¿Qué diferencia hay entre el ENS y la ISO 27001?
El ENS es una norma legal española, el Real Decreto 311/2022, obligatoria para el sector público y para las empresas que le prestan servicios. La ISO/IEC 27001 es una norma internacional voluntaria. El ENS fija 73 medidas que se aplican según la categoría; en la ISO 27001, los controles salen de tu tratamiento de riesgos.
Esta guía compara el ENS con la ISO 27001 para una empresa que vende en España: a la Administración, a clientes privados o a los dos. Si lo que quieres saber es cuánto te acerca la ISO 27001 a la directiva europea NIS2, está en ISO 27001 y NIS2; qué es el ENS y qué categorías tiene, en la guía del Esquema Nacional de Seguridad.
| Aspecto | ENS | ISO/IEC 27001 |
|---|---|---|
| Qué es | El Real Decreto 311/2022: una norma legal | Una norma internacional «cuya observancia no es obligatoria» (Reglamento UE 1025/2012) |
| A quién obliga | Al sector público y a las empresas privadas que le prestan servicios o soluciones (artículo 2.3) | A nadie por ley: a quien la acepta en un contrato o un pliego |
| Las medidas | 73 en el anexo II: 4 organizativas, 33 operacionales y 36 de protección | El anexo A remite a los 93 controles de la ISO/IEC 27002:2022, en 4 apartados |
| Cómo se eligen | Por la categoría del sistema; solo se excluyen o se sustituyen con justificación escrita (artículo 28) | Por tu tratamiento de riesgos, comparado con el anexo A |
| Declaración de aplicabilidad | Sí, firmada por el responsable de la seguridad (artículo 28.2) | Sí, como resultado del tratamiento de riesgos |
| Cómo se acredita | Básica: autoevaluación y declaración. Media y alta: auditoría y certificación (artículo 38) | Auditoría de una entidad de certificación |
| Quién acredita al certificador | ENAC, según la norma UNE-EN ISO/IEC 17065, la de productos, procesos y servicios | En España, ENAC |
| Cada cuánto | Al menos cada dos años (artículo 31) | Ciclo con auditorías de seguimiento y de renovación |
| Dónde vale | En la contratación pública española | En otros países: un certificado acreditado dentro del acuerdo del IAF puede reconocerse en todo el mundo |
¿Cuándo te piden el ENS y cuándo la ISO 27001?
El ENS, cuando prestas servicios o provees soluciones a una entidad del sector público: el pliego tiene que exigir la declaración o la certificación de conformidad (artículo 2.3 del RD 311/2022), y puede alcanzar a tus subcontratistas. La ISO 27001, cuando la pide un cliente privado en su contrato o cuestionario, o un pliego.
| Situación | ENS | ISO 27001 |
|---|---|---|
| Una Administración te contrata un servicio | Obligatorio: declaración en categoría básica, certificación en media y alta, del sistema que presta el servicio | No sustituye al ENS; súmala solo si el pliego también la pide |
| Tratas datos personales por cuenta de una Administración | Medidas ajustadas al ENS (LOPDGDD, disposición adicional primera) | No la exige la ley |
| Eres subcontratista de quien trabaja para la Administración | Puede alcanzarte si el análisis de riesgos lo justifica (artículo 2.3) | Lo que diga tu contrato |
| Un cliente privado te manda un cuestionario o una cláusula | Sirve como prueba si el cliente la acepta | Certificado si lo pide literal; si no, controles con pruebas |
| Vendes a clientes de otros países | Es una norma española: fuera nadie está obligado a reconocerla | Norma internacional, con reconocimiento entre los acreditadores del IAF |
La disposición adicional primera de la Ley Orgánica 3/2018 de protección de datos dice que, cuando un tercero presta un servicio a la Administración por concesión, encomienda o contrato, las medidas de seguridad sobre esos datos «se ajustarán al Esquema Nacional de Seguridad». Cómo se presenta la conformidad en una licitación lo explica la declaración de conformidad con el ENS.
¿Te sirve la ISO 27001 para cumplir el ENS?
Te sirve de base, no de sustituto. El pliego pide la declaración o la certificación de conformidad con el ENS, no otro certificado. Lo que se aprovecha es el sistema: la auditoría del ENS comprueba que hay un sistema de gestión documentado y aprobado por la dirección, que es lo que la ISO 27001 ordena.
El anexo III del Real Decreto 311/2022 pide constatar «que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección, tomando como base la Declaración de Aplicabilidad». Y la medida op.pl.2 lo exige con nombre: un sistema de gestión en categoría media y, en alta, uno «con actualización y aprobación periódica». Dónde se tocan los dos marcos lo enseña la tabla que ENISA publicó para la NIS2, que pone el ENS y la ISO 27001 en columnas paralelas, requisito a requisito.
| Requisito (Reglamento 2024/2690) | Medida del ENS que cita ENISA | En la ISO 27001, según ENISA |
|---|---|---|
| Análisis de riesgos (2.1) | Artículos 7 y 14 y op.pl.1, «Análisis de riesgos» | Tratamiento de riesgos (6.1.3), entre otros apartados |
| Revisión independiente (2.3) | Artículo 31 y anexo III, «Auditoría de la seguridad» | Auditoría interna (9.2), entre otros |
| Eficacia de las medidas (7.1) | Artículos 31 y 32 y op.mon.2, «Sistema de métricas» | Revisión por la dirección (9.3), entre otros |
| Copias de seguridad (4.2) | mp.info.6, «Copias de seguridad», y las medidas de continuidad (op.cont) | Controles del anexo A |
| Proveedores (5.1) | op.ext.1 a op.ext.4, «Recursos externos» | Controles del anexo A |
| Autenticación multifactor (11.7) | op.acc.1 a op.acc.6, «Control de acceso» | Un control del anexo A |
| Inventario de activos (12.4) | op.exp.1, «Inventario de activos» | Un control del anexo A |
Si ya tienes la ISO 27001, el camino corto es partir de tu declaración de aplicabilidad y comprobar, medida a medida, qué te falta del anexo II para tu categoría. Qué documentos forman ese sistema lo resume qué es un SGSI.
¿Te sirve el ENS para un cliente privado que te pide la ISO 27001?
Solo si el cliente lo acepta. La conformidad con el ENS demuestra un sistema documentado y evaluado y, en media o alta, certificado por una entidad acreditada; pero es la norma del sector público español y un cliente privado decide qué admite. Adjúntala y pregunta por escrito si la aceptan como equivalente.
Cómo responder cuando el requisito dice «ISO 27001 o equivalente», y qué enviar si no tienes ninguna de las dos, está en me piden la ISO 27001 y no la tengo. Para contestar el cuestionario pregunta a pregunta, usa la plantilla de respuestas.
¿Cómo se acredita el ENS y cómo la ISO 27001?
En el ENS depende de la categoría: en básica basta una autoevaluación documentada y una declaración propia; en media y alta, la auditoría y la certificación de una entidad acreditada por ENAC. Las dos se renuevan al menos cada dos años. La ISO 27001 solo se certifica con la auditoría de una certificadora.
| Esquema | Cuándo aplica | Cómo se acredita | Quién lo emite | Revisión |
|---|---|---|---|---|
| ENS · BÁSICA | Alguna dimensión en nivel BAJO y ninguna superior | Autoevaluación con las evidencias de cada medida (anexo III, 2.1) | Tu empresa: declaración de conformidad | Al menos cada dos años |
| ENS · MEDIA | Alguna dimensión en nivel MEDIO y ninguna en ALTO | Auditoría de certificación | Entidad de certificación acreditada por ENAC | Al menos cada dos años, con auditoría interna anual según el CCN |
| ENS · ALTA | Alguna dimensión en nivel ALTO | Auditoría de certificación | Entidad de certificación acreditada por ENAC | Al menos cada dos años, con auditoría interna anual según el CCN |
| ISO/IEC 27001 | Cuando decides certificarte | Auditoría de certificación del alcance que elijas | Entidad de certificación, mejor si está acreditada | Auditorías de seguimiento y de renovación |
2 años
Validez máxima de una certificación de conformidad con el ENS, contada desde la fecha de certificación inicial, según el CCN. En categoría básica, la autoevaluación se repite con el mismo plazo.
Quién firma la declaración de categoría básica, qué dice y dónde se publica está en la declaración de conformidad con el ENS; los pasos de la certificación ISO, en ISO 27001 para pymes. Y si tienes un certificado ISO antiguo: las certificaciones de la versión 2013 caducaron o se retiraron el 31 de octubre de 2025, según el IAF.
¿Qué piden el ENS y la ISO 27001 sobre el análisis de riesgos?
Los dos lo ponen en el centro, con distinta exigencia. El ENS pide una metodología reconocida internacionalmente y fija el nivel por categoría: informal en básica, semiformal en media y formal en alta (medida op.pl.1). En la ISO 27001, el tratamiento de riesgos decide qué controles aplicas y se refleja en la declaración de aplicabilidad.
| Categoría | Tipo de análisis | Qué tiene que hacer |
|---|---|---|
| BÁSICA | Informal, en lenguaje natural | Identificar los activos más valiosos, las amenazas más probables, las salvaguardas y los principales riesgos residuales |
| MEDIA | Semiformal: tablas, un catálogo básico de amenazas y una semántica definida | Valorar los activos, cuantificar las amenazas y valorar las salvaguardas y el riesgo residual |
| ALTA | Formal, con un fundamento matemático reconocido internacionalmente | Además, priorizar las salvaguardas y asumir formalmente el riesgo residual |
El CCN aclara en sus preguntas frecuentes que el ENS no impone una metodología concreta: MAGERIT está muy extendida en el sector público, y otras normas, como la ISO 31000:2018, la complementan. Un análisis hecho para la ISO 27001 te vale de punto de partida si llega al nivel que pide tu categoría. Cómo se hace uno en una pyme, en análisis de riesgos de ciberseguridad.
¿Qué añade el ENS a un sistema ISO 27001?
Obligaciones con nombre propio en el Real Decreto 311/2022: categorizar el sistema en cinco dimensiones, aplicar las medidas del anexo II que tocan a esa categoría, separar al responsable de la seguridad del responsable del sistema, designar un punto de contacto de seguridad si prestas un servicio externalizado y publicar la conformidad en tu web.
Organización
- Política de seguridad aprobada por el órgano con las máximas competencias ejecutivas (artículo 2.3)
- Responsable de la seguridad distinto del responsable del sistema, sin dependencia jerárquica (artículo 13.3)
- Punto de contacto de seguridad para el servicio externalizado, con apoyo de la dirección (artículo 13.5)
Medidas
- Categoría del sistema según cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad (anexo I)
- Declaración de aplicabilidad con las medidas del anexo II de tu categoría, firmada por el responsable de la seguridad (artículo 28)
- Análisis de riesgos del nivel que pide la categoría (op.pl.1)
Acreditación
- En básica, autoevaluación documentada medida a medida, con sus evidencias (anexo III)
- En media y alta, certificación por una entidad acreditada según la UNE-EN ISO/IEC 17065
- Distintivo publicado en tu web, enlazado a la declaración o al certificado (artículo 38.2)
- Nueva autoevaluación o auditoría al menos cada dos años (artículo 31)
En una pyme, el punto que más cuesta es la separación de papeles. El artículo 13.3 permite que las dos funciones recaigan en la misma persona cuando faltan recursos, siempre con medidas compensatorias. Qué hace ese responsable y qué le pide cada norma, en el responsable de seguridad de la información; si no lo tienes dentro, un CISO externo es una forma de cubrirlo.
¿Te conviene tener el ENS y la ISO 27001 a la vez?
Si vendes a la Administración y a clientes privados que piden la ISO 27001, sí, con un solo sistema. La política, el análisis de riesgos, la declaración de aplicabilidad, el registro de incidentes y las auditorías internas sirven para los dos; cambian la lista de medidas, la forma de acreditar y el calendario de revisiones.
¿Prestas servicios a una entidad pública?
- Sí
- Necesitas el ENS en la categoría que fije el pliego
- No
- Si eres subcontratista de quien sí, puede alcanzarte por contrato; si no, el ENS no te obliga
¿Un cliente privado o un pliego pide el certificado ISO 27001 sin alternativa?
- Sí
- Certifícate con el alcance que te piden
- No
- Responde con tu sistema documentado y sus pruebas
¿Te salen los dos?
- Sí
- Un solo sistema, una declaración de aplicabilidad por esquema y un calendario común
- No
- Céntrate en el que te piden y guarda las evidencias para el otro
Talvit no certifica ni emite declaraciones. Documentamos tu sistema de gestión de la seguridad, aplicamos buena parte de las medidas y reunimos cada mes las pruebas en tu dossier de evidencias: son la materia prima de la autoevaluación del ENS y de la auditoría de la ISO 27001. Si te lo pide un cliente, en la página para proveedores contamos cómo. Más guías, en normativa.
Lo que esta guía no cubre
- No es asesoramiento jurídico: la categoría que exige un contrato la fija el órgano de contratación, y si dudas, pregúntalo por escrito.
- No reproduce la ISO/IEC 27001, que es una norma de pago: citamos lo que publican el Foro Internacional de Acreditación y ENISA.
- No compara medida a medida el anexo II del ENS con el anexo A de la ISO 27001.
- No trata la NIS2: la relación de la ISO 27001 con la directiva está en ISO 27001 y NIS2.
Preguntas frecuentes
¿El ENS es solo para empresas de informática?
No. Se aplica a los sistemas de cualquier empresa privada que, por contrato, preste servicios o provea soluciones a una entidad pública para el ejercicio de sus competencias (artículo 2.3 del RD 311/2022).
¿Puedo hacer la autoevaluación del ENS sin una certificadora?
En categoría básica, sí: la hace el personal que administra el sistema o en quien delegue, y queda documentada medida a medida con sus evidencias (anexo III). En media y alta, no.
¿Qué sale más caro, el ENS o la ISO 27001?
No hay tarifas públicas para compararlo. Sí hay una diferencia de estructura: la declaración del ENS en categoría básica no pasa por una certificadora, y el certificado ISO 27001 siempre exige auditoría externa.
¿Una empresa certificada en el ENS aparece en algún sitio?
Sí. El distintivo se publica en su web y enlaza al certificado, y el CCN mantiene una lista de los operadores privados que han obtenido la certificación de conformidad.
¿Sirve el ENS para la NIS2?
La tabla de correspondencia de ENISA incluye el ENS como marco nacional español, requisito a requisito y sin medir equivalencia. La ley española que lo concrete no está en el BOE a octubre de 2026.
Fuentes
- Real Decreto 311/2022, Esquema Nacional de Seguridad (texto consolidado), consultado el
- Ley Orgánica 3/2018, de protección de datos (LOPDGDD), disposición adicional primera, consultado el
- Centro Criptológico Nacional, preguntas frecuentes del ENS, consultado el
- IAF MD 26:2023, transición a la ISO/IEC 27001:2022, consultado el
- ENAC, Entidad Nacional de Acreditación, consultado el
- ENISA, tabla de correspondencia de la guía técnica de la NIS2, versión 1.2, 21 de agosto de 2025, consultado el
- Reglamento (UE) 1025/2012, sobre la normalización europea, art. 2.1, consultado el
Registro de cambios
- : Publicación.
