75 medidas en 3 grupos: organizativas, operacionales, de protección
93 controles en 4 temas: organizativos, personas, físicos, tecnológicos
Categorización
Sistemas clasificados en Básico, Medio o Alto
Sin categorización — aplica igual a todos
Inspiración
Inspirado en la familia ISO 27000
Estándar original de referencia
Guía de integración oficial
CCN-STIC-825 — establece aspectos comunes y diferenciadores para certificación integrada de ambos referenciales
Marco nacional · Sistema de gestión internacional
ENS categoriza y exige medidas; ISO 27001 estructura un sistema de gestión
La comparación es una herramienta de decisión. El solapamiento ayuda a reutilizar controles; las diferencias determinan qué debes gobernar y demostrar.
ENS
El esquema de seguridad de la Administración española
El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022. Es de aplicación obligatoria a todas las Administraciones Públicas españolas — AGE, CCAA, Entidades Locales — y a las organizaciones privadas que les prestan servicios o soluciones tecnológicas.
Tiene 6 principios básicos, 15 requisitos mínimos y 75 medidas de seguridad agrupadas en tres bloques: organizativas, operacionales y de protección. La diferencia más importante respecto a ISO 27001 es su sistema de categorización: cada sistema de información se clasifica en nivel Básico, Medio o Alto, y las medidas exigibles varían según esa clasificación.
Añade dos dimensiones de seguridad que ISO 27001 no contempla expresamente: autenticidad (verificar la identidad de usuarios y sistemas) y trazabilidad (registro de todas las acciones para auditoría). Para la Administración Pública española, estas dos dimensiones son tan importantes como la tríada clásica CIA.
La serie CCN-STIC 800 del Centro Criptológico Nacional ofrece más de 50 guías de implantación. Son de referencia obligada para cualquier proyecto ENS.
ISO 27001
El estándar internacional de seguridad de la información
Sistema de gestión de seguridad de la información reconocido en todo el mundo. Voluntario, certificable, agnóstico al sector y al país. Su Anexo A tiene 93 controles. Su enfoque es la gestión continua del riesgo — no el cumplimiento de un catálogo fijo de medidas.
El ENS está inspirado en la familia ISO 27000. Comparten estructura PDCA, gestión de riesgos y ciclo de mejora continua. Esto hace que la integración sea natural y que organizaciones con ISO 27001 ya tengan una base sólida para afrontar el ENS.
Si el ENS es el estándar que te obliga en España, ISO 27001 es el estándar que te posiciona fuera de España.
El detalle que más importa
Los niveles ENS y qué exige cada uno
ISO 27001 aplica igual a todos. ENS no — las medidas exigibles dependen del nivel de categorización del sistema. Este es el aspecto que más diferencia a ambos referenciales en la práctica.
Nivel ENS
Cuándo aplica
Implicaciones prácticas
Básico
Sistemas cuyo perjuicio sería limitado para la organización o ciudadanos
Subconjunto reducido de medidas. Declaración de conformidad suficiente sin auditoría externa obligatoria
Medio
Sistemas cuyo perjuicio sería grave — daño significativo a la organización o ciudadanos
Medidas completas en la mayoría de bloques. Auditoría de conformidad por entidad acreditada requerida
Alto
Sistemas cuyo perjuicio sería muy grave — impacto severo o irreversible
Todas las medidas aplicables. Auditoría externa obligatoria. Mayor nivel de exigencia documental y técnica
Dimensiones de seguridad
Donde ENS va más lejos que ISO 27001
Dimensión
ISO 27001
ENS
Confidencialidad
✓ Núcleo del estándar
✓ Núcleo del esquema
Integridad
✓ Núcleo del estándar
✓ Núcleo del esquema
Disponibilidad
✓ Núcleo del estándar
✓ Núcleo del esquema
Autenticidad
Implícita en controles de acceso e identidad
✓ Dimensión explícita y medible
Trazabilidad
Implícita en controles de logging y monitorización
✓ Dimensión explícita — registro obligatorio de todas las acciones para auditoría
Lo que comparten
Por qué se integran bien
El ENS está inspirado en la familia ISO 27000 y comparte con ISO 27001 el modelo de ciclo PDCA, la gestión de riesgos y la mejora continua. La Guía CCN-STIC-825 establece los aspectos comunes y diferenciadores, permitiendo una certificación integrada de ambos dentro del mismo alcance.
Una organización con ISO 27001 bien implantada tiene una base sólida para abordar el ENS. Los controles de gestión de riesgos, gestión de activos, continuidad, incidentes y proveedores se mapean directamente. El trabajo adicional se concentra en las dimensiones de autenticidad y trazabilidad, en la categorización del sistema y en las medidas específicas de cada nivel.
Área
ISO 27001
ENS
Gestión de riesgos
✓ Cláusulas 6.1.2 y 6.1.3
✓ Principio básico y requisito mínimo
Política de seguridad
✓ Cláusula 5.2
✓ Medida organizativa org.1
Gestión de incidentes
✓ A.5.24–A.5.28
✓ Medida operacional op.exp.7
Control de acceso
✓ A.5.15–A.5.18
✓ Medidas mp.acc (protección)
Continuidad
✓ A.5.29–A.5.30
✓ Medida operacional op.cont
Auditoría interna
✓ Cláusula 9.2
✓ Requisito mínimo 15 — auditoría de seguridad
¿Cuándo usar cada uno?
La decisión en una tabla
Situación
ENS
ISO 27001
Eres Administración Pública española
✓ Obligatorio. Sin excepción.
Complementario y recomendable
Eres proveedor TIC del sector público
✓ Obligatorio para los sistemas que gestionas
✓ Base sólida para afrontar el ENS
Operas solo en el mercado privado español
No obligatorio
✓ Referencia más reconocida
Tienes clientes internacionales
No reconocido fuera de España
✓ Reconocimiento global
Quieres certificar ambos a la vez
✓ Posible mediante certificación integrada (CCN-STIC-825). Más eficiente que secuencial.
Solo presupuesto para uno
Si trabajas con AAPP: ENS primero, sin discusión
Si no trabajas con AAPP: ISO 27001
El error más frecuente
ISO 27001 no sustituye al ENS en licitaciones públicas
Muchos proveedores presentan su certificado ISO 27001 a una licitación del sector público creyendo que cubre los requisitos ENS. No los cubre. Son referenciales distintos. ISO 27001 demuestra madurez en gestión de la seguridad de la información. El ENS demuestra cumplimiento con los requisitos específicos de la Administración española.
Un pliego que exige conformidad ENS nivel Medio no se satisface con ISO 27001. Punto.
El error inverso también existe: organizaciones que implantan el ENS para cumplir el requisito legal pero no aprovechan la oportunidad de integrar ISO 27001 y ganar reconocimiento internacional con el mismo esfuerzo documental.
Si ya tienes uno, el camino hacia el otro es más corto de lo que parece. La Guía CCN-STIC-825 existe precisamente para eso.
Cómo decidir
El cliente, el servicio y el alcance jurídico cambian la respuesta
El ENS está regulado por el Real Decreto 311/2022 y establece principios básicos, requisitos mínimos y medidas de seguridad para los sistemas comprendidos en su ámbito. Su lógica de categorización —BÁSICA, MEDIA o ALTA— parte del impacto sobre dimensiones de seguridad y condiciona el conjunto de medidas aplicables.
ISO 27001 plantea un sistema de gestión de seguridad de la información basado en riesgo. La organización define el alcance del SGSI, evalúa riesgos, determina tratamientos y mantiene una Declaración de Aplicabilidad. Hay mucho solapamiento práctico, pero la forma de determinar qué debe implantarse y cómo se acredita no es idéntica.
En un proveedor que trabaja con el sector público, empezaría por aclarar el alcance contractual y ENS. Después decidiría cómo aprovechar ISO 27001 para ordenar el sistema de gestión, no al revés.
Ref.
Qué revisaría
Qué necesito demostrar
DEC-01
Ámbito ENS
Servicios, sistemas y relaciones contractuales que sitúan al proveedor dentro de alcance.
DEC-02
Categoría
Valoración de dimensiones y categoría del sistema.
DEC-03
Medidas
Perfil de cumplimiento y medidas del Anexo II aplicables.
DEC-04
SGSI
Alcance, riesgos, SoA y procesos ISO 27001 reutilizables.
DEC-05
Conformidad
Evidencia y proceso de declaración o certificación que corresponde.
Mi enfoque
No intentaría “convertir” una certificación ISO en un ENS.
GRCREAL
Utilizaría ISO 27001 como columna vertebral de gestión cuando ya exista: gobierno documental, riesgos, auditoría, revisión y mejora. A continuación haría una lectura ENS sistema por sistema y medida por medida, identificando qué controles están realmente implantados y qué evidencia específica existe.
El punto delicado suele estar en la diferencia entre una política corporativa razonable y la implantación concreta sobre un sistema categorizado. Es ahí donde arquitectura, operación y evidencia técnica importan.
Cuando una organización dice “esto ya lo cubre ISO”, mi siguiente pregunta es: ¿en qué sistema, con qué medida y qué evidencia?
Veredicto GRCREAL
No compiten. Tienen mercados distintos.
ENS e ISO 27001 no son alternativas — tienen audiencias distintas. ENS es obligatorio en España para el sector público y sus proveedores. ISO 27001 es el estándar de referencia global para cualquier organización que quiera demostrar madurez en seguridad.
La pregunta no es cuál es mejor. La pregunta es: ¿a quién le vendes y qué te exige?
Si trabajas con la Administración Pública: ENS es innegociable. ISO 27001 te da el marco para implantarlo bien y te abre el mercado privado e internacional al mismo tiempo.
Si no trabajas con la Administración Pública: ISO 27001. El ENS fuera del sector público español no significa nada para tu cliente.
Y si quieres los dos: la certificación integrada existe, funciona y es más barata que hacerlos por separado.
¿Eres proveedor del sector público y aún no tienes el ENS?
Cada licitación que pierdes por no tener la conformidad ENS tiene un coste real.
Sobre el autor
Miguel Ángel Carriazo · vCISO
vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal