Inicio›Cumplimiento normativo
Familia B · Hub de cumplimiento reguladoCumplimiento normativo: certifícate porque te obligan
Esta familia no va de mejorar procesos: va de no quedarte fuera — de un contrato público, de una homologación de seguridad, de un regulador. Aquí el mensaje no es precio: es certeza, validez verificable y calendario por escrito.
Quién te aprieta decide tu marco
En cumplimiento no se elige por gusto: se responde a quien exige. Encuentra a tu exigente:
| Quién te lo exige | Tu marco | El movimiento |
|---|---|---|
| Una Administración Pública (contrato o pliego) | Certificación ENS | Categorizar el sistema en el nivel que el contrato exige y llegar a la Certificación de Conformidad con entidad acreditada. |
| Un cliente corporativo o una homologación de seguridad | ISO 27001 | Un SGSI certificado en la versión 2022 con un alcance que cubra el servicio que te compran — es lo que mira el cuestionario. |
| El sector financiero, como cliente de tus servicios TIC | DORA sobre ISO 27001 | El reglamento aplica desde enero de 2025 y baja presión a los proveedores: se resuelve con ventaja sobre un SGSI ya certificado. |
| NIS2, cuando la transposición española llegue al BOE | Readiness sobre ISO 27001 | El proyecto de ley sigue en trámite, pero sus obligaciones de fondo se conocen: quien construye ahora llega con el trabajo hecho. |
| Público y privado a la vez (datacenter, hosting, MSP) | ENS + ISO 27001 | Un mismo sistema, dos conformidades: la arquitectura que evita pagar dos veces por el mismo trabajo. |
Hoy se certifica esto. Lo demás se prepara.
Estado normativo verificado a septiembre de 2026 — cada afirmación, con su fase.
Certificación ENS
Requisito de contrato para vender a las Administraciones — y a su cadena. Básica, media o alta: la que exige tu pliego.
Ver certificación ENS → Pilar · base de todoISO 27001
El SGSI certificado sobre el que se apoyan homologaciones, DORA y la NIS2 que viene. La versión 2022, la única que vale.
Ver certificación ISO 27001 →Sin publicar en el BOE a septiembre de 2026: el proyecto de ley de coordinación y gobernanza de la ciberseguridad sigue en las Cortes, con el expediente de infracción europeo abierto por el retraso. Se atiende hoy como readiness sobre la 27001 — no como un certificado que aún no existe.
Aplicable desde enero de 2025 al sector financiero y a sus proveedores TIC. Se demuestra sobre el sistema, no se cuelga en la pared.
Obligación directa desde 2018, con régimen sancionador activo. Un sistema de seguridad certificado resuelve su parte técnica; la jurídica es otro oficio.
Certeza, no catálogo
El comprador regulado no compra precio
Compra no quedarse fuera. Por eso aquí no hay ofertas: hay alcance exacto, calendario por escrito y un certificado que sobrevive a la verificación de quien te lo exige.
Un sistema, varias conformidades
ENS, 27001, DORA y la NIS2 que viene comparten músculo. Diseñamos el sistema para reutilizarlo entre marcos — pagar dos veces por el mismo control es el error más caro de esta familia.
Verificable de punta a punta
El método está publicado en el proceso y la validez del papel se comprueba en la cadena de acreditación. No pedimos fe: enseñamos los registros.
Cumplimiento regulado sin rodeos
¿Qué diferencia hay entre cumplir una norma y estar certificado?
Cumplir es hacer los deberes; certificar es que un tercero independiente y acreditado lo verifique y lo firme. En cumplimiento regulado, la segunda parte es la que abre contratos: tu palabra no puntúa en un pliego — el papel verificable, sí.
¿NIS2 y DORA se certifican como una ISO?
No exactamente: son obligaciones legales, no normas de certificación. Se cumplen y se demuestran — y la forma más eficiente de demostrarlas es sobre un sistema certificado que hace de vehículo, normalmente la ISO 27001. Por eso decimos que la 27001 es la base, no el techo.
Soy yo quien homologa proveedores: ¿qué les pido, ENS, 27001 o las dos?
Depende de qué te juegas con ellos. Si tratan información del sector público en tu cadena, ENS en la categoría del contrato; si el riesgo es de seguridad de la información general, 27001 con un alcance que cubra el servicio que te prestan. Y en ambos casos: certificado acreditado y verificado — no una declaración en su web.
¿El RGPD se certifica?
El RGPD es una obligación legal directa que se cumple sí o sí; existen esquemas de certificación específicos, pero no sustituyen el cumplimiento ni equivalen a una ISO. En la práctica, un buen sistema de seguridad certificado resuelve gran parte de sus medidas técnicas y organizativas — y el resto es trabajo jurídico, no de sello.
Me afectan varias a la vez: ¿por dónde empiezo?
Por la que tenga fecha: un pliego con plazo o un contrato en riesgo mandan sobre cualquier hoja de ruta ideal. Sin fecha a la vista, el orden eficiente suele ser un sistema de seguridad sólido primero — 27001 o ENS según tu comprador — y las demás capas encima, reutilizando en vez de repitiendo.
¿Lo tuyo no es una obligación, sino un pliego que pide calidad? Entonces tu familia es la otra: sistemas de gestión — la ISO 9001 y sus hermanas, proporcionales y sin burocracia.
¿No sabes qué te obliga?
Es la primera pregunta que respondemos — con la norma en la mano y por escrito.
Madrid · Sevilla · Marbella · toda España en remoto