¿Cuánto cuesta certificarse en el ENS? Desglose por partidas

Certificar un sistema de categoría MEDIA en el Esquema Nacional de Seguridad cuesta, a julio de 2026, entre 16.000 y 50.000 euros el primer año. La mayoría de las pymes cierra el proyecto entre 15.000 y 30.000. La horquilla es tan ancha por una razón que conviene decir pronto: no existe tarifa oficial del ENS. Ni el Centro Criptológico Nacional ni ENAC publican precios. Todo lo que te presupuesten es precio de mercado, y el mercado cobra según tres variables: la categoría del sistema (BÁSICA, MEDIA o ALTA), cuántos sistemas entran en el alcance y lo hecho que llegues de casa. En categoría BÁSICA, de hecho, el desembolso externo puede ser cero, porque la norma permite autoevaluarse.

Esta página desgrana solo el dinero: qué partidas componen el precio, qué lo dispara y cómo se abarata sin trampas. El proceso completo, con sus fases, requisitos, organismos certificadores y plazos, lo tienes en la guía de certificación ENS: proceso y requisitos. Si vienes de cero y necesitas contexto sobre qué es el Esquema y a quién obliga, empieza por la guía completa del Esquema Nacional de Seguridad; el resto de guías del vertical están en el área de ENS. Y si todavía no sabes qué categoría te corresponde, el autodiagnóstico ENS gratuito te la orienta en unos minutos; sin categoría no hay presupuesto serio.

Un aviso antes de las cifras: todas las horquillas de esta página son orientativas, de mercado y con fecha (julio de 2026). Salen de proyectos y presupuestos reales que he visto pasar, no de un boletín oficial. Quien te presente un «precio oficial del ENS» te está vendiendo humo.

Las partidas que componen el precio

Para un sistema de categoría MEDIA en una pyme, el desglose habitual es este:

Las cuatro primeras partidas suman los 12.000 – 35.000 euros de consultoría que se suelen citar para una categoría MEDIA. Si llegas con parte del trabajo hecho (una ISO 27001 implantada, documentación aprovechable, un responsable de seguridad que sabe lo que firma), esa parte puede bajar a la mitad, y ahí está el margen real de ahorro: el suelo del proyecto completo, sumando cada partida de la tabla por su cifra más baja, es 16.000 euros. Vamos partida a partida.

Análisis de riesgos y categorización (MAGERIT)

Es la primera factura y la que menos conviene recortar, porque condiciona todas las demás. Aquí se inventarían los activos, se valoran las amenazas con la metodología MAGERIT y se determina la categoría del sistema según el impacto de un incidente. De este trabajo sale si eres BÁSICA, MEDIA o ALTA, es decir, si tu proyecto se queda en una autoevaluación o se va a los 50.000 euros. Un análisis de riesgos hecho con plantilla y sin pisar tu infraestructura suele acabar en una categoría mal asignada, y eso se paga después: o sobredimensionas controles que no necesitabas o la auditoría te tumba por quedarte corto.

Documentación de seguridad

La política de seguridad, la normativa interna, los procedimientos operativos y la Declaración de Aplicabilidad. Es la partida donde más se nota la madurez previa: una empresa que ya documenta procesos reutiliza mucho; una que funciona de memoria parte de cero. También es la partida donde más se vende paja: documentación genérica de plantilla, idéntica para un ayuntamiento y para una empresa de software, que el auditor detecta en la primera mañana. Las guías CCN-STIC, que son gratuitas, marcan la referencia de cómo debe ser cada documento; pagar por algo peor que la guía gratuita no tiene sentido.

Adecuación técnica (las medidas del anexo II)

Implantar las medidas de protección que exige el anexo II del Real Decreto 311/2022 en el marco organizativo, el operacional y el de protección. La horquilla de 4.000 a 14.000 euros cubre los servicios: configurar, desplegar, dejar evidencias. Ojo con lo que no cubre, porque es el agujero clásico de los presupuestos: la tecnología que te falte va aparte. Si no tienes doble factor de autenticación, copias de seguridad verificadas, cifrado o registro centralizado de actividad, esas licencias y equipos no aparecen en la propuesta de consultoría y pueden añadir varios miles de euros. Pregunta siempre qué medidas se resuelven con lo que ya tienes y cuáles exigen comprar algo.

Auditoría de certificación: solo ENAC

Aquí toca la frase que debería abrir cualquier conversación comercial sobre el ENS: la certificación de conformidad solo puede emitirla una entidad de certificación acreditada por ENAC. Ningún consultor certifica. Ninguna plataforma certifica. Quien te prepara no puede ser quien te certifica, y quien te certifica tiene un número de acreditación público que puedes comprobar. Si alguien te «vende el certificado ENS» sin que una de esas entidades pase por tus sistemas, no estás comprando un certificado: estás comprando un papel.

La auditoría de certificación para una categoría MEDIA se mueve entre 4.000 y 15.000 euros, y entre 8.000 y 25.000 en ALTA. El precio depende sobre todo de las jornadas de auditor: más sistemas, más sedes y más controles significan más jornadas. Las entidades suelen presupuestar con una fórmula bastante estable, así que en esta partida las diferencias entre presupuestos son menores que en la consultoría.

Mantenimiento anual: el coste que nadie presupuesta

El certificado no es un gasto único. El artículo 31 del RD 311/2022 exige una auditoría regular ordinaria al menos cada dos años, y en la práctica el ciclo de certificación incluye auditorías de seguimiento anuales que cuestan en torno al 50 – 60 % de la auditoría inicial. A eso hay que sumar las horas internas del responsable de seguridad manteniendo vivo el sistema: revisar riesgos, actualizar documentación, gestionar incidentes, preparar evidencias. Si el presupuesto que tienes delante solo habla del primer año, no tienes el precio del ENS: tienes la mitad.

Qué dispara el precio

Cinco factores explican casi toda la diferencia entre un proyecto de 16.000 euros y uno de 50.000:

1. La categoría. Pasar de MEDIA a ALTA activa controles reforzados en los tres marcos y encarece tanto la adecuación como la auditoría. Un proyecto ALTA completo supera con facilidad los 50.000 euros.
2. El número de sistemas y el alcance. Cada sistema de información dentro del alcance suma análisis, documentación, medidas y jornadas de auditoría. El error más caro es meter en el alcance sistemas que no prestan servicio a la Administración.
3. La madurez previa. Una ISO 27001 en vigor, un RGPD trabajado de verdad o simplemente procesos documentados pueden recortar la consultoría a la mitad. Partir de cero se paga.
4. Las sedes. La auditoría presencial en varias ubicaciones multiplica jornadas y desplazamientos.
5. La tecnología pendiente. Cada medida del anexo II que exija comprar algo (autenticación, copias, cifrado, monitorización) añade una partida que no está en ningún presupuesto de consultoría.

Categoría BÁSICA: la vía barata que casi nadie te cuenta

El artículo 38 del Real Decreto 311/2022 distingue dos vías para acreditar la conformidad: los sistemas de categoría MEDIA o ALTA necesitan una auditoría de certificación, pero a los de categoría BÁSICA les basta una autoevaluación para obtener su declaración de conformidad, conforme al artículo 31 y al anexo III de la norma.

Traducido a dinero: si tu sistema es BÁSICA, no estás obligado a pagar auditoría externa. Puedes hacer la autoevaluación con recursos propios, firmar la declaración de conformidad y exhibir el distintivo correspondiente. El coste externo puede ser literalmente cero; el coste real son las horas internas de quien haga el trabajo, y hacerlo bien lleva semanas, no una tarde. Si prefieres acompañamiento, una autoevaluación asistida por consultoría se mueve entre 3.000 y 9.000 euros a julio de 2026.

Dos matices honestos. Primero: la declaración de conformidad no es una certificación, y hay pliegos y clientes que piden expresamente certificado; en ese caso, aunque tu categoría sea BÁSICA, pasarás por entidad acreditada y por su factura. Segundo: autoevaluarse no es rellenar un formulario para cubrir el expediente; las medidas del anexo II aplicables a BÁSICA hay que implantarlas igual. La vía barata lo es porque elimina la auditoría externa, no porque elimine la seguridad.

¿No sabes si tu sistema puede ser BÁSICA? El autodiagnóstico ENS es el punto de partida razonable antes de hablar con nadie.

Cómo abaratar la adecuación sin trampas

• Recorta alcance, no seguridad. Certifica el sistema que presta el servicio a la Administración, no la empresa entera. Un alcance quirúrgico es la palanca de ahorro más potente y perfectamente legítima.
• Aprovecha lo que ya tienes. ISO 27001, análisis de riesgos previos, procedimientos escritos. Dilo en la primera reunión y pide que el presupuesto lo refleje: si el consultor cobra lo mismo llegues como llegues, mal empezamos.
• Usa las guías CCN-STIC. Son gratuitas y marcan el estándar de facto de documentación y configuración. No sustituyen al proyecto, pero reducen las horas facturables de la partida documental.
• Ten el Kit Consulting en el radar para cuando haya nueva convocatoria. El programa de bonos de asesoramiento digital cubría consultoría en ciberseguridad, adecuación al ENS incluida, a razón de 6.000 euros por servicio; el bono total iba de 12.000 euros para empresas de 10 a 49 empleados a 24.000 para las de 100 a 249. Su plazo de solicitud cerró el 31 de marzo de 2025 y, a agosto de 2026, no hay convocatoria nueva. Si conservas un bono en ejecución, ordena ese gasto; si no, deja el expediente preparado y sigue el estado del programa en la guía del Kit Consulting 2026. Cómo se articula para ciberseguridad lo explico en el Kit Consulting de ciberseguridad.
• No compres un proyecto de MEDIA si eres BÁSICA. Ocurre más de lo que parece: se presupuesta certificación completa a organizaciones cuya categoría real admitía autoevaluación.

Y una advertencia simétrica: abaratar comprando documentación de plantilla o contratando al más barato sin preguntar quién audita suele salir caro. Lo que la auditoría tumba se paga dos veces.

Cómo pedir un presupuesto comparable

Dos presupuestos de ENS solo se pueden comparar si describen lo mismo. Antes de pedir precio, fija por escrito el alcance: qué sistemas, cuántas sedes, qué categoría estimada. Y exige que cada propuesta responda a esto:

• Desglose por partidas, separando siempre adecuación y auditoría de certificación. Un «llave en mano» sin desglose impide comparar y suele esconder la partida que te interesa ver.
• Jornadas de auditoría incluidas y qué entidad acreditada por ENAC emitirá el certificado, con su número de acreditación.
• Tratamiento de las no conformidades: si la auditoría detecta desviaciones, ¿la asistencia para resolverlas está incluida o se factura aparte?
• Qué tecnología queda fuera. La lista de medidas que exigirán compra de licencias o equipos, aunque sea estimada.
• El segundo año. Coste de la auditoría de seguimiento y del mantenimiento del sistema.

Con esas cinco respuestas sobre la mesa, las diferencias de precio empiezan a significar algo. Sin ellas, el presupuesto más barato es simplemente el que más cosas ha dejado fuera.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad — texto consolidado en el BOE (artículos 31 y 38, anexos II y III). Verificado en julio de 2026.
• Portal oficial del Esquema Nacional de Seguridad — Centro Criptológico Nacional.
• ENAC — Entidad Nacional de Acreditación, donde se comprueba la acreditación de las entidades de certificación.
• Las horquillas económicas de esta página no proceden de ninguna fuente oficial, porque no la hay: son referencias de mercado a julio de 2026 y deben tratarse como orientación, nunca como tarifa.