Lo prudente son dos contratos con dos proveedores distintos.

¿Cómo compruebo que una certificadora está realmente acreditada?

Por dos vías oficiales, no por el logotipo de su web. El Centro Criptológico Nacional mantiene en su sede electrónica una relación actualizada de entidades de certificación, y ENAC publica el alcance de cada acreditación: compruebe que ese alcance nombra el Esquema Nacional de Seguridad y no solo otras normas.

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Texto consolidado: artículos 2.3, 28, 30, 31 y 38, anexo III y disposición derogatoria única. BOE-A-2022-7191
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad: apartados III a VII y anexos I a IV. BOE-A-2016-10109
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información. BOE-A-2018-4573
• Entidad Nacional de Acreditación (ENAC) · buscador de entidades acreditadas y alcances. enac.es
• Centro Criptológico Nacional · relación de entidades de certificación del ENS. ens.ccn.cni.es