Nos pasa continuamente: alguien pide “la ISO”, pero en realidad lo que necesita es ENS. O al revés.
Y es normal, porque las dos hablan de seguridad, riesgos, controles… y desde fuera parecen “lo mismo”.
Pero no lo son.
La diferencia, en una frase:
- ISO 27001 es un estándar internacional de gestión.
- ENS es un marco normativo español (y cuando aplica, no es opcional).
Vamos a lo importante: las diferencias reales. Las que luego te ahorran meses.
1. Naturaleza: estándar (ISO) vs obligación (ENS)
ISO 27001
ISO/IEC 27001 es el estándar más conocido para implantar un Sistema de Gestión de Seguridad de la Información (SGSI/ISMS) y demostrar que gestionas los riesgos de forma estructurada.
El enfoque es:
“Quiero un sistema de gestión sólido, auditable y reconocible internacionalmente”.
ENS
ENS está regulado por el Real Decreto 311/2022. Es decir: es una norma jurídica.
El enfoque cambia completamente:
“Necesito cumplir con el marco exigido para sector público (y su cadena de suministro/proveedores)”.
2. A quién aplica (y dónde te lo van a pedir)
ISO 27001
ISO 27001 se utiliza en cualquier sector y en cualquier país porque es un estándar internacional.
Es habitual en:
- empresas tecnológicas
- SaaS
- consultoría
- industria
- servicios B2B
ENS
ENS está pensado para Administración Pública y su ecosistema.
En la práctica, muchas empresas privadas lo terminan implantando porque:
- venden a AA.PP.
- quieren entrar en licitaciones
- trabajan para proveedores que sí tienen obligación ENS
Traducido:
Si tu mercado está en España y hay contratación pública por medio, ENS aparece tarde o temprano.
3. Cómo se “aterriza”: ISO por alcance y riesgos / ENS por categorización
Aquí aparece una de las diferencias más claras cuando te pones a implantar de verdad.
ISO 27001
ISO te obliga a:
- definir alcance
- analizar riesgos
- decidir qué controles aplicas
- justificar cómo los aplicas
- evidenciar todo dentro de tu SGSI
Es flexible, pero exige coherencia.
Y exige algo importante:
que el sistema “viva”.
ENS
ENS empieza desde otro sitio:
- categorización del sistema
- análisis de impacto
- niveles de seguridad
Normalmente se trabaja sobre:
- confidencialidad
- integridad
- disponibilidad
- autenticidad
- trazabilidad
Y de ahí sale el nivel aplicable:
- bajo
- medio
- alto
Eso implica medidas mucho más cerradas y evidencias más estructuradas.
4. Controles y evidencias: donde se nota la diferencia real
Aquí es donde mucha gente descubre que no era “solo tener documentos”.
ENS: muy orientado a evidencias y operativa
ENS se apoya muchísimo en:
- guías CCN-STIC
- verificaciones técnicas
- trazabilidad
- registros
- control de configuración
- evidencias operativas
Además, exige:
- análisis de riesgos formal
- Declaración de Aplicabilidad (SoA)
- justificación de controles
- preparación clara para auditoría
El enfoque es muy práctico:
no basta con decir que haces algo; hay que demostrarlo.
ISO 27001: más enfoque de sistema de gestión
ISO también trabaja con controles. No es “solo procedimientos”.
Pero el matiz importante es este:
- ISO se centra en que tengas un sistema de gestión coherente y sostenible
- ENS se centra en que puedas demostrar técnicamente cada medida dentro del marco regulatorio
ISO mira mucho:
- políticas
- mejora continua
- revisiones
- gestión
- gobierno del sistema
ENS baja mucho más al detalle operativo.
5. ¿Se pueden integrar? Sí. Y normalmente es lo inteligente.
La realidad es que ISO 27001 y ENS se solapan muchísimo.
De hecho, muchas organizaciones utilizan:
- una metodología común de riesgos
- una SoA compartida
- controles integrados
- un único sistema documental
Eso evita:
- duplicidades
- dos auditorías “paralelas” internamente
- documentación desconectada
- más carga operativa
En implantaciones mixtas, lo lógico es diseñarlo desde el inicio para ambos marcos.
Entonces… ¿cuál necesitas?
Te conviene ENS si…
- trabajas con Administración Pública
- vas a entrar en licitaciones
- tus clientes lo exigen
- necesitas cumplir RD 311/2022
Te conviene ISO 27001 si…
- trabajas en mercado internacional
- haces B2B privado
- tus clientes piden certificaciones reconocidas globalmente
- quieres profesionalizar tu SGSI
¿Y si puedes integrar ambas?
Mejor.
Más eficiente.
Más simple.
Más defendible en auditoría.
Qué suele funcionar de verdad
Si estás en fase de:
“me lo están pidiendo, pero no sé por dónde empezar”
normalmente lo que funciona es:
- definir alcance real
- revisar si existe obligación ENS
- hacer un gap analysis serio
- evitar documentación “por rellenar”
- diseñar pensando en auditoría desde el principio
Porque el problema no suele ser certificar.
El problema es mantenerlo vivo y que aguante auditoría.
Caso de éxito: implantar ISO 27001 y ENS a la vez
Lo que nadie te cuenta
Cuando se habla de ISO 27001 o ENS, normalmente se plantean como proyectos separados.
Primero uno.
Luego el otro.
Sobre el papel parece lógico.
En la práctica, casi nunca funciona así.
El punto de partida
En este caso, el cliente necesitaba avanzar en dos frentes al mismo tiempo:
- certificar su sistema bajo ISO 27001
- cumplir con ENS nivel medio
Y no como objetivo “a futuro”.
Había presión real:
- clientes que empezaban a exigirlo
- operaciones ya en marcha
- tiempos ajustados
- necesidad de pasar auditorías rápido
La opción fácil era separarlo todo.
La opción correcta fue otra.
La decisión: un único sistema
Aquí es donde suelen empezar los problemas.
Porque ISO 27001 y ENS se parecen…
pero cuando entras dentro, no funcionan igual.
Y si se hace mal:
- duplicas trabajo
- generas dos sistemas paralelos
- acabas con documentación que no conecta
Así que se tomó una decisión clara:
construir un único sistema pensado para cubrir ambos marcos desde el inicio.
Sin duplicidades.
Sin “papel por papel”.
La parte difícil (la que casi nadie cuenta)
La teoría de las normas la conoce mucha gente.
La implementación real es otra historia.
Aquí aparecieron los problemas habituales:
- controles que no encajan exactamente igual
- exigencias de evidencia mucho más duras en ENS
- necesidad de alinear equipos técnicos y legales
- distintos responsables hablando “idiomas diferentes”
- auditorías muy exigentes
Y además:
sin margen real para rehacer cosas.
Cómo se abordó de verdad
1. Un único análisis de riesgos
No se duplicaron metodologías.
Se trabajó con:
- un único mapa de riesgos
- una única lógica de evaluación
- trazabilidad hacia ISO y ENS al mismo tiempo
2. Controles integrados desde el diseño
No existía:
- “esto es para ISO”
- “esto otro es para ENS”
Cada control se diseñó pensando en:
- ambos marcos
- su aplicación real
- y cómo iba a evidenciarse en auditoría
3. Evidencia desde el inicio
Este punto fue clave.
No se construyó pensando solo en cumplir.
Se construyó pensando en demostrar.
Porque si la evidencia falla:
cae todo el sistema.
El momento clave: las auditorías
Llegó la parte crítica:
- auditoría ISO 27001
- auditoría ENS
Prácticamente en paralelo.
Y aquí es donde normalmente aparecen:
- gaps inesperados
- evidencias incompletas
- controles inmaduros
- inconsistencias
En este caso, no ocurrió.
El sistema aguantó.
Los controles eran coherentes.
Las evidencias estaban aterrizadas.
Y todo conectaba entre sí.
Resultado
- superación de ambas auditorías
- sin rehacer estructura
- sin duplicar documentación
- sin sistemas paralelos
Lo importante de verdad
Más allá de conseguir la certificación, lo relevante fue esto:
- no existen dos sistemas
- no existe una “capa ISO”
- no existe una “capa ENS”
Existe uno solo.
Y funciona.
Lo que aprendemos
Hay dos errores que siguen repitiéndose constantemente:
1. Pensar que ISO y ENS son lo mismo
No lo son.
Se parecen.
Comparten muchas bases.
Pero el enfoque cambia mucho.
2. Implantarlos por separado “para ir más seguro”
Y normalmente ocurre lo contrario:
- más tiempo
- más coste
- más complejidad
- más mantenimiento
- más fricción interna
La realidad
ISO 27001 y ENS se pueden implantar juntos.
Pero para hacerlo bien necesitas:
- entender dónde coinciden
- entender dónde no
- diseñar pensando en auditoría desde el minuto uno
- evitar duplicidades desde el principio
Porque aquí no se trata solo de cumplir.
Se trata de que, cuando llegue la auditoría…
el sistema aguante.
