La respuesta corta: no. Un certificado ISO/IEC 27001 no acredita conformidad con el ENS, y un pliego que exige ENS no se satisface con ISO — la conformidad con el Esquema Nacional de Seguridad se demuestra como dice el RD 311/2022: con la certificación (o declaración, en categoría BÁSICA) del sistema concreto, en su categoría. La buena noticia: si tu ISO 27001 está bien implantada, una parte sustancial del camino ya está hecha — riesgo, políticas, incidentes, continuidad, evidencias — y el proyecto ENS pasa de «construir» a «completar y acreditar».
Dos marcos que se parecen… hasta que llega el pliego
ISO 27001 es un estándar internacional voluntario: define cómo montar y certificar un sistema de gestión de seguridad de la información (SGSI), con un alcance que tú eliges. El ENS es derecho español: el RD 311/2022 obliga al sector público y alcanza a los proveedores privados en el ámbito de los servicios que prestan a la Administración. Se parecen en el fondo (gestionar el riesgo con controles y evidencias) y se diferencian en casi todo lo demás: quién obliga, sobre qué recae y cómo se demuestra.
| ISO/IEC 27001 | ENS (RD 311/2022) | |
|---|---|---|
| Naturaleza | Estándar internacional voluntario | Norma jurídica española (real decreto) |
| Obligatoriedad | Contractual o comercial | Obligatorio para el sector público y sus proveedores, en el ámbito del servicio |
| Objeto | El sistema de gestión (SGSI) con el alcance que definas | Los sistemas de información concretos, categorizados BÁSICA / MEDIA / ALTA |
| Controles | Anexo A como referencia; la declaración de aplicabilidad es flexible | Anexo II obligatorio según categoría, con refuerzos; exclusiones solo justificadas |
| Cómo se demuestra | Certificado del SGSI por entidad de certificación | Certificación de conformidad en MEDIA y ALTA; en BÁSICA cabe la autoevaluación con declaración |
| Dónde vale | Reconocimiento internacional | Lo que piden los pliegos y convenios de la Administración española |
Las tres razones por las que ISO no sustituye al ENS
- La acreditación es otra. La mesa de contratación no interpreta equivalencias: si el pliego exige conformidad ENS, se acredita con el certificado o la declaración de conformidad ENS del sistema que presta el servicio, en su categoría. El certificado ISO, por bueno que sea, responde a otra pregunta.
- El catálogo es otro. El Anexo II fija medidas concretas que la ISO no impone como tales: la categorización por dimensiones del Anexo I, los refuerzos por categoría, medidas específicas (de op.pl.5 —componentes certificados en ALTA— a la vigilancia de op.mon), el uso de las guías CCN-STIC o la relación con el CCN-CERT en la gestión de incidentes. Nuestro Atlas de medidas las explica una a una.
- El alcance es otro. Un SGSI puede excluir de su alcance justo los sistemas que el ENS obliga a incluir: los que soportan el servicio contratado por la Administración. «Tenemos la ISO» y «el sistema del contrato está dentro de la ISO» son afirmaciones distintas — y la segunda es la que importa.
Lo que sí se aprovecha (y es mucho)
Con una ISO 27001 real —no de estantería— llegas al ENS con ventaja en casi todos los frentes:
- Análisis y tratamiento de riesgos ya rodado (base de op.pl.1).
- Política y normativa de seguridad aprobadas (org.1 y org.2 casi listas).
- Gestión de incidentes, continuidad, control de accesos, proveedores: procesos existentes que el ENS pide con matices propios, no desde cero.
- Cultura de evidencias y auditoría: la mitad invisible de cualquier certificación, ya interiorizada por el equipo.
El método sensato es un mapeo controles ISO ↔ medidas del Anexo II: qué cubre ya tu SGSI total o parcialmente, y qué huecos quedan. Los huecos típicos se repiten: la categorización formal del Anexo I, la Declaración de Aplicabilidad al modo ENS, los refuerzos de tu categoría y la parte «española» (guías CCN-STIC, notificación de incidentes, INES).
La estrategia en cuatro pasos
- Delimita el alcance ENS: qué sistemas soportan el servicio a la Administración. Ni uno más — cada pieza extra puede subir la categoría y el coste.
- Categoriza formalmente (Anexo I, guía CCN-STIC 803) y confirma qué te exige el pliego.
- Mapea y completa: controles ISO existentes contra el Anexo II; trabaja solo los huecos y genera las evidencias con nombre ENS.
- Acredita según categoría: declaración de conformidad en BÁSICA; certificación con entidad acreditada en MEDIA y ALTA. E intégralo en tu ciclo de mejora: un solo sistema de gestión, dos salidas.
Los errores que vemos repetirse
- Asumir la equivalencia y descubrir la diferencia con el pliego ya publicado y los plazos corriendo.
- Montar dos sistemas de gestión paralelos — el doble de reuniones, auditorías y documentos para el mismo equipo. Se integra, no se duplica.
- Dar por bueno el alcance ISO sin comprobar que el sistema del contrato está dentro y en la categoría correcta.
¿Tienes ISO 27001 y te piden ENS? Es exactamente la intersección en la que trabajamos: mapeo ISO ↔ Anexo II, huecos concretos y plan hasta la conformidad. Empieza por saber tu categoría orientativa en 3 minutos.
Comprobar qué ENS necesitoFuentes: RD 311/2022 (BOE): ámbito, Anexo I y Anexo II · ISO/IEC 27001 (iso.org) · Serie CCN-STIC 800, en el portal CCN-CERT.