Consultoría de cumplimiento normativo ISO, ENS y RGPD

Estructura del ámbito

Los seis ejes de trabajo en cumplimiento normativo.

El paraguas de cumplimiento se ordena en seis ejes que cubren las exigencias habituales para una pyme española B2B o proveedora de AAPP. Cada proyecto activa los que aplican según sector y madurez.

Eje 01ISO de gestión (9001, 14001, 27001, 45001, 22301, 42001)

Las normas ISO de la familia ISO/IEC son el lenguaje internacional de los sistemas de gestión. Comparten estructura de alto nivel (HLS, Anexo SL) lo que permite implantarlas en bundle con ahorro real de horas: ISO 9001 (calidad), 14001 (ambiental), 27001 (seguridad de la información), 45001 (seguridad y salud en el trabajo), 22301 (continuidad de negocio) y la novísima 42001 (gestión de sistemas de IA). La 9001 sigue siendo la puerta de entrada habitual; la 27001 ha pasado a ser casi obligatoria para servicios TIC; la 22301 sube en prioridad con NIS2.

Profundizo en este eje desde el hub interno cumplimiento · ISO, donde se enlazan las guías específicas por norma. Las guías ya publicadas cubren ISO 9001 · implantación y certificación, ISO 22301 de continuidad de negocio e ISO 42001 de gestión de inteligencia artificial. Para ISO 27001, el glosario del sitio mantiene la entrada de referencia ISO 27001 · glosario mientras se publica la guía completa.

Eje 02Esquema Nacional de Seguridad (ENS)

El ENS, regulado por el Real Decreto 311/2022, es de aplicación obligatoria a Administración Pública y a sus proveedores TIC desde mayo de 2024. Establece tres categorías (Básica, Media, Alta) según impacto de los servicios prestados y un catálogo de medidas más prescriptivas que las de ISO 27001. Una empresa con ISO 27001 cubre aproximadamente el 75% de ENS Básico; el 25% restante son requisitos específicos del marco español (CCN-CERT, productos CPSTIC, procedimientos de uso, formación específica).

Trato el ENS desde dos ángulos en el sitio: el hub interno cumplimiento · ENS y el artículo comparativo ENS frente a ISO 27001 · diferencias que resuelve la duda más frecuente del directivo TIC. Para pymes que ya van a licitar con AAPP en 2026, recomiendo el pack ISO 27001 + ENS + RGPD para licitaciones AAPP de Castilla y León como entrada coordinada.

Eje 03Ciberseguridad · plan director y MAGERIT

Más allá de los sellos, la ciberseguridad real exige un plan director con análisis de riesgos (MAGERIT o equivalente), políticas técnicas (gestión de identidades, parcheo, backup, monitorización), procedimientos operativos y simulacros de incidente. Sin estos elementos, las normas ISO o el ENS quedan en papel y la primera brecha real obliga a empezar de cero.

El hub cumplimiento · ciberseguridad agrupa el trabajo en este eje. Los artículos clave: normativa de ciberseguridad en España (RGPD, ENS, NIS2, DORA) como mapa general, ransomware · prevención, detección y recuperación para la amenaza dominante y auditoría de ciberseguridad como instrumento de diagnóstico independiente.

Eje 04RGPD y protección de datos

El Reglamento General de Protección de Datos sigue siendo el suelo común para cualquier organización que trate datos personales. Después de seis años de aplicación, el cumplimiento real en pymes españolas es desigual: muchas tienen las cláusulas legales en la web pero fallan en lo operativo (gestión de derechos del titular en plazo, notificación de brechas en 72 horas, base jurídica documentada por tratamiento, evaluaciones de impacto cuando proceden).

Para profundizar, ver la entrada de glosario RGPD · glosario. La obligatoriedad del Delegado de Protección de Datos (DPO) aplica en tres supuestos del artículo 37: organismos públicos, observación habitual a gran escala y tratamiento a gran escala de categorías especiales. Para una pyme media, el DPO externo cuesta 200-700 € al mes según sector.

Eje 05NIS2 y DORA · resiliencia cibernética sectorial

La directiva NIS2 (UE 2022/2555) sustituye a la NIS de 2016 y entró en vigor mediante transposición española en 2026. Amplía el perímetro de obligados desde grandes operadores a pymes esenciales (sectores: energía, agua, transporte, banca, sanidad, infraestructura digital) e importantes (alimentación, química, residuos, manufactura sanitaria, etc.). Multas hasta 10 M€ o 2% de facturación anual.

DORA (Reglamento UE 2022/2554) regula desde el 17 de enero de 2025 la resiliencia operativa digital del sector financiero — bancos, fintech, gestoras, compañías de seguros — y de sus proveedores TIC críticos. Cinco bloques: gobernanza, gestión de riesgo TIC, gestión de incidentes, pruebas de resiliencia y supervisión de terceros.

Mis dos artículos de referencia: NIS2 · directiva de ciberseguridad para pymes en España y DORA · reglamento de resiliencia operativa digital del sector financiero.

Eje 06Cumplimiento orientado a licitaciones AAPP

El cumplimiento adquiere sentido económico inmediato cuando se traduce en acceso a contratación pública. Una memoria competitiva en 2026 exige tres bloques: solvencia técnica (ISO 9001 + ISO 27001 obligatorios para servicios TIC, ENS según categoría del contrato), compromisos (protocolo RGPD, plan de continuidad ISO 22301 si el servicio es crítico, política RSC) y memoria técnica del sobre B bien construida.

El caso documentado en el sitio es el pack ISO 27001 + ENS + RGPD para licitaciones AAPP de Castilla y León: tres normas implantadas en paralelo con ahorro de tiempo y coste, dimensionadas para una pyme TIC que entra al mercado público.

Profundizar

Mini-guías y artículos detallados.

Selección curada de los artículos del sitio en el ámbito de cumplimiento, ordenados por sub-cluster.

Errores recurrentes

Cinco antipatrones en proyectos de cumplimiento.

Los proyectos de cumplimiento que terminan en certificación obtenida y SGS abandonado se repiten con cinco patrones identificables. Quien los reconoce a tiempo evita rehacer el trabajo a los dos años.

Implantar la norma sin entender el negocio. La consultora descarga plantillas genéricas, sustituye el nombre de la empresa y entrega un manual de 400 páginas. La auditoría externa lo detecta en la primera visita (entrevistas a procesos): nadie reconoce los procedimientos. Solución: el SGS se redacta con responsables operativos en la mesa, partiendo de cómo se trabaja realmente y formalizándolo donde aporta valor.

Hacer cumplimiento "para auditoría" en vez de "para el negocio". Se prepara el sistema durante seis meses, se certifica y luego cae en desuso hasta seis semanas antes de la siguiente auditoría. Resultado: cargas continuas sin retorno y riesgo creciente de no superar la siguiente revisión. Solución: el SGS se integra en rutinas operativas existentes (comités, comités de seguridad, sesiones de revisión).

Saltar el análisis de riesgos serio. Se usa una matriz genérica importada de plantilla y los riesgos quedan sin priorizar realmente. Cuando ocurre un incidente, los controles no estaban dimensionados. Solución: análisis de riesgos formal (MAGERIT, ISO 27005, FAIR) con activos reales y amenazas plausibles del sector concreto.

Olvidar la formación y los simulacros. El SGS dice que hay procedimiento de respuesta a incidentes pero el equipo no lo ha ensayado nunca. Cuando llega el ransomware, la primera vez que se mira el procedimiento es a las 3 de la mañana. Solución: simulacros anuales obligatorios documentados y formaciones periódicas con asistencia registrada.

No actualizar tras cambios normativos. El SGS quedó alineado con la versión anterior de la ISO o con la NIS de 2016. La nueva versión exige cambios sustanciales (controles del Anexo A 2022, sectores ampliados en NIS2) y la auditoría externa los detecta. Solución: revisión periódica del marco normativo de referencia y plan de transición cuando aplica.