ENS vs ISO 27001: qué necesita realmente tu empresa

Dos marcos con un objetivo común

Cuando una organización comienza a plantearse la seguridad de la información de forma estructurada, tarde o temprano aparecen dos siglas en la misma conversación: ENS e ISO 27001. Ambas abordan la protección de sistemas e información, ambas exigen documentación y controles técnicos, y ambas implican procesos de auditoría. Pero ahí acaban las semejanzas superficiales.

Elegir entre uno y otro no es una cuestión de preferencia: en muchos casos la elección ya está hecha por el tipo de organización y las obligaciones legales que la vinculan. En otros, la combinación de ambos es la estrategia más eficiente. Lo que nunca es aceptable es implementar el que toca sin comprender por qué.

El ENS: qué es y para quién es obligatorio

El Esquema Nacional de Seguridad, regulado actualmente por el Real Decreto 311/2022, es un marco de seguridad de obligado cumplimiento para las entidades del sector público español y para los proveedores privados que tratan información o prestan servicios a la Administración Pública. Su base legal está en la Ley 40/2015, de Régimen Jurídico del Sector Público, y en la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos.

El ENS establece principios, requisitos y medidas de seguridad organizados por la categoría del sistema (BÁSICA, MEDIA o ALTA). No es un estándar voluntario: su incumplimiento tiene consecuencias legales y contractuales directas. La Administración General del Estado, comunidades autónomas, entidades locales y sus proveedores tecnológicos están dentro del ámbito de aplicación.

La certificación ENS, cuando se alcanza una categoría MEDIA o ALTA, debe ser expedida por una entidad de certificación acreditada por ENAC. Para la categoría BÁSICA, puede realizarla el propio responsable de seguridad mediante una auditoría interna.

ISO 27001: qué es y por qué tiene valor internacional

ISO/IEC 27001:2022 es el estándar internacional para la implementación de un Sistema de Gestión de Seguridad de la Información (SGSI). Publicado por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC), su adopción es voluntaria: ninguna ley española obliga a certificarse en ISO 27001 por el mero hecho de existir como empresa.

Su valor reside en el reconocimiento internacional y en la demostración objetiva ante clientes y socios de que la organización gestiona la seguridad de forma sistemática. El certificado ISO 27001 es emitido por organismos de certificación acreditados y tiene validez de tres años, con auditorías de seguimiento anuales.

La versión 2022 introdujo cambios relevantes respecto a 2013: reorganizó los controles del Anexo A en cuatro dominios (organizativos, de personas, físicos y tecnológicos) y añadió once controles nuevos relacionados con inteligencia de amenazas, seguridad en cloud y privacidad.

Diferencias clave entre ENS e ISO 27001

Más allá del carácter obligatorio o voluntario, hay diferencias estructurales importantes que condicionan cómo se implementa cada uno:

• Ámbito geográfico: el ENS es específico de España; ISO 27001 es global.
• Prescripción de medidas: el ENS prescribe medidas concretas por categoría (controles del Anexo II muy detallados). ISO 27001 define qué gestionar mediante cláusulas de requisitos, pero deja al SGSI la selección de controles a través del SoA.
• Enfoque: el ENS prioriza la protección de los servicios públicos y la información de los ciudadanos. ISO 27001 pone el foco en la gestión de riesgos como proceso continuo.
• Auditoría: el ENS exige auditores acreditados por ENAC para categorías MEDIA y ALTA. ISO 27001 exige auditores de organismos de certificación acreditados por ENAC o equivalentes internacionales.
• Ciclo de revisión: el ENS requiere auditoría cada dos años. ISO 27001 exige una auditoría de certificación inicial y auditorías de seguimiento anuales, con renovación cada tres años.

Similitudes: la base común

Pese a sus diferencias, ENS e ISO 27001 comparten fundamentos que hacen que su implementación conjunta sea menos costosa de lo que podría parecer:

• Ambos exigen un análisis de riesgos formal como punto de partida para la selección de medidas.
• Ambos requieren una política de seguridad aprobada por la dirección.
• Ambos contemplan controles técnicos similares: gestión de accesos, cifrado, gestión de incidentes, continuidad.
• Ambos exigen documentación de procesos, registros de actividad y evidencias de implementación.
• Ambos incluyen ciclos de mejora continua: revisiones periódicas, auditorías internas y seguimiento de no conformidades.

Tabla comparativa

¿Cuándo necesitas los dos?

Hay perfiles de organización donde la respuesta clara es implementar ambos marcos de forma integrada:

• Empresa pública con actividad internacional: el ENS cubre la obligación legal nacional; ISO 27001 demuestra madurez ante socios y clientes extranjeros.
• Proveedor TI de la Administración con clientes del sector privado: el ENS es condición para los contratos públicos; ISO 27001 es el argumento diferenciador en el sector privado.
• Empresa que aspira a escalar su negocio en licitaciones: muchos pliegos de contratación piden ya certificación en ambos marcos como criterio de solvencia técnica.

La buena noticia es que la implementación conjunta es más eficiente que hacerlos por separado. La política de seguridad, el análisis de riesgos, la gestión de incidentes y los controles técnicos sirven a los dos. El esfuerzo adicional de tener los dos es significativamente menor que duplicar proyectos independientes.

Recomendación según perfil de empresa

• Administración Pública o entidad del sector público: ENS obligatorio. Si tiene relaciones internacionales o quiere demostrar madurez, añadir ISO 27001.
• PYME proveedora de la AAPP: ENS para los sistemas que traten información pública. ISO 27001 si quiere diferenciarse en licitaciones y contratos privados.
• Empresa privada sin relación con la AAPP: ISO 27001 es la referencia. El ENS no aplica de forma directa, aunque sus controles son una guía de buenas prácticas excelente.
• Startup tecnológica con vocación de crecer: ISO 27001 desde el inicio establece una base sólida. Si el modelo de negocio incluye sector público, planificar el ENS desde el diseño del sistema.

Conclusión: complementariedad, no competencia

ENS e ISO 27001 no son rivales. Son instrumentos diseñados para contextos distintos que, en muchas organizaciones españolas, deben convivir. La clave está en identificar correctamente qué obliga cada norma, qué aporta cada certificación y cómo integrar ambas implementaciones para aprovechar los fundamentos comunes. Con la planificación adecuada, una organización puede alcanzar los dos marcos sin duplicar esfuerzos ni costes.