ENS e ISO 27001
ENS vs ISO 27001: diferencias, cuál necesitas y cuál hacer primero
Respuesta corta
La ISO/IEC 27001:2022 es una norma internacional y voluntaria que certifica un sistema de gestión de la seguridad de la información (SGSI), con 93 controles de referencia y un certificado de tres años con auditorías de seguimiento anuales. El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es una norma legal española con 73 medidas exigidas según la categoría del sistema y una auditoría (o autoevaluación en BÁSICA) al menos cada dos años. Quién te lo pide decide cuál necesitas (lo llamamos la regla del cliente): el ENS lo exige el pliego de una administración pública española, y la ISO 27001, una empresa privada o un cliente de fuera de España. Una no sustituye a la otra, pero comparten el sistema de gestión y el análisis de riesgos, y se pueden implantar con un solo sistema y auditar de forma integrada.
Esta guía es para el CTO o el fundador de un SaaS que vende, o quiere vender, a una administración pública española y también a empresas privadas. Comparamos el texto consolidado del Real Decreto 311/2022 (última actualización, 6 de noviembre de 2024) con la ISO/IEC 27001:2022, que tiene una enmienda, la Amd 1:2024. Los datos son a 22 de octubre de 2026, salvo donde se indica otra fecha. Cómo conseguir el ENS paso a paso está en certificación ENS para empresas tecnológicas y SaaS que venden a la administración.
¿Qué diferencia hay entre el ENS y la ISO 27001?
La diferencia de fondo es que el ENS es una obligación legal española con medidas mínimas fijadas por categoría, y la ISO 27001 es una norma internacional voluntaria en la que tú eliges los controles a partir de tu análisis de riesgos.
Dos términos que usa la tabla: la categoría del ENS (BÁSICA, MEDIA o ALTA) es el nivel del sistema según el daño que causaría un incidente, y las dimensiones son las propiedades de seguridad que ese incidente puede dañar.
| Atributo | ENS (RD 311/2022) | ISO/IEC 27001:2022 |
|---|---|---|
| Qué es | Norma legal española: el Real Decreto 311/2022, de 3 de mayo, que derogó el Real Decreto 3/2010. | Norma internacional de requisitos para un SGSI, publicada el 25 de octubre de 2022, con la enmienda Amd 1:2024. |
| Quién la publica | El Gobierno de España, como real decreto publicado en el BOE núm. 106, de 4 de mayo de 2022, en vigor desde el 5 de mayo de 2022. Lo desarrollan instrucciones técnicas de seguridad de obligado cumplimiento y las guías CCN-STIC del Centro Criptológico Nacional (CCN) (disposición adicional segunda). | ISO e IEC, a través del comité ISO/IEC JTC 1/SC 27. |
| Obligatoriedad | Obligatorio por ley para el sector público (artículo 2.1) y para las empresas privadas que le prestan servicios por contrato (artículo 2.3). | Voluntaria. Solo es obligatoria si un contrato o un cliente la exige. |
| Qué cubre | Los sistemas de información que soportan el servicio prestado al sector público, no toda la empresa. | El SGSI sobre el alcance que define la organización (cláusula 4.3), de cualquier tamaño y sector. |
| Enfoque | Prescriptivo: las medidas del anexo II son mínimos exigibles según la categoría (artículo 28.2). Solo se sustituyen por medidas compensatorias si se justifica por escrito que protegen igual o mejor (artículo 28.3). | Basado en riesgos: los controles necesarios salen del análisis y tratamiento de riesgos (cláusula 6.1.3). |
| Medidas o controles | 73 medidas en el anexo II: 4 organizativas, 33 operacionales y 36 de protección (recuento propio), con refuerzos adicionales en MEDIA y ALTA. | 93 controles de referencia en el anexo A (114 en la versión 2013). La ISO/IEC 27002:2022 los desarrolla y no es certificable. |
| Categorías | BÁSICA, MEDIA o ALTA, según el nivel más alto que alcance alguna dimensión (artículo 40 y anexo I). | No tiene categorías. |
| Dimensiones de seguridad | Cinco: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad (anexo I). | El SGSI preserva la confidencialidad, la integridad y la disponibilidad de la información. |
| Documento de aplicabilidad | Declaración de Aplicabilidad con las medidas del anexo II que aplicas, firmada por el responsable de la seguridad (artículo 28.2). | Declaración de Aplicabilidad (SoA) con los controles necesarios, por qué se incluyen y por qué se excluyen los demás del anexo A (cláusula 6.1.3 d). |
| Roles | Responsable de la información, del servicio, de la seguridad y del sistema; seguridad y sistema, separados y sin dependencia jerárquica (artículos 11 y 13). | La dirección asigna los roles y responsabilidades de seguridad (cláusula 5.3). |
| Tipo de conformidad | BÁSICA: Declaración de Conformidad que expide tu empresa tras una autoevaluación. MEDIA y ALTA: Certificación de Conformidad tras una auditoría (artículo 38). | Certificado del SGSI tras una auditoría de certificación. |
| Quién certifica | Una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. La lista del CCN tenía 20 acreditadas y 7 en proceso a 20 de octubre de 2026. | Una certificadora acreditada (en España, por ENAC) conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1. |
| Ciclo de auditoría | Auditoría ordinaria al menos cada dos años, o autoevaluación en BÁSICA, y extraordinaria si el sistema cambia de forma sustancial, desde la que se vuelven a contar los dos años (artículo 31). | Certificado de tres años como máximo, con auditorías de seguimiento anuales y recertificación. |
| Dónde se reconoce | Solo en España: lo exige el sector público español a sus proveedores y, según el pliego, a su cadena de suministro. | Internacionalmente, a través de los acuerdos de reconocimiento de IAF. |
| Dónde se comprueba | Listado de certificados de conformidad del CCN; las Declaraciones, en la web o sede del proveedor (artículo 38.2). | En el propio certificado, en IAF CertSearch y en el buscador de ENAC (acreditación de la certificadora). |
Fuentes: Real Decreto 311/2022, Instrucción Técnica de Seguridad de conformidad con el ENS (apartados III, IV y VI.1), entidades de certificación del CCN, ISO/IEC 27001:2022, ISO/IEC 27002:2022 y ENAC. El recuento de las 73 medidas es nuestro, sobre los códigos del anexo II del texto consolidado del BOE.
¿Es obligatorio el ENS para una empresa privada? ¿Y la ISO 27001?
El ENS es obligatorio para una empresa privada cuando presta servicios o provee soluciones al sector público por contrato; la ISO 27001 no es obligatoria por ley en ningún caso, solo cuando un cliente la exige en un contrato.
El artículo 2.3 del Real Decreto 311/2022 dice que el ENS «también se aplica a los sistemas de información de las entidades del sector privado» que, en virtud de una relación contractual, «presten servicios o provean soluciones a las entidades del sector público», incluida la obligación de tener una política de seguridad. Los pliegos, que son las condiciones del contrato público, «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS», como la Declaración o la Certificación de Conformidad. Esa cautela se extiende a la cadena de suministro del contratista cuando el análisis de riesgos lo justifica.
La categoría que te toca la fija el daño que causaría un incidente, no el tamaño de tu empresa; cómo se determina y si te basta una Declaración lo explicamos en qué categoría ENS necesitas.
¿Cuál necesitas según quién sea tu cliente?
Necesitas el que te pide tu cliente por escrito. Lo llamamos la regla del cliente: quién compra tu servicio y qué dice su pliego o su contrato deciden si necesitas el ENS, la ISO 27001 o las dos.
| Tu cliente | Qué necesitas | Por qué |
|---|---|---|
| Administración pública española | El ENS, en la categoría que indique el pliego. | El artículo 2.3 del Real Decreto 311/2022 se aplica a tu sistema y el pliego tiene que exigir la conformidad. |
| Empresa privada que presta servicios a la administración con tu producto | Posiblemente el ENS, si su pliego lo extiende a sus proveedores. | La cautela del artículo 2.3 alcanza a la cadena de suministro del contratista, según su análisis de riesgos. |
| Empresa privada, en España o en la UE, que exige un certificado | La ISO 27001. | El ENS no se aplica a esa relación; la ISO 27001 es el certificado que el cliente puede exigirte por contrato. |
| Cliente de fuera de España | La ISO 27001. | El ENS es una norma española; el certificado ISO 27001 acreditado se reconoce a través de IAF. Si el cliente es de EE. UU. y te pide el informe SOC 2, lo comparamos en ISO 27001 vs SOC 2: diferencias y cuál necesitas. |
| Administración y empresas privadas | Las dos, con un solo sistema de gestión. | Ninguna sustituye a la otra, pero comparten el sistema de gestión y el análisis de riesgos. |
Si quien te lo pide es una empresa privada, qué contestarle esta semana y cómo leer la cláusula lo tienes en qué hacer cuando tu cliente te pide la ISO 27001.
Si tienes la ISO 27001, ¿cumples el ENS? ¿Y al revés?
No en ninguno de los dos sentidos: la ISO 27001 no te da la conformidad con el ENS, y el ENS no te da un certificado ISO 27001. Lo que sí hay es mucho trabajo compartido.
La guía CCN-STIC 825 del CCN explica cómo aprovechar un esquema para el otro, también «a la inversa», y su anexo de julio de 2023 mapea la ISO/IEC 27001:2022 con el Real Decreto 311/2022. La propia guía advierte de que esa correspondencia «no debe ser interpretada como una relación aritmética de equivalencia»: no hay un porcentaje fiable de controles que «ya tengas».
- De la ISO 27001 al ENS. Reaprovechas sobre todo el sistema de gestión y el análisis de riesgos, si su alcance incluye el sistema que prestas a la administración. Tienes que añadir la categoría, los roles del ENS, la Declaración de Aplicabilidad sobre las 73 medidas y la conformidad. La tabla pieza a pieza está en qué se reaprovecha de la ISO 27001 para el ENS.
- Del ENS a la ISO 27001. El ENS ya exige un sistema de gestión de la seguridad documentado y basado en la Declaración de Aplicabilidad (anexo III). El certificado ISO 27001 lo emite una certificadora acreditada después de auditar ese sistema contra la ISO/IEC 27001:2022. La certificadora comprueba, por ejemplo, el contexto y las partes interesadas (cláusulas 4.1 y 4.2), el alcance del SGSI (4.3), los objetivos de seguridad (6.2), la auditoría interna (9.2) y la revisión por la dirección (9.3). También revisa la SoA, que recorre los 93 controles del anexo A.
¿Qué haces primero: el ENS o la ISO 27001?
Primero, la que tenga una fecha exigida por escrito en un pliego o un contrato. Si ninguna la tiene, aplica estos criterios en orden:
- La exigencia con fecha. Un pliego con plazo para presentar la conformidad con el ENS o un contrato privado con fecha para el certificado ISO 27001 marcan el orden.
- Las ventas que desbloquea. Sin fecha, empieza por la que piden los clientes que tienes en negociación: administración pública, el ENS; empresas privadas o clientes extranjeros, la ISO 27001.
- Un alcance pensado para las dos. Si vas a necesitar las dos, define desde el principio un alcance de la ISO 27001 que incluya el sistema que vendes a la administración, y un análisis de riesgos que valore también la autenticidad y la trazabilidad. Así no rehaces la base cuando llegue la segunda.
¿Se pueden implantar y certificar el ENS y la ISO 27001 a la vez?
Sí. Se pueden implantar con un solo sistema de gestión y auditar de forma integrada, siempre que la entidad de certificación esté acreditada para los dos esquemas. La revista de AENOR explica que, con la guía CCN-STIC 825, se puede abordar «dentro de un mismo alcance para los sistemas de información, la certificación integrada de ambos referenciales» (AENOR, nº 348, mayo de 2019).
En la práctica, hacer las dos a la vez significa:
- Un solo SGSI y un solo análisis de riesgos que cubra el sistema que prestas a la administración y valore las cinco dimensiones del ENS.
- Dos documentos de aplicabilidad: la SoA de la ISO 27001 sobre los 93 controles y la Declaración de Aplicabilidad del ENS sobre las 73 medidas de tu categoría.
- Los roles del ENS desde el principio. El responsable de la seguridad tiene que ser distinto del responsable del sistema y no depender de él; si en un equipo pequeño no es posible, hacen falta medidas compensatorias (artículo 13.3).
- Dos resultados con su propio ciclo: el certificado ISO 27001, con seguimientos anuales, y la conformidad con el ENS, con auditoría al menos cada dos años.
¿Quién certifica el ENS y la ISO 27001, y cómo se comprueba?
El ENS de categoría MEDIA o ALTA lo certifica una entidad acreditada por ENAC, y la ISO 27001 una certificadora acreditada (en España, normalmente por ENAC), con acreditaciones distintas; el ENS de categoría BÁSICA lo declara tu propia empresa, salvo que lo certifique de forma voluntaria (Instrucción Técnica de conformidad, III.4).
En España, ENAC acredita para el ENS conforme a la UNE-EN ISO/IEC 17065:2012 (Instrucción Técnica, VI.1) y para la ISO 27001 conforme a la ISO/IEC 17021-1 y la 27006-1 (ENAC). Una acreditación no implica la otra: para una auditoría integrada, comprueba las dos en la lista del CCN y en el buscador de ENAC.
Quien te ayuda a implantar no puede auditarte: lo prohíbe la ISO/IEC 17021-1 (European Accreditation), y el Real Decreto 311/2022 define la auditoría de la seguridad como un proceso «sistemático, independiente y documentado».
¿Cuánto cuesta el ENS y cuánto la ISO 27001?
El coste del ENS depende sobre todo de la categoría, y el de la ISO 27001, de las personas que entran en el alcance. Son rangos de mercado a octubre de 2026; no son precios de Briblo:
- ISO 27001 con consultora, primer año: 6.000–13.000 € con 5 personas y 18.000–33.000 € con 30, consultoría y certificadora, sin IVA. El desglose está en cuánto cuesta la ISO 27001 en España en 2026.
- ENS, primer año, para pymes de 10 a 200 empleados según Novaciber (2026): 4.000–10.000 € en BÁSICA, 12.000–30.000 € en MEDIA y 35.000–110.000 € o más en ALTA. Las partidas y los plazos están en cuánto cuesta y cuánto se tarda el ENS.
- Con la ISO 27001 ya implantada, la adecuación al ENS cuesta «aproximadamente un 20-30 %» menos, según Novaciber (2026).
Preguntas frecuentes
¿El ENS vale fuera de España?
No como requisito: el ENS es una norma legal española que se aplica al sector público español y a sus proveedores (artículo 2 del Real Decreto 311/2022). Fuera de España, la referencia es la ISO/IEC 27001, cuyos certificados acreditados se reconocen a través de los acuerdos de IAF.
¿Puedo presentar la ISO 27001 en lugar del ENS en una licitación?
No, si el pliego pide la conformidad con el ENS. El artículo 2.3 del Real Decreto 311/2022 obliga a los pliegos a incluir los requisitos para asegurar esa conformidad, como la Declaración o la Certificación de Conformidad, y un certificado ISO 27001 no la sustituye.
¿Cuántos controles tiene cada uno?
93 controles en el anexo A de la ISO/IEC 27001:2022 y 73 medidas en el anexo II del Real Decreto 311/2022 (4 organizativas, 33 operacionales y 36 de protección, según nuestro recuento). La cifra de 114 controles que aún circula es de la versión de 2013 de la ISO 27001.
¿Cada cuánto se audita cada uno?
El ENS, al menos cada dos años; la ISO 27001, cada año (auditoría de seguimiento) dentro de un ciclo de tres años con recertificación. En el ENS de categoría BÁSICA, lo que se repite cada dos años es la autoevaluación (artículo 31 del Real Decreto 311/2022 e Instrucción Técnica, apartado III.2).
¿Qué es la guía CCN-STIC 825?
Es la guía del Centro Criptológico Nacional (CCN) que explica cómo aprovechar la ISO 27001 para el ENS y también «a la inversa». Su anexo de julio de 2023 mapea la ISO/IEC 27001:2022 con el Real Decreto 311/2022, y advierte de que esa correspondencia «no debe ser interpretada como una relación aritmética de equivalencia».
¿Cómo sé si un proveedor tiene el ENS o la ISO 27001?
Para el ENS, busca su Certificación de Conformidad en el listado de certificados del CCN; una Declaración de Conformidad de categoría BÁSICA tiene que estar publicada en su web o sede electrónica (artículo 38.2). Para la ISO 27001, pide el certificado, comprueba que es de la versión 2022, que el alcance cubre el servicio y que la certificadora está acreditada, y búscalo en IAF CertSearch.
¿Mi certificado ISO 27001:2013 sigue valiendo?
No. La transición a la ISO/IEC 27001:2022 terminó el 31 de octubre de 2025, y los certificados de la versión 2013 caducaron o se retiraron al acabar ese plazo (IAF MD 26).
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 22 de octubre de 2026.
- BOE. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, texto consolidado (última actualización, 6 de noviembre de 2024): artículos 2, 11, 13, 28, 31, 38 y 40, disposición adicional segunda y anexos I, II, III y IV (glosario).
- BOE. Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad, BOE de 2 de noviembre de 2016: apartados III.1 a III.4 (autoevaluación y auditoría), IV.1 (Declaración de Conformidad) y VI.1 (acreditación conforme a UNE-EN ISO/IEC 17065:2012).
- CCN. Entidades de certificación del ENS: 20 acreditadas por ENAC y 7 en proceso de acreditación, consultada el 20 de octubre de 2026 (el 22 de octubre el portal estaba en mantenimiento).
- CCN. Listado de certificados de conformidad con el ENS, al que se llega desde la página de certificación.
- CCN-CERT. Guía CCN-STIC 825, ENS e ISO 27001 (PDF) y su anexo independiente de mapeo entre la ISO 27001:2022 y el RD 311/2022, julio de 2023 (PDF). Citas verificadas el 20 de octubre de 2026.
- ISO. ISO/IEC 27001:2022, edición 3, publicada el 25 de octubre de 2022, con la enmienda ISO/IEC 27001:2022/Amd 1:2024: cláusulas 4.3, 5.3 y 6.1.3 d) y anexo A, con 93 controles (en inglés).
- ISO. ISO/IEC 27002:2022, guía de los controles de seguridad de la información (en inglés).
- IAF. IAF MD 26, requisitos de transición a ISO/IEC 27001:2022: 36 meses, hasta el 31 de octubre de 2025 (PDF, en inglés).
- IAF. IAF CertSearch, base de datos de certificados acreditados (en inglés).
- ENAC. Certificación de sistemas de gestión: acreditación conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1.
- ENAC. Buscador de entidades acreditadas.
- AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): validez de tres años, seguimientos anuales y renovación.
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de que la certificadora haga consultoría (en inglés).
- Revista AENOR. ISO/IEC 27001 y ENS, binomio perfecto para la ciberseguridad, nº 348, mayo de 2019: certificación integrada de los dos referenciales. Es anterior al Real Decreto 311/2022 y a la ISO/IEC 27001:2022; la citamos solo para la certificación integrada.
- Novaciber. Cuánto cuesta el ENS en 2026: precios reales por nivel: total del primer año por categoría para pymes de 10 a 200 empleados y ahorro con la ISO 27001 implantada.