Consultoría ISO 27001 y ENS para empresas que licitan con la Administración
Del diagnóstico al certificado ante entidad acreditada por ENAC, sin montar un equipo de seguridad interno. Un solo sistema que cubre ISO 27001, ENS y el camino hacia NIS2.
Sin compromiso
Diagnóstico y análisis de riesgos
Alcance del SGSI o categoría ENS (Básica, Media, Alta) según RD 311/2022
Documentación 100% personalizada
Política, controles del Anexo A / medidas del Anexo II, formación del equipo
Auditoría interna con criterios CCN-STIC
Simulación completa y corrección de no conformidades antes del auditor
Acompañamiento en la auditoría externa
OCA Global, AENOR, Bureau Veritas, Applus+, TÜV Rheinland, SGS
implantando sistemas de gestión
empresas certificadas en toda España
aprobación en auditorías ENAC
sanciones ni requerimientos negativos
Aplazar la certificación significa quedarte fuera de los pliegos que ya la exigen
Cuando llega el pliego que pide ISO 27001 o ENS, ya es tarde para empezar de cero. Lo que parece ahorrar tiempo o coste se traduce en contratos perdidos, due diligences complicadas y clientes que no admiten proveedores sin sistema certificado.
Norma internacional
Si gestionas datos sensibles o tus clientes corporativos te auditan
Sistema de Gestión de Seguridad de la Información (SGSI) que protege toda la información de la empresa. Te elimina de los cuestionarios de seguridad de tus clientes, acelera homologaciones y ciclos de venta, y facilita el cumplimiento del RGPD.
- Software, SaaS, fintech, legaltech, consultoras TIC
- Proveedores de grandes corporaciones
- Empresas en ronda de inversión o due diligence
RD 311/2022 · obligatorio
Si prestas servicios TIC o tratas información del sector público
Requisito legal para toda empresa privada que preste servicios tecnológicos a la Administración. Los pliegos lo incluyen como criterio de admisión o de puntuación. Las categorías Media y Alta requieren certificación por entidad acreditada.
- Integradores, software, cloud y hosting
- Operadores de comunicaciones y consultoras
- Ayuntamientos y organismos públicos
¿Las dos? Comparten estructura. Con ISO 27001 implantada tienes recorrido más del 70% del camino hacia el ENS: reutilizamos hasta el 60% del trabajo y hacemos una implantación integrada.
Tres momentos, un mismo equipo interno. Sin subcontratas.
No entregamos papeles. Entregamos un sistema que funciona y que supera la auditoría a la primera.
Diagnóstico gratuito
Analizamos tu situación de partida, definimos el alcance del SGSI o la categoría ENS aplicable, y te damos un plan de trabajo claro. Si estás en una licitación en curso, te ayudamos a justificar el proceso ante el órgano contratante.
Implantación y certificación
Consultor senior asignado, documentación personalizada, formación del equipo, auditoría interna con criterios CCN-STIC y acompañamiento presencial en la auditoría de certificación. Pagos por hitos con entregables verificables.
Mantenimiento y evolución
Te ayudamos a mantener el sistema vivo tras la certificación y a ampliarlo hacia NIS2, DORA o ISO 27701 cuando lo necesites.
Ocho fases, cada una con su entregable
Diagnóstico y planificación
Alcance, categoría ENS, análisis de riesgos, calendario por hitos.
Diseño del sistema
Política de seguridad, roles, declaración de aplicabilidad (SOA).
Desarrollo documental
Procedimientos y controles del Anexo A / medidas del Anexo II adaptados a tu operativa.
Implantación real
Controles técnicos y organizativos operativos, no solo documentados.
Formación del equipo
Sensibilización en ciberseguridad y responsabilidades del marco.
Auditoría interna incluida
Mismos criterios que la externa. Informe de no conformidades y plan de corrección.
Revisión por la dirección
Acta de revisión y objetivos de seguridad para el siguiente ciclo.
Auditoría externa
Acompañamiento presencial ante la entidad acreditada por ENAC. Certificado.
Metodología orientada a superar la auditoría a la primera
Consultoría con criterio
No adaptamos plantillas. Cada control documentado responde a un riesgo real de tu infraestructura, no a un check de auditoría.
Experiencia en auditoría
Conocemos cómo evalúan OCA Global, AENOR, Bureau Veritas, Applus+, TÜV Rheinland y SGS. Preparamos tu empresa con el nivel de exigencia que se va a medir realmente.
Dirección técnica con formación oficial del CCN
Equipo interno especializado, sin subcontratas. Consultor senior, técnico de implantación y responsable de proyecto en cada caso.
Si más adelante necesitas NIS2, DORA o ISO 27701
El sistema que montamos hoy es la base. Ampliamos alcance en vez de empezar de cero.
Lo que más nos preguntan
¿Qué diferencia hay entre ISO 27001 y ENS, y cuál necesito?
ISO 27001 es una norma internacional voluntaria que certifica tu Sistema de Gestión de Seguridad de la Información; la piden clientes corporativos y due diligences. El ENS es un requisito legal (RD 311/2022) para quien presta servicios TIC o trata información de la Administración Pública. Si licitas con el sector público necesitas ENS; si tus clientes son privados y te auditan, ISO 27001. Muchas empresas TIC acaban necesitando las dos, y comparten estructura.
¿Qué categoría de ENS necesito: Básica, Media o Alta?
Depende del análisis de riesgos del Anexo I del RD 311/2022 y de la criticidad de la información que tratas. La mayoría de empresas TIC se certifica en Categoría Media (~75 medidas). Los sistemas críticos requieren Alta (~98 medidas). Las categorías Media y Alta exigen certificación por entidad acreditada por ENAC; la Básica admite declaración de conformidad. Lo determinamos en el diagnóstico.
¿De qué depende el alcance del proyecto?
Del tamaño de la empresa, la madurez de tus procesos y, en ENS, la categoría aplicable. Lo definimos en el diagnóstico gratuito. La auditoría de la entidad certificadora se contrata aparte.
Si ya tengo ISO 27001, ¿cumplo el ENS?
No automáticamente, pero tienes recorrido más del 70% del camino. Reutilizamos hasta el 60% del trabajo: política, análisis de riesgos, controles ya implantados. Falta mapear al Anexo II del RD 311/2022 y cumplir las medidas específicas del ENS. Hacemos implantaciones integradas para que obtengas ambos con una sola auditoría interna.
¿Tengo que hacer una inversión grande en software de seguridad?
No necesariamente. Ambos marcos se centran primero en gestión y procesos: quién accede a qué, gestión de contraseñas, copias de seguridad, respuesta a incidentes. Muchas veces se cumple optimizando las herramientas que ya tienes y formando al equipo. Te ayudamos a priorizar inversión solo donde hay un riesgo crítico.
¿Quién certifica y qué garantizáis?
No certificamos nosotros: lo hace una entidad acreditada por ENAC (OCA Global, AENOR, Bureau Veritas, Applus+, TÜV Rheinland, SGS u otras). Lo que garantizamos es la metodología: 100% de aprobación en auditorías ENAC con los clientes que han seguido nuestro proceso, incluida la preparación completa y el acompañamiento en la auditoría.
Estoy en una licitación en curso, ¿me sirve empezar ahora?
Sí. Documentamos el proceso de implantación en marcha para que puedas justificarlo ante el órgano contratante cuando el pliego lo admite, y priorizamos las fases que más peso tienen en la valoración. Indícalo en el diagnóstico.
¿Un pliego o un cliente te pide ISO 27001 o ENS?
Analizamos tu situación actual, identificamos la norma y la categoría aplicable, y te proponemos un plan de trabajo. Misma metodología con la que llevamos más de 200 empresas certificadas.
Sin compromiso
Si prefieres agenda directa: reserva una llamada