Entidades de certificación del ENS: quién puede certificarte de verdad

Las entidades de certificación del ENS acreditadas son, para una empresa, exactamente las que la Entidad Nacional de Acreditación (ENAC) ha acreditado conforme a la norma UNE-EN ISO/IEC 17065:2012 para certificar sistemas frente al Esquema Nacional de Seguridad. Solo una de ellas puede expedir la Certificación de Conformidad, y así lo fija la Instrucción Técnica de Seguridad de conformidad con el ENS (Resolución de 13 de octubre de 2016).

No la expide tu consultora, no la expide una plataforma de cumplimiento y no la expide nadie que se presente como «partner certificador» sin número de acreditación. La lista es pública y se consulta en dos sitios:

• El buscador de acreditados de ENAC, que es la fuente de la acreditación y de su alcance.
• El portal del ENS del Centro Criptológico Nacional (ens.ccn.cni.es), que mantiene una sección propia de entidades de certificación.

Esta guía te cuenta quién puede certificarte, dónde comprobar que una certificadora es de verdad y con qué criterios comparar presupuestos. Si todavía estás situándote en el Esquema, empieza por la guía completa del Esquema Nacional de Seguridad; si ya sabes que te toca certificarte y buscas el proceso entero con fases y costes, está en la guía de certificación ENS: proceso, requisitos y costes.

Quién puede certificar el ENS (y quién no)

El Real Decreto 311/2022 regula en su artículo 38 cómo se determina la conformidad con el ENS, y la ITS de Conformidad concreta quién firma qué. El reparto queda así:

• Entidades de certificación acreditadas por ENAC conforme a UNE-EN ISO/IEC 17065:2012, con el ENS en su alcance de acreditación. Son la vía de certificación para empresas y para la inmensa mayoría de organismos públicos.
• Órganos de auditoría de las propias Administraciones Públicas. La ITS exime del requisito de acreditación a las entidades, órganos y unidades vinculadas o dependientes de las Administraciones cuyas competencias incluyan el desarrollo de auditorías, siempre que garanticen su imparcialidad. Es una vía interna del sector público: si eres una empresa, no te aplica.

Y se acabó. No hay tercera vía. La ITS previó en 2016 un régimen transitorio para entidades que hubieran solicitado la acreditación y estuvieran esperándola, con un plazo de doce meses para obtenerla; ese régimen está cerrado desde hace años y hoy no es posible iniciar una certificación por la vía transitoria. Cualquiera que te ofrezca certificarte «mientras tramita su acreditación» te está ofreciendo un papel sin valor.

Conviene fijar también el reparto de papeles dentro de un proyecto, porque el mercado lo difumina a propósito:

• El consultor te prepara: análisis de riesgos, documentación, adecuación de medidas. Lo que no puede es certificarte.
• El auditor examina el sistema y emite el informe de auditoría. Lo que no puede es haberte asesorado sobre aquello que audita.
• La entidad de certificación, sobre ese informe, decide y expide la Certificación de Conformidad. Lo que no puede es haberte hecho la consultoría: la UNE-EN ISO/IEC 17065, que es la norma con la que ENAC la acredita, le exige independencia, y estaría evaluando su propio trabajo.

Si una misma marca te vende «implantación y certificado, todo en uno», una de las dos patas es mentira.

Dónde consultar las entidades acreditadas

Hay dos fuentes oficiales, y merece la pena mirar las dos porque responden a preguntas distintas.

El buscador de ENAC (enac.es, sección «Buscador de acreditados») es la fuente de la acreditación. Ahí compruebas que la entidad existe, que su acreditación está vigente y cuál es su alcance. El alcance es la comprobación que decide: una certificadora puede estar acreditada por ENAC para ISO 9001 o para otros esquemas y no estarlo para el ENS. Lo que buscas es la acreditación como organismo de certificación conforme a UNE-EN ISO/IEC 17065 con el Esquema Nacional de Seguridad dentro del alcance, no un logotipo de ENAC genérico en el pie de una web.

El portal del ENS del CCN (ens.ccn.cni.es) mantiene una sección de entidades de certificación dentro de su área de certificación, y es la vista práctica del mismo dato: qué entidades están certificando el Esquema ahora mismo. El mismo portal publica la relación de entidades públicas y privadas con sistemas certificados y el área de distintivos de conformidad; si lo que quieres es verificar el certificado de un proveedor y no elegir certificadora, ese camino te lo cuento en cómo consultar el listado de empresas certificadas en el ENS.

La comprobación completa de una certificadora lleva cinco minutos: nombre de la entidad en el buscador de ENAC, acreditación vigente, ENS en el alcance, y contraste con la sección de entidades de certificación del portal del CCN. Si una entidad supera las dos búsquedas, es real. Si no aparece en ninguna, no hay más que hablar, por bonita que sea su propuesta.

¿Cuántas hay? Unas cuantas decenas, y el número se mueve: ENAC acredita entidades nuevas y alguna causa baja o ve suspendida su acreditación. Por eso esta página no te pega aquí una lista con nombres: cualquier lista copiada envejece mal, y la fuente viva está a un clic. Desconfía por sistema de los directorios de terceros con «las 10 mejores certificadoras ENS»: suelen ser publicidad ordenada por quién paga.

Cuándo necesitas certificación y cuándo basta la declaración

Antes de pedir presupuesto a nadie, comprueba qué exige tu categoría, porque no todo el mundo necesita una certificadora. El artículo 38 del RD 311/2022 lo parte en dos:

• Categoría MEDIA o ALTA: necesitas una auditoría de certificación y la Certificación de Conformidad expedida por entidad acreditada. Aquí sí toca elegir certificadora.
• Categoría BÁSICA: basta una autoevaluación y la Declaración de Conformidad. El anexo III del propio RD 311/2022 (apartado 2.1) permite que esa autoevaluación la realice el mismo personal que administra el sistema de información, o quien este delegue, así que el desembolso externo puede ser cero. Certificarse es opcional; algunas organizaciones de BÁSICA lo hacen porque un pliego se lo pide o porque quieren el sello, pero la norma no las obliga. El detalle de esa vía está en la declaración de conformidad de categoría BÁSICA.

Si no tienes clara tu categoría, resuélvelo antes de hablar con certificadoras: el autodiagnóstico ENS gratuito te la orienta en unos minutos y te evita pedir presupuesto de certificación para una categoría que no es la tuya, en un sentido o en el otro.

Cómo elegir certificadora: los siete criterios que importan

Superado el filtro de la acreditación, que es eliminatorio y no un mérito, las entidades reales compiten en cosas más mundanas. Estos son los criterios con los que separar presupuestos:

1. Acreditación vigente y con el ENS en el alcance. Ya lo has comprobado en ENAC. Vuelve a mirarlo si el proyecto se firma meses después de la primera conversación.
2. Experiencia en organizaciones como la tuya. Certificar el sistema de un ayuntamiento, el de una empresa de software que vende a la Administración y el de un centro sanitario concertado no es el mismo trabajo. Pide referencias de tu sector y de tu tamaño; una entidad seria las da sin dramatismo.
3. Jornadas de auditoría y su justificación. El grueso del precio son jornadas de auditor. Pide el desglose: cuántas jornadas, in situ o en remoto, y por qué. Dos presupuestos con el mismo alcance y una diferencia grande de jornadas esconden o una auditoría superficial o una sobredimensionada.
4. Plazos reales. Pregunta por la agenda: cuándo pueden auditar y cuánto tardan en emitir el certificado tras la auditoría. Si te corre prisa por un pliego, este criterio puede pesar más que el precio; las fechas de las licitaciones no esperan a nadie.
5. Tratamiento de las no conformidades. Ninguna auditoría sale impoluta. Pregunta cómo gestionan las no conformidades: plazos para presentar correcciones, si revisan las evidencias en remoto o exigen visita nueva, y qué coste tiene esa revisión. Aquí se esconden sobrecostes que no aparecen en la oferta.
6. Coste del ciclo completo, no del primer año. El artículo 31 del RD 311/2022 impone una auditoría regular ordinaria al menos cada dos años, y el certificado vive de ese ciclo. Pide el precio de la certificación inicial y el de las auditorías siguientes; la periodicidad y sus trampas las tienes en cada cuánto toca la auditoría de conformidad del ENS, y lo que viene después del sello, en mantenimiento y renovación del ENS.
7. Independencia limpia. Si la certificadora pertenece al mismo grupo que una consultora, pregunta sin rodeos cómo separan ambas actividades. La acreditación 17065 les exige gestionar ese conflicto, y su respuesta te dirá mucho de con quién estás hablando.

Sobre el dinero, para que llegues a la conversación con suelo y techo: a julio de 2026, la auditoría de certificación de una categoría MEDIA se mueve en mercado entre 4.000 y 15.000 euros, y en ALTA entre 8.000 y 25.000. Son horquillas orientativas, no tarifas; el desglose completo del proyecto, partida a partida, está en cuánto cuesta el ENS. En esta partida los presupuestos se parecen bastante entre sí; si uno se sale mucho por abajo, sospecha de las jornadas.

Si ya has pasado por la elección de certificadora para una ISO, el terreno te sonará: los criterios son primos hermanos de los de cómo elegir certificadora ISO acreditada por ENAC, con una diferencia de fondo: en el ENS el referente es un real decreto público y gratuito, no una norma de pago, y el regulador técnico (el CCN) publica sus guías abiertamente.

El proceso con la certificadora, paso a paso

Una vez elegida la entidad, el recorrido habitual es este:

1. Solicitud y oferta. Defines con la entidad el alcance: qué sistemas, qué sedes, qué categoría. De ahí salen las jornadas y el precio. Un alcance mal dibujado aquí se paga en todas las fases siguientes.
2. Auditoría de certificación. Un equipo auditor examina tu sistema contra el RD 311/2022 conforme a su anexo III: revisa la documentación, las medidas del anexo II que te aplican y las evidencias de que funcionan. De ahí sale un informe con sus no conformidades, si las hay.
3. Resolución de no conformidades. Presentas correcciones y evidencias en el plazo pactado. La entidad las evalúa.
4. Decisión y emisión. Con el expediente cerrado, la entidad decide la certificación y expide la Certificación de Conformidad.
5. Distintivo y publicación. Con el certificado llega el distintivo de conformidad, el sello electrónico regulado por la ITS que debes exhibir en tu sede electrónica o web enlazando al documento que lo respalda. Es lo que tus clientes y los órganos de contratación verán y podrán verificar.
6. Vigilancia del ciclo. El certificado no es vitalicio: el ciclo de auditorías del artículo 31 (ordinaria al menos cada dos años, extraordinaria si modificas sustancialmente el sistema) lo mantiene vivo.

Nada de esto exige que la certificadora sea la misma para siempre. Puedes cambiar de entidad en un ciclo posterior si el servicio no acompaña; lo que no cambia es el referente, que es el mismo real decreto lo audite quien lo audite.

Claims falsos que conviene desactivar antes de firmar

El tirón comercial del ENS ha llenado el mercado de afirmaciones que no sobreviven a una lectura de la norma. Las que más se repiten:

• «Te certificamos el ENS», dicho por una consultora. No puede. Prepara, acompaña, incluso audita internamente; certificar, solo la entidad acreditada. Si el contrato de consultoría incluye «el certificado», lee qué certificado es: más de un cliente ha pagado por un diploma de la propia consultora sin ningún valor ante un pliego.
• «Con nuestra ISO 27001 ya cumples el ENS.» Son esquemas distintos con certificados distintos. La 27001 ayuda muchísimo a preparar el ENS y recorta la consultoría, pero ningún pliego que exija Certificación de Conformidad con el ENS se da por satisfecho con una ISO. La comparación completa está en ENS frente a ISO 27001.
• «Certificación ENS en dos semanas, garantizada.» Nadie que no sea la entidad de certificación puede garantizar el resultado de una auditoría, y la entidad, precisamente porque está acreditada, no lo garantiza. Plazos exprés y resultado asegurado en la misma frase es la combinación exacta de lo que la acreditación prohíbe.
• «Somos certificadora oficial homologada por el CCN.» La figura no existe con ese nombre. El CCN gobierna técnicamente el Esquema y publica la relación de entidades; quien acredita es ENAC. Una entidad real te da su número de acreditación y te invita a comprobarlo, no te enseña un sello inventado.
• «El certificado ENS es para siempre.» Vive del ciclo de auditorías del artículo 31. Un certificado sin sus auditorías de ciclo es un certificado caducado, y los órganos de contratación pueden comprobarlo en las fuentes públicas.

La regla general que resume todas: en el ENS, todo lo importante es público y verificable. La norma está en el BOE, las entidades acreditadas en ENAC, las certificadas en el portal del CCN. Cualquier afirmación comercial que no puedas contrastar en una de esas tres fuentes no merece tu firma. Y si el proyecto entero te queda grande, el acompañamiento de la guía de cumplimiento del ENS existe justo para eso: llegar preparado a la certificadora, no sustituirla.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (texto consolidado, BOE-A-2022-7191); en particular, artículos 31 y 38 y el anexo III, apartado 2.1 (autoevaluación de categoría BÁSICA).
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad (BOE-A-2016-10109); en particular, apartado VI.
• ENAC, Buscador de acreditados (enac.es).
• Portal del Esquema Nacional de Seguridad del Centro Criptológico Nacional (ens.ccn.cni.es): secciones de certificación, entidades de certificación y distintivos de conformidad.