ISO 27001 frente a ENS: ¿qué marco de ciberseguridad se adapta a tu organización?
Desde hace varios años, la ciberseguridad ha dejado de ser una cuestión exclusivamente técnica para convertirse en un requisito normativo ineludible. Organizaciones públicas y privadas se enfrentan hoy a la necesidad de acreditar que gestionan sus riesgos de seguridad de la información conforme a estándares reconocidos. En este contexto, dos marcos de referencia dominan el panorama en España: la norma internacional ISO/IEC 27001 y el Esquema Nacional de Seguridad (ENS). Aunque ambos persiguen un objetivo común —proteger la información y los sistemas que la tratan—, su ámbito de aplicación, su naturaleza jurídica y su enfoque difieren sustancialmente. Conocer estas diferencias es el primer paso para elegir el marco adecuado.
¿Qué es la norma ISO/IEC 27001?
La ISO/IEC 27001 es una norma internacional, elaborada por la Organización Internacional de Normalización (ISO) junto con la Comisión Electrotécnica Internacional (IEC), que establece los requisitos para implantar, mantener y mejorar de forma continua un Sistema de Gestión de Seguridad de la Información (SGSI). Su última revisión, publicada en 2022, mantiene la estructura de alto nivel común a otras normas de sistemas de gestión (como ISO 9001 o ISO 14001), lo que facilita su integración con otros marcos ya implantados en la organización.
La norma se articula en torno a un ciclo de mejora continua (PDCA: Planificar-Hacer-Verificar-Actuar) y se apoya en un anexo que recoge un catálogo de controles de seguridad —93 en esta versión de 2022— organizados en cuatro dominios: organizativos, de personas, físicos y tecnológicos. Su certificación es voluntaria y de carácter privado, otorgada por entidades de certificación acreditadas, y es reconocida a nivel mundial.
¿Qué es el Esquema Nacional de Seguridad (ENS)?
El Esquema Nacional de Seguridad, regulado actualmente por el Real Decreto 311/2022, es una norma de derecho público español que establece los principios básicos y requisitos mínimos que deben cumplir las Administraciones Públicas —y las entidades que prestan servicios a estas— para garantizar la seguridad de la información que manejan en el ejercicio de sus competencias.
A diferencia de la ISO 27001, el ENS no es una norma de adhesión voluntaria para su ámbito de aplicación: constituye una obligación legal. Su cumplimiento se articula a través de una categorización de los sistemas de información (BÁSICA, MEDIA o ALTA), en función del impacto que tendría una incidencia de seguridad sobre la confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad de la información. En función de dicha categoría, se exige la implantación de un conjunto de medidas de seguridad recogidas en su Anexo II, así como la superación de una auditoría de conformidad —bienal para las categorías MEDIA y ALTA— que da lugar a una certificación de conformidad con el ENS.
Un elemento clave: ¿a quién obliga cada norma?
Aquí es donde ambas normativas trazan una línea divisoria fundamental.
El ENS es de aplicación obligatoria para el sector público: Administración General del Estado, comunidades autónomas, entidades locales, universidades públicas y, en general, todo el sector público institucional. Pero su alcance no se detiene ahí: también resulta exigible a las empresas privadas que prestan servicios a las Administraciones Públicas cuando dichos servicios impliquen el tratamiento, almacenamiento o transmisión de información, o la prestación de servicios a través de medios electrónicos por cuenta de dichas Administraciones. En la práctica, esto afecta a un amplio ecosistema de proveedores tecnológicos, consultoras y empresas de servicios que trabajan con clientes públicos.
La ISO 27001, en cambio, no impone ninguna obligación legal de aplicación. Es una norma de adopción voluntaria a la que puede acogerse cualquier organización, pública o privada, con independencia de su sector de actividad, que desee demostrar a clientes, socios y otras partes interesadas su compromiso con la seguridad de la información. No existe, por tanto, un mandato normativo que obligue a las empresas privadas —salvo aquellas que operen en el ámbito público antes descrito— a certificarse en ISO 27001.
De una forma más coloquial, podríamos resumir las diferencias así:
- Origen y naturaleza: el ENS es una norma jurídica española (Real Decreto), de obligado cumplimiento en su ámbito; la ISO 27001 es un estándar internacional de adopción voluntaria.
- A quién obliga: el ENS afecta al sector público y a quienes le prestan servicios; la ISO 27001 puede adoptarla cualquier organización que lo desee, sea cual sea su sector.
- Enfoque: el ENS se centra en una categorización del sistema (BÁSICA, MEDIA, ALTA) y en un catálogo cerrado de medidas asociadas a dicha categoría; la ISO 27001 se basa en un enfoque de gestión de riesgos más flexible, donde es la propia organización quien determina, mediante un análisis de riesgos, qué controles del Anexo A le resultan aplicables.
- Reconocimiento: el ENS tiene validez y reconocimiento dentro del marco jurídico español; la ISO 27001 goza de reconocimiento internacional, lo que resulta especialmente relevante para organizaciones con proyección o clientes fuera de España.
- Compatibilidad: lejos de ser excluyentes, ambos marcos comparten una base metodológica común (gestión de riesgos, mejora continua, controles técnicos y organizativos) que permite a muchas organizaciones implantar un sistema de gestión integrado que dé respuesta simultánea a ambos requisitos.
Entonces, ¿cuál elegir?
La respuesta depende, en gran medida, de la naturaleza de la organización y de sus relaciones contractuales. Si la empresa presta servicios a la Administración Pública, probablemente la certificación en el ENS no sea una opción, sino un requisito contractual ineludible. Si, por el contrario, opera en el sector privado y busca reforzar su posicionamiento competitivo, generar confianza ante clientes y socios, o dar respuesta a exigencias de terceros (bancos, aseguradoras, grandes clientes), la ISO 27001 puede ser la vía más adecuada.
¿Tiene definida tu organización un marco de cumplimiento normativo en materia de ciberseguridad? Desde Prodat ofrecemos un servicio de consultoría especializada en certificación para las normas ISO 27001 y ENS, adaptado a las particularidades de cada organización y de cada sector.
Autor:
Antonio A. Amo Bogallo
Data Protection Compliance Consultant
Iso 27001:2002 Lead Auditor
