El distintivo de conformidad con el ENS (el «logo ENS» que todo el mundo busca)

Lo que en el día a día se llama «logo ENS» tiene nombre oficial: distintivo de conformidad con el Esquema Nacional de Seguridad, y no es un logo que te inventas ni que diseña tu consultora. Lo regula la guía CCN-STIC 809 del Centro Criptológico Nacional (edición de abril de 2026): hay tres tipos —Declaración, Certificación y Aprobación Provisional—, cada uno con su propio modelo oficial, su propio emisor y sus propias condiciones de uso. Ponerlo en tu web o en una oferta sin cumplirlas no es un matiz estético: la guía condiciona el uso del distintivo de certificación a que sigas teniendo la certificación vigente, y quien no lo respeta acaba exhibiendo un sello que ya no le corresponde.

Si todavía no sabes si tu sistema cae en categoría BÁSICA, MEDIA o ALTA —lo que determina qué distintivo te toca—, resuélvelo antes con el autodiagnóstico ENS gratuito. Si buscas el mapa completo de cómo se adecua, audita y certifica un sistema, está en el hub de cumplimiento del ENS y en la guía completa del Esquema Nacional de Seguridad. Y si lo que necesitas es el proceso de certificación en sí —requisitos, plazos, coste—, esa pieza es certificación ENS: proceso, requisitos y costes; aquí me centro solo en el distintivo: qué es, quién lo da y qué puedes y no puedes hacer con él.

¿Qué es exactamente el distintivo de conformidad con el ENS?

Es el documento electrónico —y, en su representación gráfica, el sello o "logo"— que acredita que un sistema de información ha superado el procedimiento de determinación de la conformidad que fija el artículo 38 del Real Decreto 311/2022. El propio Anexo IV (Glosario) del RD 311/2022 lo define en dos entradas separadas según quién lo firma:

• Distintivo de Certificación de Conformidad con el ENS: "documento electrónico, en formato PDF-A, firmado electrónicamente por la Entidad de Certificación responsable de la evaluación de los sistemas de información concernidos, incluyendo un enlace a la Certificación de Conformidad con el ENS que, mientras se mantenga su vigencia, permanecerá accesible a través de la sede electrónica o página web de la entidad pública o privada, respectivamente, de que se trate".
• Distintivo de Declaración de Conformidad con el ENS: "documento electrónico, en formato PDF-A, firmado o sellado electrónicamente por la entidad bajo cuya responsabilidad se encuentre el sistema de información en cuestión, incluyendo un enlace a la Declaración de Conformidad con el ENS" con la misma condición de accesibilidad mientras se mantenga su vigencia.

El detalle que comparten las dos definiciones es el que más se pasa por alto: el distintivo no vale como imagen suelta, tiene que incluir un enlace que siga funcionando y que lleve al documento real —Declaración o Certificación— publicado en la sede electrónica o página web de la organización. Un sello sin ese enlace vivo no es el distintivo que regula la norma; es una imagen que se le parece.

La obligación de fondo está en el artículo 38.2 del mismo real decreto: los sujetos responsables "darán publicidad, en los correspondientes portales de internet o sedes electrónicas a las declaraciones y certificaciones de conformidad con el ENS". La guía CCN-STIC 809 —"Declaración, Certificación y Aprobación Provisional de conformidad con el ENS y Distintivos de cumplimiento"— es la que baja ese artículo a modelos concretos, condiciones de emisión y reglas de uso; la edición que descarga el CCN a 26 de septiembre de 2026 está fechada en abril de 2026.

¿Quién concede cada distintivo? No es lo mismo declarar que certificar

Aquí está la confusión más frecuente, y la norma es tajante: la vía mínima no la eliges tú, la determina la categoría de tu sistema (en BÁSICA puedes optar por certificarte; en MEDIA o ALTA no puedes quedarte en la declaración).

Tres matices que no caben en la tabla y que sí importan a la hora de publicarlo:

• En categoría BÁSICA, la propia empresa se autoevalúa y firma su propia Declaración; el distintivo lo publica ella misma, siempre con los modelos de sello que diseña el CCN y que se descargan de su web, nunca con un diseño propio.
• En categoría MEDIA o ALTA, quien firma y expide el distintivo es la Entidad de Certificación que te ha auditado: tú lo publicas en tu web, pero no lo generas ni lo firmas tú. Esa exigencia no la fija el artículo 38 del RD 311/2022, que se limita a remitir el detalle a la Instrucción Técnica de Seguridad correspondiente: es esa Instrucción (Resolución de 13 de octubre de 2016) la que exige, en su apartado VI.1, que la entidad esté acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065; una entidad que solo está «en vías de acreditación» no puede expedir certificaciones hasta obtenerla. En el sector público, el apdo. VI.4 de esa misma Instrucción exime de esa acreditación a los órganos públicos con competencias de auditoría de sistemas, siempre que su imparcialidad quede garantizada: no todo lo que certifica en el sector público pasa por ENAC.
• La certificación nunca la puede emitir la consultora que te ha ayudado a implantar las medidas. La propia guía CCN-STIC 809 lo blinda con reglas de independencia: la Entidad de Certificación, su entidad legal y las entidades bajo su control no pueden ofrecer consultoría en sistemas de gestión de seguridad de la información, y no pueden certificar a una organización a la que en los dos años anteriores hayan hecho, por ejemplo, el análisis de riesgos o el diseño o la implantación de controles. Si tu "certificador" es la misma empresa que te ha preparado el proyecto, no puede certificarte: la consultoría prepara y la entidad acreditada certifica.

¿Qué puedes mostrar en tu web o en una oferta, y qué no?

Esta es la pregunta que de verdad trae a la gente hasta aquí, y tiene respuestas concretas.

Sí puedes:

• Publicar el distintivo oficial —el modelo exacto que se descarga de la web del CCN, nunca un logo diseñado a medida— en tu sede electrónica o página web, con un enlace vivo a la Declaración o Certificación real.
• Mencionar en una propuesta comercial que tu sistema "dispone de Declaración/Certificación de Conformidad con el ENS, categoría X", citando el enlace público donde se puede verificar.
• Si tu sistema es de categoría BÁSICA, someterte igualmente a una auditoría de certificación aunque no sea obligatoria: la propia guía dice que esa posibilidad es "siempre la deseable".

No puedes:

• Diseñar tu propio "logo ENS". Solo valen los modelos de sello que el CCN publica y pone a descarga en su web; cualquier otro diseño, por parecido que sea, no es el distintivo que regula la norma.
• Seguir mostrando el distintivo si la certificación ha caducado, ha sido retirada o no se ha renovado. Su uso "estará condicionado a la posesión de la antedicha Certificación de Conformidad", dice literalmente la guía: sin certificación vigente, no hay derecho a exhibir el sello, aunque lo hayas tenido antes. El propio CCN mantiene publicados en su web los certificados caducados durante dos meses, salvo situaciones excepcionales; pasado ese plazo sin un certificado nuevo, los elimina.
• Dejar que la consultora que te ha asesorado publique o firme el distintivo como si fuera ella la entidad certificadora, o exhibirlo como logro propio de la consultora. El distintivo lo ostenta la organización titular del sistema —o lo firma la Entidad de Certificación acreditada—, nunca el asesor externo que ha preparado el proyecto.
• Presentar una Aprobación Provisional de Conformidad (APC) como si fuera ya una certificación completa. La APC es un recurso excepcional para sistemas BÁSICA o MEDIA, que emite el CCN a petición del Órgano de Auditoría Técnica o de la Entidad de Certificación; el CCN no publica en su web a quien tiene una APC hasta que completa el plan de acciones correctivas de la auditoría y obtiene la Certificación de Conformidad. Si tu proveedor te enseña una APC como si fuera el certificado final, no lo es todavía.
• Usar el distintivo sin el enlace activo a la Declaración o Certificación publicada: sin ese enlace, según la propia definición del Anexo IV, no es el documento que regula la norma, es solo una imagen.

El caso de categoría MEDIA: aquí el distintivo no es opcional

Si tu sistema está categorizado como MEDIA —la categoría con más certificados en el registro del CCN: 1.846, frente a 1.007 de ALTA, a 25 de septiembre de 2026—, el distintivo de Certificación de Conformidad no es una decisión de marketing, es una obligación del artículo 38.1: necesitas superar una auditoría formal, con las garantías de independencia y metodología que fija el Anexo III del ENS, y, una vez superada, exhibir el distintivo que firma la Entidad de Certificación. No cabe sustituirlo por una autoevaluación ni por una Declaración propia, que solo vale para categoría BÁSICA. Y esa auditoría se repite, con carácter ordinario, al menos cada dos años, con hasta tres meses más de plazo si concurre una causa de fuerza mayor no imputable a la organización.

¿Y los sistemas que ya funcionaban antes de 2022?

Un matiz que se pasa por alto: la disposición transitoria única del RD 311/2022 dio a los sistemas preexistentes a su entrada en vigor —incluidos los de los contratistas del sector privado del artículo 2— veinticuatro meses para alcanzar la plena adecuación, "circunstancia que se manifestará con la exhibición del correspondiente distintivo de conformidad". El real decreto entró en vigor el 5 de mayo de 2022 (el día siguiente a su publicación en el BOE, el 4 de mayo), así que ese plazo transitorio terminó el 5 de mayo de 2024: a día de hoy, cualquier sistema preexistente dentro del ámbito del ENS ya debería tener publicado su distintivo, sin margen de transición al que acogerse.

Cómo se llega al distintivo, paso a paso

1. Categoriza tu sistema (BÁSICA, MEDIA o ALTA) según el artículo 40 y el Anexo I del ENS. El autodiagnóstico ENS te orienta en unos minutos.
2. Implanta las medidas del Anexo II que te correspondan y documenta tu Declaración de Aplicabilidad.
3. En BÁSICA, haz la autoevaluación, firma tu Declaración de Conformidad y genera el distintivo con el modelo del Anexo A. En MEDIA o ALTA, contrata una auditoría con una Entidad de Certificación acreditada por ENAC.
4. Supera la auditoría. Si aparecen no conformidades, resuélvelas; si son graves y tu sistema es de categoría ALTA, el artículo 31.6 permite al responsable del sistema suspender temporalmente el servicio hasta subsanarlas.
5. Recibe la Certificación y, con ella, el distintivo firmado por la Entidad de Certificación (Anexo B). La entidad certificadora tiene quince días desde la expedición para comunicarla al CCN, que mantiene en su web la relación de organizaciones certificadas.
6. Publica el distintivo en tu sede electrónica o web, con el enlace vivo a la Certificación o Declaración correspondiente.
7. Repite el proceso al menos cada dos años, como marca el artículo 31, para mantener el distintivo vigente; si dejas de renovar la certificación, pierdes también el derecho a exhibir el distintivo.

Lo que el distintivo no es

No es la certificación en sí: es su representación gráfica y su prueba de publicidad, pero el documento que de verdad acredita la conformidad es la Declaración, la Certificación o la Aprobación Provisional a la que enlaza. No sustituye a la Declaración de Aplicabilidad ni a la gestión de riesgos del artículo 14, que el artículo 28.1 obliga a tener en cuenta al seleccionar las medidas del Anexo II. Y, sobre todo, no lo emite ni lo certifica una consultoría: lo hace una Entidad de Certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 (apdo. VI.1 de la Instrucción Técnica de conformidad) —en el sector público, el apdo. VI.4 exime de esa acreditación a los órganos públicos con competencias de auditoría de sistemas, siempre que su imparcialidad quede garantizada—, nunca quien te ha ayudado a prepararlo —el proceso completo de certificación, con sus requisitos y su coste, está en certificación ENS: proceso, requisitos y costes.

¿Para quién es esta pieza?

Para cualquier empresa proveedora de la Administración —o Administración misma— que ya sabe qué categoría le corresponde y quiere saber, con la norma en la mano, qué puede y qué no puede hacer con su distintivo antes de ponerlo en la web o en una oferta. Si todavía estás en la fase anterior, decidiendo el alcance y planificando el proyecto, esa parte está en el plan de adecuación al ENS y en cuánto tardan realmente los plazos de adecuación; y si lo que necesitas es entender cómo se audita tu sistema una vez implantado, la respuesta está en el Anexo III del ENS: auditoría de conformidad y en auditoría interna del ENS frente a auditoría de certificación.

Preguntas frecuentes

¿El "logo ENS" y el distintivo de conformidad son lo mismo?

Sí. "Logo ENS" es el nombre coloquial con el que mucha gente busca lo que la norma llama distintivo de conformidad: el sello oficial, en uno de sus tres tipos —Declaración, Certificación o Aprobación Provisional—, según los modelos que diseña el CCN, y que solo vale si mantiene el enlace vivo al documento real.

¿Puede mi consultora ENS poner mi distintivo en su propia web como referencia de cliente?

Puede decir que te ha ayudado a prepararlo, pero no puede exhibir tu distintivo como si fuera un logro suyo ni actuar como si certificara. El distintivo lo ostenta la organización titular del sistema, y quien firma la Certificación es una Entidad de Certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 (apdo. VI.1 de la Instrucción Técnica de conformidad) —en el sector público, el apdo. VI.4 exime de esa acreditación a los órganos públicos con competencias de auditoría de sistemas, siempre que su imparcialidad quede garantizada—, que además no puede ser la misma que te ha prestado consultoría en los dos años anteriores.

Mi certificado ENS ha caducado, ¿puedo seguir mostrando el distintivo mientras renuevo?

No. La propia guía CCN-STIC 809 condiciona el uso del distintivo de Certificación a la posesión vigente de la Certificación. El CCN mantiene publicados los certificados caducados durante dos meses; si no recibe el certificado nuevo, los elimina de su web. Tú deberías retirar el distintivo de la tuya en el momento en que la certificación deja de estar en vigor.

¿Una Aprobación Provisional de Conformidad (APC) es lo mismo que estar certificado?

No, y conviene no confundirlas en una oferta comercial. La APC es un recurso excepcional para sistemas BÁSICA o MEDIA, que emite el CCN; mientras no se complete el plan de acciones correctivas de la auditoría y se obtenga la Certificación de Conformidad, el CCN no publica a esa organización en su web.

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191, texto consolidado): artículos 2, 14, 28, 31, 38 y 40, Anexo III (Auditoría de la seguridad), Anexo IV (Glosario, definiciones de "Distintivo de Certificación de Conformidad" y "Distintivo de Declaración de Conformidad") y disposición transitoria única. Consultado el 25 de septiembre de 2026.
• Instrucción Técnica de Seguridad de Conformidad con el Esquema Nacional de Seguridad (Resolución de 13 de octubre de 2016, BOE-A-2016-10109), apartado VI (requisitos de las entidades certificadoras, incluida la exención del apartado VI.4 para determinados órganos públicos). Consultado el 28 de septiembre de 2026.
• Centro Criptológico Nacional, guía CCN-STIC 809, "Declaración, Certificación y Aprobación Provisional de conformidad con el ENS y Distintivos de cumplimiento", edición de abril de 2026.
• CCN, ENS navegable — Distintivos de Conformidad, consultado el 25 de septiembre de 2026.
• CCN, registro público de certificados de conformidad con el ENS: https://gobernanza.ccn-cert.cni.es/certificados (contadores consultados el 25 de septiembre de 2026).

Si necesitas que alguien revise contigo qué distintivo te corresponde y cómo publicarlo sin errores, en la consultoría ENS para empresas lo repaso junto a tu categoría y tu Declaración de Aplicabilidad. Si prefieres hablarlo directamente, reserva una consulta.