El punto de partida
El equipo era técnicamente maduro — infraestructura como código, CI/CD con despliegues diarios, buenas prácticas de desarrollo — pero todo el gobierno de seguridad vivía en la cabeza del CTO. Sin política de seguridad formal, sin análisis de riesgos, sin categorización de sistemas. Y con un matiz que complicaba el expediente: el producto incorporaba funcionalidad de IA que procesaba información de los clientes, algo que el organismo certificador iba a mirar con lupa.
El miedo del CTO era el clásico de las tecnológicas ante el ENS: que la burocracia matara la velocidad del equipo. El proyecto se diseñó con ese límite como requisito — ningún control podía romper el flujo de despliegue continuo.
Cómo lo abordamos
- Categorización y perfilado — análisis de los servicios que se prestarían a la Administración y de la información tratada. La categoría resultante fue MEDIA, y trabajamos con el perfil de cumplimiento específico aplicable, evitando medidas sobredimensionadas.
- Análisis de riesgos y declaración de aplicabilidad — metodología ligera pero trazable, alineada con la operativa real: activos cloud, pipeline de CI/CD, dependencias de terceros y el componente de IA como activo diferenciado, con sus riesgos propios (datos de entrenamiento, trazabilidad de salidas, proveedores de modelos).
- Medidas integradas en el pipeline, no encima — control de accesos con MFA y revisión trimestral, firma y revisión de despliegues, registro centralizado con retención definida, cifrado en tránsito y reposo, gestión de vulnerabilidades conectada al ciclo de desarrollo. Las evidencias se generan solas: el pipeline es el registro.
- Documentación proporcionada al tamaño — un cuerpo documental que cuarenta personas pueden mantener de verdad: política, normativa de uso, procedimientos operativos y plan de continuidad probado con un ejercicio de recuperación real.
- Auditoría de certificación — acompañamiento durante la auditoría con entidad acreditada, incluida la defensa del enfoque aplicado al componente de IA. Certificación obtenida a la primera.
Resultados
6 meses
de la primera reunión a la certificación ENS categoría MEDIA
2
licitaciones presentadas el mismo trimestre de la certificación
0
despliegues bloqueados por el SGSI: el ritmo de desarrollo no se tocó
La certificación abrió la puerta que la empresa buscaba — presentarse a concursos públicos — y dejó un efecto secundario que no esperaban: dos clientes privados grandes aceleraron sus procesos de homologación de proveedor al ver el sello ENS y la documentación de seguridad ya preparada.
Claves del caso
- El ENS y el despliegue continuo no están reñidos: si el control vive dentro del pipeline, la evidencia se produce sola.
- Tratar la IA como activo con riesgos propios desde el análisis inicial evitó objeciones en auditoría.
- Categorizar bien al principio (MEDIA, no ALTA por precaución mal entendida) ahorró meses y medidas innecesarias.
Preguntas frecuentes
¿Quién necesita certificarse en el ENS?
Cualquier empresa que preste servicios o soluciones tecnológicas a la Administración pública española: si tu producto trata información de un organismo público o da soporte a sus servicios, los pliegos exigirán conformidad con el ENS. Cada vez más licitaciones lo piden como requisito de entrada, no como mérito, así que sin el sello ni siquiera puedes presentarte.
¿Cuál es la diferencia práctica entre ISO 27001 y el ENS?
La ISO 27001 es una norma internacional voluntaria orientada al mercado privado; el ENS es una obligación legal española para trabajar con el sector público, con categorías (BÁSICA, MEDIA, ALTA) y medidas concretas fijadas por real decreto. En la práctica se solapan bastante: si ya tienes ISO 27001, gran parte del camino está hecho, pero la certificación ENS requiere su propia categorización, declaración de aplicabilidad y auditoría con entidad acreditada.
¿Cuánto se tarda en certificarse en ENS categoría MEDIA?
En una organización con buena base técnica, entre seis y nueve meses es un plazo realista. En este caso fueron seis meses desde la primera reunión hasta la certificación, con auditoría superada a la primera. Categorizar bien al principio es clave: asumir ALTA por precaución mal entendida puede añadir meses y medidas innecesarias.
¿El ENS frena el desarrollo continuo y los despliegues diarios?
No tiene por qué. Si los controles se integran en el pipeline — despliegues firmados y revisados, registro centralizado, gestión de vulnerabilidades conectada al ciclo de desarrollo — la evidencia se genera sola y el ritmo no se toca. En este caso la empresa mantuvo sus despliegues diarios durante todo el proyecto: cero despliegues bloqueados por el SGSI.
Servicios relacionados
¿Necesitas el ENS para licitar?
Hard2bit está certificada en ENS categoría ALTA — conocemos el esquema desde dentro. Te ayudamos a categorizar bien, implantar lo justo y llegar a la auditoría con evidencias.