Esta combinación surge constantemente en España. Una empresa obtiene la certificación ISO 27001 porque un cliente corporativo se lo ha pedido, y luego una licitación pública exige conformidad con el ENS. O viceversa. El instinto es llevar a cabo dos proyectos. Ese instinto es costoso e innecesario.
Donde ambos realmente se solapan
Ambos marcos buscan los mismos fundamentos: un alcance definido, una política de seguridad aprobada, una evaluación de riesgos, procedimientos documentados, control de acceso, gestión de proveedores, continuidad de negocio, gestión de incidentes, concienciación del personal y pruebas de que todo ello se lleva a cabo.
En la práctica, una única base documental cubre la mayor parte. Una política de control de acceso puede satisfacer el control correspondiente del Anexo A de la ISO 27001 y la medida correspondiente del ENS , siempre que esté redactada siguiendo el criterio más estricto de ambos y vinculada explícitamente a los dos. Lo mismo se aplica a la seguridad de los proveedores, la planificación de la continuidad, la criptografía, el registro de eventos y la formación del personal.
La clave está en el mapeo. Un único documento vinculado a dos marcos, con trazabilidad desde el requisito hasta el documento y la evidencia, marca la diferencia entre un programa y dos. Si se mantienen en carpetas separadas, el mismo contenido diverge en menos de un año y cada auditoría encuentra una versión distinta.
Lo que el ENS exige y la ISO 27001 no
Tres cosas, y cada una de ellas cambia la forma en que se estructura el programa.
La categorización es lo primero, y no tiene equivalente en la ISO. El ENS requiere que el sistema sea categorizado como básica, media o alta en función del daño que se produciría si se viera comprometido, evaluado en términos de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. La categoría determina entonces qué medidas se aplican y con qué profundidad. Nada en la ISO 27001 funciona de esta manera.
Las medidas se asignan, no se seleccionan. Esta es la diferencia estructural más profunda. El Anexo A de la norma ISO/IEC 27001:2022 enumera 93 controles divididos en cuatro temas: organizativos, de personas, físicos y tecnológicos. Se trata explícitamente de un conjunto de referencia. La organización evalúa el riesgo, selecciona los controles aplicables y justifica las exclusiones en la Declaración de Aplicabilidad. El Anexo II del Real Decreto 311/2022 enumera 73 medidas divididas en tres marcos: organizativo, operacional y de protección. La aplicabilidad se deriva de la categoría del sistema y no del apetito de riesgo de la organización.
La consecuencia práctica: bajo la norma ISO es posible argumentar la exclusión de un control. Bajo el ENS, para una categoría determinada, generalmente no es posible. Los equipos acostumbrados a la norma ISO suelen juzgar esto erróneamente y llegan a una auditoría del ENS esperando justificar una omisión que el esquema no permite.
Las funciones deben estar segregadas. El artículo 11 del RD 311/2022 exige que el Responsable de la Seguridad, quien determina los requisitos de seguridad y aprueba las medidas, sea una persona distinta del Responsable del Sistema, quien lo opera. La norma ISO 27001 espera que las responsabilidades estén definidas, pero no exige esta separación específica. Para una empresa mediana, esta restricción es un obstáculo, ya que el candidato obvio para el puesto de seguridad es el responsable de TI, y el responsable de TI es precisamente a quien el artículo excluye.
Junto a esto, el ENS obliga a notificar al CCN-CERT los incidentes que afecten a los sistemas cubiertos, y el esquema tiene su propio ritmo de auditoría: certificados con una validez de dos años, auditoría ordinaria al menos cada dos años y auditoría extraordinaria ante cambios sustanciales.
Lo que exige la norma ISO 27001 y el ENS no
La norma ISO 27001 es un estándar de sistema de gestión, y sus cláusulas 4 a 10 conllevan obligaciones que no tienen un equivalente directo en el ENS.
Contexto de la organización y partes interesadas. Compromiso de la dirección evidenciado a nivel de gestión. Una metodología de evaluación y tratamiento de riesgos documentada y repetible, conforme a las cláusulas 6.1.2 y 6.1.3. Objetivos de seguridad de la información medibles. Auditoría interna como programa definido bajo la cláusula 9.2. Revisión por la dirección bajo la cláusula 9.3. Mejora continua, gestión de no conformidades y acciones correctivas.
Una empresa que se ha estructurado únicamente para el ENS y luego busca la certificación ISO 27001 suele encontrar que las medidas están en gran medida implementadas, pero que falta la maquinaria del sistema de gestión. La brecha no es técnica. Es la capa de gobernanza que se sitúa por encima de los controles.
Cómo es un programa combinado
En secuencia:
- Defina una única declaración de alcance, o dos que estén deliberadamente alineadas. Si el ENS cubre solo el sistema que presta servicio a un contrato público y la norma ISO cubre toda la empresa, indíquelo explícitamente en lugar de dejar los límites de forma ambigua.
- Categorice primero el sistema ENS. La categoría determina la profundidad de las medidas, lo cual condiciona todo lo demás. Equivocarse en esto tarde resulta costoso en ambos sentidos.
- Realice una única evaluación de riesgos que satisfaga el requisito de metodología de la norma ISO y alimente el análisis del ENS.
- Redacte un único conjunto de documentos, mapeado para ambos. Cada política y procedimiento hace referencia a los controles del Anexo A de la norma ISO y a las medidas del Anexo II del ENS que aborda.
- Elabore dos declaraciones de aplicabilidad a partir de ese mapeo: la Declaración de Aplicabilidad de ISO con sus inclusiones y exclusiones justificadas, y la Declaración de Aplicabilidad del ENS frente a las medidas de la categoría.
- Recopile la evidencia una vez, utilícela dos veces. Un único registro de revisión de acceso puede servir para ambas auditorías si se almacena con la trazabilidad necesaria para demostrar qué requisitos satisface.
- Designar los roles del ENS adecuadamente, respetando la segregación del artículo 11, y registrar los nombramientos formalmente.
Secuenciación de ambas auditorías
Las auditorías permanecen separadas. Diferentes entidades acreditadas, diferentes alcances, diferentes certificados, diferentes ciclos: ISO 27001 con vigilancia anual y recertificación trienal, y el ENS con su ritmo bienal.
El orden de ejecución depende más de la presión comercial que de la metodología. Si el trabajo viene impulsado por una fecha límite de licitación, el ENS tiene prioridad. Si lo impulsa un cliente corporativo, la ISO va primero. En cualquier caso, construya la base documental combinada antes de la primera auditoría, no entre ambas. Adaptar el segundo marco a un conjunto de documentos redactado para el primero es donde reaparece la duplicidad de esfuerzos.
Un único programa de auditoría interna puede cubrir ambos, siempre que evalúe los dos conjuntos de requisitos y los registros indiquen a cuál corresponde cada uno.
Costes si no dispone de una función de seguridad
La mayoría de las empresas que se enfrentan a esta combinación no cuentan con un equipo de seguridad. Dos marcos, dos ciclos de auditoría, un rol de seguridad segregado, una metodología de riesgos, un programa de auditoría interna y obligaciones de monitorización continua recaen sobre alguien que ya tiene otras responsabilidades.
La alternativa realista no es una herramienta, sino una contratación: un responsable de seguridad que pueda asumir el rol de Responsable de la Seguridad, gestionar el SGSI, ejecutar el mapeo y enfrentarse a dos auditores distintos. Ese salario es la cifra que debe comparar, y una función de seguridad externalizada que cubra el mismo terreno resulta más económica y ya cuenta con el personal necesario.
Lo que ningún proveedor puede hacer es emitir ninguno de los certificados. Eso corresponde a las entidades de certificación acreditadas tras las auditorías. Lo que un proveedor sí puede hacer es construir el sistema único que ambas auditorías examinarán y mantenerlo actualizado durante los años intermedios.
La superposición entre ISO 27001 y el ENS es lo suficientemente amplia como para que gestionarlos como dos proyectos independientes suponga un desperdicio de trabajo. No es tan grande como para que un certificado implique el otro. La distinción reside en tres puntos: la categorización, las medidas asignadas y el rol de seguridad segregado.
Mapee su documentación existente frente a ambos marcos.
