Empieza por el contrato, no por el marco. Los tres sirven para demostrar a un tercero que tu seguridad funciona, pero los piden compradores distintos y producen documentos distintos. ISO 27001 certifica que operas un sistema de gestión de la seguridad de la información. El Esquema Nacional de Seguridad (ENS) es la norma obligatoria para el sector público español y para quienes le prestan servicios. SOC 2 es un informe de auditoría del mercado estadounidense. Construir los controles una vez y reutilizarlos para varios marcos es posible y recomendable; elegir primero el que no te pide nadie es el error caro.
ISO/IEC 27001: el estándar internacional
ISO 27001 certifica un sistema de gestión: que identificas tus riesgos, eliges controles para tratarlos, los aplicas, mides si funcionan y mejoras. La versión vigente es la de 2022 (con su Enmienda 1 de 2024), con 93 controles en su anexo A agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos. El periodo de transición desde la versión de 2013 terminó el 31 de octubre de 2025, así que un certificado válido hoy debe estar en la versión 2022.
La certificación la emite un organismo acreditado (en España, por ENAC) tras una auditoría en dos fases, y dura tres años con auditorías de seguimiento anuales. Es lo que piden la mayoría de los departamentos de compras europeos y lo que mejor viaja entre países. Su punto débil es el alcance: un certificado puede cubrir solo una parte de la empresa, así que un comprador serio leerá la declaración de alcance, no solo el sello.
Esquema Nacional de Seguridad: obligatorio para el sector público español
El ENS, regulado por el Real Decreto 311/2022, se aplica a todo el sector público español y a las entidades privadas que le prestan servicios o le suministran soluciones. Si vendes a una administración, una universidad pública o un hospital público en España y el servicio implica sistemas de información tuyos, el pliego normalmente exigirá conformidad con el ENS e indicará la categoría y si basta la Declaración o hace falta la Certificación de Conformidad. Los sistemas se clasifican en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente sobre la disponibilidad, la integridad, la confidencialidad, la autenticidad y la trazabilidad. Para la categoría BÁSICA basta una autoevaluación y una Declaración de Conformidad. En MEDIA y ALTA la conformidad se acredita con una Certificación de Conformidad emitida por una entidad de certificación acreditada por ENAC, válida dos años; además, el sistema debe pasar una auditoría de seguridad ordinaria al menos cada dos años.
El ENS tiene más detalle prescriptivo que ISO 27001: sus medidas se organizan en marco organizativo, marco operacional y medidas de protección, con refuerzos según la categoría, y el Centro Criptológico Nacional (CCN) publica guías de aplicación de la serie CCN-STIC. Quien ya tiene ISO 27001 aprovecha gran parte del trabajo, porque el CCN publica también correspondencias entre ambos marcos, pero el ENS exige medidas concretas que ISO deja a tu elección.
SOC 2: cuando el comprador es estadounidense
SOC 2 no es una certificación sino un informe de aseguramiento que solo puede emitir una firma de contadores públicos (CPA) estadounidense habilitada, conforme a los Trust Services Criteria del AICPA. El Tipo I valora el diseño de los controles en una fecha; el Tipo II comprueba que han funcionado durante un periodo de observación, normalmente de varios meses a un año. Es habitual en el software como servicio de Estados Unidos y es lo que pedirá un cliente estadounidense. Un comprador europeo lo acepta a veces como evidencia complementaria, pero rara vez lo exige.
Cómo saber cuál te piden
La respuesta suele estar escrita. Un pliego público español que menciona la categoría del sistema o la conformidad con el ENS pide ENS, sin sustituto posible. Un departamento de compras que pide «certificado» y «declaración de aplicabilidad» quiere ISO 27001. Un cliente que pide «el último informe» y habla de «periodo de observación» quiere SOC 2. Si el requisito es ambiguo, pregúntalo por escrito: cuesta un correo y puede ahorrarte un año de trabajo en el marco equivocado.
En qué orden abordarlos
Si vendes a empresas europeas, ISO 27001 primero: es el que más puertas abre y la base sobre la que se construyen los demás. Si tu mercado incluye el sector público español, añade el ENS en la categoría que corresponda a tus sistemas, aprovechando los controles ya implantados. SOC 2 solo cuando tengas clientes estadounidenses concretos que lo pidan. Y si tu empresa queda dentro de NIS2, que se aplica a través de la ley nacional de transposición de cada país, cualquiera de los dos primeros marcos cubre buena parte de las medidas de gestión de riesgos, aunque no equivale a conformidad: quedan fuera obligaciones como la notificación de incidentes o las responsabilidades de la dirección.
En todos los casos, lo que alarga los plazos no son los controles técnicos, sino la evidencia: registros que demuestren que las revisiones se hacen, que los accesos se revocan, que las copias se prueban. Automatizar la recogida de esa evidencia es de las inversiones más rentables en un programa de cumplimiento.
Preguntas que nos hacen sobre esto
Sí, cuando prestan servicios o suministran soluciones al sector público español dentro del alcance del Real Decreto 311/2022. Para el resto de empresas es voluntario.
ISO 27001 es un estándar internacional voluntario que certifica un sistema de gestión y deja a tu elección los controles según tus riesgos. El ENS es una norma española obligatoria para el sector público y sus proveedores, con medidas más prescriptivas que dependen de la categoría del sistema. Gran parte del trabajo es reutilizable entre ambos.
Rara vez. Los compradores europeos piden sobre todo ISO 27001 y, en el sector público español, el ENS. SOC 2 tiene sentido cuando tienes clientes estadounidenses que lo exigen.
Tres años, con auditorías de seguimiento anuales y una auditoría de renovación al final del ciclo.
En las categorías MEDIA y ALTA, la Certificación de Conformidad es válida dos años y el sistema debe pasar una auditoría de seguridad al menos cada dos años. En la categoría BÁSICA basta una autoevaluación con Declaración de Conformidad.
No. El periodo de transición a la versión 2022 terminó el 31 de octubre de 2025, así que los certificados en la versión de 2013 ya no son válidos.
Tráenos el proceso por el que leías esto
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.