Ciberseguridad para la empresa mediana: ENS + ISO 27001 + SOC 2

Tres frameworks, un solo sistema de seguridad

Una empresa tecnológica española que trabaje con administración pública y clientes internacionales se enfrenta a una realidad incómoda: necesita el ENS para vender al sector público, ISO 27001 porque se la piden los clientes europeos, y SOC 2 porque los americanos no aceptan otra cosa. Tres certificaciones. Tres auditorías. Tres conjuntos de evidencias. O eso parece.

La realidad es que el solapamiento entre estos tres frameworks ronda el 60-70%. Gestión de accesos, cifrado, gestión de incidentes, continuidad de negocio, auditorías internas: los tres lo exigen con matices diferentes. La empresa que trata cada certificación como un proyecto independiente triplica su esfuerzo. La que construye un sistema de gestión de seguridad unificado y mapea los controles una vez trabaja un 40% menos.

Este whitepaper es la guía que nos hubiera gustado tener cuando empezamos a ayudar a empresas medianas a navegar este laberinto. No es teoría. Es el resultado de acompañar a equipos de 50-300 personas a través de procesos de certificación reales.

El Esquema Nacional de Seguridad en 2025

El ENS (regulado por el Real Decreto 311/2022) es obligatorio para cualquier entidad que preste servicios o maneje información del sector público español. Desde la actualización de 2022, también aplica a proveedores tecnológicos del sector privado que trabajen con la administración. Si tu empresa desarrolla software para un ayuntamiento, el ENS te afecta.

Categorías del sistema

El ENS clasifica los sistemas en tres categorías según el impacto de un incidente de seguridad:

• Básica: Impacto limitado. Aplica 36 controles.
• Media: Impacto grave. Aplica 55 controles.
• Alta: Impacto muy grave. Aplica 73 controles.

La mayoría de las empresas medianas que operan como proveedores tecnológicos caen en categoría media. Las que manejan datos especialmente sensibles (salud, defensa, infraestructuras críticas) necesitan categoría alta.

Controles clave del ENS

El ENS organiza sus controles en tres marcos: organizativo, operacional y medidas de protección. Los que más esfuerzo requieren en la práctica:

Gestión de accesos (op.acc): Identificación única, autenticación robusta, mínimo privilegio. El ENS es particularmente estricto con la segregación de funciones en categoría media y alta. No basta con tener RBAC; hay que demostrar que los roles están definidos según funciones de negocio y que se revisan periódicamente.

Gestión de incidentes (op.mon): Detección, respuesta y notificación. Desde la directiva NIS2 (transpuesta en España como el nuevo Real Decreto-ley 7/2024), los plazos de notificación se han endurecido: 24 horas para una alerta temprana, 72 horas para un informe completo al CCN-CERT.

Protección de las comunicaciones (mp.com): Cifrado en tránsito obligatorio. Para categoría media y alta, el ENS especifica algoritmos concretos y longitudes de clave mínimas alineadas con las guías CCN-STIC.

Continuidad del servicio (mp.cont): Plan de continuidad documentado, probado y actualizado. Las pruebas anuales son requisito, no sugerencia.

El proceso de certificación ENS

El camino práctico sigue estas fases:

1. Análisis de diferencias: Inventariar lo que ya existe y lo que falta. Típicamente, 2-4 semanas.
2. Plan de adecuación: Definir las acciones correctivas, responsables y plazos. Requiere aprobación de la dirección.
3. Implementación: Desplegar controles técnicos y procedimientos. Donde se consume el grueso del tiempo (3-8 meses según el punto de partida).
4. Auditoría interna: Obligatoria antes de la certificación. Debe hacerla alguien independiente del equipo que implementó.
5. Certificación: Una entidad acreditada realiza la auditoría formal. Para categoría media, la certificación tiene validez de 2 años.

Un detalle que muchos desconocen: para categoría básica, el ENS permite una autoevaluación (declaración de conformidad). No hace falta auditor externo. Esto reduce dramáticamente el coste para empresas que solo necesitan el nivel básico. Para un análisis más detallado de los requisitos ENS para proveedores cloud, consulta nuestra guía de ENS 2025 para proveedores.

ISO 27001: el estándar internacional

ISO 27001 es el estándar internacional de referencia para sistemas de gestión de seguridad de la información (SGSI). La versión vigente es ISO 27001:2022, que actualizó la estructura de controles del Anexo A, reduciendo de 114 a 93 controles organizados en 4 temáticas en vez de 14 dominios.

Estructura del SGSI

ISO 27001 sigue el ciclo PDCA (Plan-Do-Check-Act) y exige:

• Contexto de la organización: Entender las necesidades y expectativas de las partes interesadas. Esto no es relleno. El alcance del SGSI determina qué se certifica y qué no.
• Liderazgo: La dirección debe demostrar compromiso. Firmar una política no es suficiente; el auditor verificará que la dirección participa activamente en revisiones y asigna recursos.
• Evaluación de riesgos: El corazón de ISO 27001. Identificar activos, amenazas, vulnerabilidades y calcular el riesgo residual. La metodología es libre (MAGERIT, OCTAVE, la propia), pero debe ser sistemática y repetible.
• Tratamiento de riesgos: Para cada riesgo inaceptable, definir un plan: mitigar, transferir, aceptar o evitar. Los controles del Anexo A son la referencia, pero no son obligatorios; solo son obligatorios los que apliquen según tu análisis de riesgos.

Los 93 controles del Anexo A (2022)

Organizados en cuatro temáticas:

Temática	Controles	Ejemplos clave
Organizacionales	37	Políticas de seguridad, gestión de activos, relaciones con proveedores
Personas	8	Screening, formación, responsabilidades al terminar empleo
Físicos	14	Perímetros de seguridad, protección de equipos, escritorio limpio
Tecnológicos	34	Gestión de accesos, cifrado, seguridad en desarrollo, backup

Los controles nuevos en la versión 2022 merecen atención especial:

• A.5.7 Threat intelligence: Recopilar y analizar información sobre amenazas. No requiere un SOC dedicado; puede ser tan simple como suscribirse a feeds del CCN-CERT y revisarlos semanalmente.
• A.8.9 Configuration management: Gestionar las configuraciones de los sistemas. Si ya usas Terraform o herramientas de infraestructura como código, llevas ventaja.
• A.8.11 Data masking: Enmascarar datos en entornos de desarrollo y pruebas. Algo que la mayoría de las empresas deberían hacer y pocas hacen.
• A.8.12 Data leakage prevention: Prevenir fugas de datos. Puede ir desde DLP empresarial hasta reglas básicas en el gateway de correo.
• A.8.16 Monitoring activities: Monitorizar actividades anomalas. Si tienes un SIEM (incluso uno básico como Wazuh), esto está cubierto.

El proceso de certificación ISO 27001

1. Etapa 1 (revisión documental): El auditor revisa la documentación del SGSI, la evaluación de riesgos, la declaración de aplicabilidad (SoA) y los procedimientos principales. Resultado: informe de hallazgos y confirmación de preparación para la etapa 2.
2. Etapa 2 (auditoría in-situ): El auditor verifica que los controles están implementados y funcionan. Entrevista al personal, revisa evidencias, prueba controles técnicos.
3. Vigilancia: Auditorías anuales durante el ciclo de 3 años para verificar mantenimiento y mejora continua.
4. Recertificación: Cada 3 años, auditoría completa.

Coste orientativo para una empresa de 100 personas: 15.000-30.000 EUR para la certificación inicial (auditor externo), más el coste interno de implementación que varía enormemente según el punto de partida.

SOC 2: el pasaporte americano

SOC 2 (Service Organization Control 2) es un informe de auditoría desarrollado por el AICPA (American Institute of Certified Public Accountants). No es una certificación en sentido estricto; es un informe emitido por un auditor CPA que evalúa los controles de una organización sobre uno o más Trust Services Criteria (TSC):

• Security (obligatorio): Protección contra acceso no autorizado.
• Availability: Disponibilidad del sistema según lo comprometido.
• Processing integrity: Procesamiento correcto y completo.
• Confidentiality: Protección de información confidencial.
• Privacy: Gestión de información personal.

La mayoría de las empresas eligen Security + Availability para el primer informe. Añadir Privacy es relevante si manejas datos personales de ciudadanos estadounidenses.

Tipos de informe

• Tipo I: Evalúa el diseño de los controles en un momento puntual. Más rápido y barato. Útil como primer paso.
• Tipo II: Evalúa el diseño Y la efectividad operativa durante un periodo (típicamente 6-12 meses). Es lo que piden la mayoría de los clientes serios. Requiere que los controles hayan estado funcionando durante todo el periodo de observación.

Controles típicos de SOC 2

SOC 2 no prescribe controles específicos (a diferencia del ENS o ISO 27001 Anexo A). Define criterios y la organización diseña sus propios controles para satisfacerlos. Los más comunes:

• Gestión de accesos con MFA y revisión periódica
• Cifrado en tránsito y en reposo
• Detección y respuesta a incidentes
• Gestión de cambios (change management)
• Backup y recuperación
• Formación en seguridad
• Gestión de vulnerabilidades (escaneos, parcheo)
• Seguridad en el desarrollo (SDLC seguro)

El mapa de solapamientos

Aquí es donde la estrategia de certificación unificada genera valor real. Hemos mapeado los controles principales entre los tres frameworks:

Gestión de accesos

Control	ENS	ISO 27001	SOC 2
Identificación única	op.acc.1	A.5.16	CC6.1
Autenticación robusta	op.acc.5	A.8.5	CC6.1
Mínimo privilegio	op.acc.4	A.8.2	CC6.3
Revisión de accesos	op.acc.4	A.5.18	CC6.2
MFA	op.acc.5 (media/alta)	A.8.5	CC6.1

Un único sistema IAM (Okta, Azure AD, Google Workspace con reglas avanzadas) cubre los tres. La diferencia está en la evidencia: el ENS quiere documentación en castellano, ISO 27001 quiere que el SGSI lo recoja formalmente, SOC 2 quiere logs de revisión durante el periodo de observación.

Gestión de incidentes

Control	ENS	ISO 27001	SOC 2
Procedimiento de respuesta	op.mon.1	A.5.24/A.5.26	CC7.3/CC7.4
Registro y clasificación	op.mon.2	A.5.25	CC7.3
Notificación	op.mon.3	A.5.24	CC7.4
Análisis post-incidente	op.mon.3	A.5.27	CC7.5

Un único procedimiento de respuesta a incidentes sirve para los tres. El ENS añade requisitos específicos de notificación al CCN-CERT. ISO 27001 exige que aprendas y mejores tras cada incidente. SOC 2 quiere ver que los controles funcionaron durante el periodo auditado.

Cifrado y protección de datos

Control	ENS	ISO 27001	SOC 2
Cifrado en tránsito	mp.com.2	A.8.24	CC6.1/CC6.7
Cifrado en reposo	mp.info.4	A.8.24	CC6.1
Gestión de claves	op.exp.11	A.8.24	CC6.1
Backup	mp.info.6	A.8.13	A1.2

Continuidad de negocio

Control	ENS	ISO 27001	SOC 2
Plan de continuidad	mp.cont	A.5.29/A.5.30	A1.2
Pruebas del plan	mp.cont.3	A.5.30	A1.3
Análisis de impacto	mp.cont.1	A.5.29	A1.2

El solapamiento en números

Tras mapear los controles detalladamente en múltiples proyectos, estos son los porcentajes reales de solapamiento:

• ENS ↔ ISO 27001: ~65% de solapamiento directo en controles técnicos y organizativos.
• ISO 27001 ↔ SOC 2: ~60% de solapamiento. SOC 2 es menos prescriptivo pero cubre las mismas áreas.
• ENS ↔ SOC 2: ~50% de solapamiento directo. El ENS tiene controles específicos para administración pública que SOC 2 no contempla.
• Triple solapamiento: ~45% de los controles están cubiertos por los tres frameworks simultáneamente.

Ese 45% es la base. Implementarlo una vez, documentarlo tres veces (adaptando el lenguaje a cada framework), y reutilizar la evidencia. Eso es eficiencia.

La hoja de ruta unificada

Basándonos en proyectos reales con empresas de 50-300 empleados, esta es la secuencia que mejor funciona:

Fase 1: Cimientos (Meses 1-3)

Objetivo: Construir el sistema de gestión base que sirva para los tres frameworks.

1. Política de seguridad de la información: Un documento, aprobado por la dirección, que cubra los requisitos de los tres. No tres políticas separadas.
2. Inventario de activos: Todos los sistemas, datos, personas y procesos en scope. Sin esto, el análisis de riesgos es ficción.
3. Evaluación de riesgos: Usar una metodología que satisfaga a los tres. MAGERIT es la opción natural si empiezas por el ENS (es la recomendada por el CCN), y su enfoque basado en activos y amenazas mapea bien a ISO 27001.
4. Declaración de aplicabilidad (SoA): Documento que indica qué controles aplican y cuáles no, con justificación. Para ISO 27001 es obligatorio. Para ENS y SOC 2 es una buena práctica que acelera el proceso.
5. Gestión de accesos: Centralizar IAM, implementar MFA, definir política de accesos. Es el control con más solapamiento y el que más visibilidad tiene en las tres auditorías.

Herramientas: Vanta o Drata para automatizar la recogida de evidencias (cubren SOC 2 e ISO 27001; para ENS necesitarás complementar con PILAR o herramientas del CCN). Para gestión de identidades, Okta, Azure AD o Google Workspace con configuración avanzada.

Fase 2: ENS primero (Meses 4-8)

Por qué el ENS primero? Porque es el más prescriptivo. Si cumples el ENS en categoría media, ya tienes el 65% de ISO 27001 cubierto. Además, si trabajas con sector público, es el que te abre mercado inmediatamente.

1. Implementar controles operacionales ENS: Gestión de configuraciones, protección frente a malware, gestión de vulnerabilidades, registro de actividad.
2. Implementar medidas de protección: Cifrado, copias de seguridad, segregación de redes, protección de las comunicaciones.
3. Documentación CCN: El ENS exige documentación alineada con las guías CCN-STIC. Los procedimientos deben seguir la estructura y nomenclatura del CCN.
4. Auditoría interna ENS: Antes de la certificación. Identificar no conformidades y corregirlas.
5. Certificación ENS: Entidad acreditada por ENAC.

Fase 3: ISO 27001 como extensión (Meses 9-14)

Con el ENS certificado, la transición a ISO 27001 es más corta de lo que parece:

1. Gap analysis ENS → ISO 27001: Identificar los controles de ISO 27001 que el ENS no cubre. Típicamente: gestión de proveedores (más estricta en ISO), análisis de riesgos de terceros, controles de personas (screening, offboarding).
2. Completar el SGSI: Adaptar la documentación al formato ISO. Asegurar que el ciclo PDCA está completo: planificación, operación, evaluación del rendimiento, mejora.
3. Mejorar evaluación de riesgos: ISO 27001 espera una metodología más madura que el ENS básico. Pasar de un análisis de riesgos puntual a un proceso continuo.
4. Etapa 1 y Etapa 2: El auditor ISO apreciará que ya tienes un ENS certificado. No elimina la auditoría, pero la suaviza.

Ahorro estimado: 30-40% respecto a empezar ISO 27001 desde cero, tanto en tiempo como en coste de consultoría.

Fase 4: SOC 2 como complemento (Meses 12-20)

SOC 2 Tipo II requiere un periodo de observación (6-12 meses). La estrategia es iniciar el periodo de observación en paralelo con la fase 3:

1. Definir controles SOC 2: Mapear los criterios TSC a los controles que ya tienes de ENS e ISO. Identificar gaps (típicamente pocos a estas alturas).
2. Implementar controles de monitorización: SOC 2 pone énfasis en la evidencia continua. Logs de acceso, registros de cambios, métricas de disponibilidad. Si ya tienes un stack de observabilidad, la mayor parte está cubierta.
3. Periodo de observación: 6-12 meses durante los cuales el auditor evaluará que los controles funcionan efectivamente. Este periodo corre en paralelo con la operativa normal.
4. Informe SOC 2 Tipo II: Un CPA emite el informe. Los clientes americanos lo reciben y dejan de preguntar.

Si has pasado el ENS y la ISO, el esfuerzo adicional para SOC 2 Tipo I es marginal. El Tipo II solo añade tiempo de espera (el periodo de observación), no trabajo significativo.

Errores comunes que hemos visto

Después de acompañar a varias empresas medianas en este proceso, estos son los errores que se repiten:

Tratar cada certificación como un proyecto separado. El error más caro. Tres equipos, tres consultoras, tres conjuntos de documentación. El resultado son inconsistencias, duplicación de esfuerzo y agotamiento del equipo.

Subestimar la documentación. Los controles técnicos son la parte fácil. La documentación es donde los equipos de ingeniería se atascan. Procedimientos, registros, evidencias, actas de revisión. Automatizar la recogida de evidencias (Vanta, Drata, o scripts propios) reduce este dolor significativamente.

No involucrar a la dirección. Los tres frameworks exigen compromiso de la alta dirección. No es un requisito formal; es un requisito real. Sin un sponsor ejecutivo que asigne presupuesto, tiempo de equipo y atienda las revisiones de gestión, el proyecto se estanca en la fase 2.

Buscar la perfección en el primer ciclo. Las tres certificaciones funcionan con ciclos de mejora continua. No necesitas controles perfectos en la primera auditoría. Necesitas controles funcionales, documentados y con un plan de mejora creíble. Los auditores valoran la madurez del proceso, no la ausencia de hallazgos.

Ignorar a los proveedores. ISO 27001 y SOC 2 son especialmente estrictos con la cadena de suministro. Si tu proveedor de cloud no tiene SOC 2, tu auditor lo verá. Mapear los proveedores críticos y obtener sus informes de cumplimiento es una tarea que conviene empezar pronto.

Presupuesto orientativo

Para una empresa tecnológica de 100-200 empleados, con infraestructura en cloud y un nivel de madurez medio en seguridad:

Concepto	Coste estimado
Consultoría unificada (3 frameworks)	40.000-80.000 EUR
Herramientas de compliance (Vanta/Drata)	15.000-25.000 EUR/año
Certificación ENS (auditor)	8.000-15.000 EUR
Certificación ISO 27001 (auditor)	12.000-25.000 EUR
Informe SOC 2 Tipo II (CPA)	20.000-40.000 EUR
Herramientas técnicas (SIEM, IAM, etc.)	10.000-30.000 EUR/año
Coste total primer año	105.000-215.000 EUR
Mantenimiento anual posterior	40.000-80.000 EUR

Comparado con tratar cada certificación independientemente (multiplicar por 1.5-2x), la ruta unificada genera un ahorro del 30-40%.

Un matiz importante: parte de estas herramientas y controles deberían existir independientemente de cualquier certificación. Si tu empresa no tiene MFA, gestión de vulnerabilidades o copias de seguridad probadas, el coste no es “de compliance”. Es de seguridad básica que llevas tiempo postponiendo.

Automatización de evidencias

La recogida de evidencias es donde la estrategia unificada brilla o fracasa. Sin automatización, mantener tres conjuntos de evidencias actualizados es insostenible.

Plataformas de compliance como Vanta, Drata o Secureframe conectan con tu infraestructura (AWS, GCP, Azure, GitHub, Okta, Jira) y recogen evidencias automáticamente: configuraciones de seguridad, logs de acceso, estado de parches, completitud de formación. Vanta tiene soporte nativo para SOC 2 e ISO 27001. Para ENS, necesitarás mapeo manual de controles, pero la evidencia subyacente es la misma.

Scripts de compliance propios: Para controles que las plataformas no cubren automáticamente (revisión de accesos, pruebas de backup, escaneos de vulnerabilidades), un conjunto de scripts que generen informes periódicos y los almacenen como evidencia. Un cron job semanal que ejecute Trivy contra tus imágenes Docker, exporte los resultados en JSON y los archive es una evidencia de gestión de vulnerabilidades válida para los tres frameworks.

Evidencia como código: Tratar la compliance como tratas la infraestructura. Las políticas en Git, las configuraciones de seguridad en Terraform, los escaneos en CI/CD. Cada commit es evidencia. Cada pipeline que ejecuta un control de seguridad es evidencia. Este enfoque escala y es auditorial.

Selección de auditor

Un consejo práctico que ahorra dolores de cabeza: si vas a certificarte en los tres frameworks, busca un auditor (o firma de auditoría) que pueda cubrir al menos dos. Algunas firmas están acreditadas para ENS y ISO 27001 simultáneamente. Para SOC 2 necesitarás un CPA (típicamente una firma diferente si tu auditor ENS/ISO no tiene práctica CPA).

Lo que funciona en la práctica: una firma española acreditada por ENAC para ENS e ISO 27001, y una firma con práctica CPA para SOC 2. Coordinar las ventanas de auditoría para que los controles comunes se revisen una vez y se referencien en los tres informes.

Conclusiones prácticas

La ciberseguridad para la empresa mediana no es un problema de frameworks. Es un problema de ejecución sistemática. El ENS, ISO 27001 y SOC 2 son lentes diferentes sobre el mismo objetivo: proteger la información y demostrar que lo haces.

La hoja de ruta que funciona es progresiva: cimientos comunes, ENS primero (es el más prescriptivo y abre mercado público), ISO 27001 como extensión natural, SOC 2 como complemento internacional. Cada paso reutiliza el trabajo anterior.

Los números no mienten: un 45% de controles con triple solapamiento, un 30-40% de ahorro con ruta unificada, y un equipo que construye un único sistema de seguridad en vez de mantener tres. Para una empresa mediana con recursos de consultoría limitados, esa diferencia es la que separa una certificación exitosa de un proyecto abandonado a medio camino.