Declaración vs certificación de conformidad ENS
No todas las empresas acreditan el ENS de la misma manera. Según tu categoría, la conformidad se demuestra de una de dos formas: una Declaración basada en autoevaluación o una Certificación emitida por una entidad independiente. La diferencia afecta al coste, al plazo y, sobre todo, a la garantía que puedes ofrecer a la administración. Esta guía la aclara.
¿Qué es la conformidad con el ENS?
La conformidad con el ENS es el reconocimiento formal de que un sistema cumple los requisitos del Esquema Nacional de Seguridad. Se materializa en un distintivo de conformidad que la organización puede exhibir y que la administración reconoce como prueba de que su proveedor cumple.
Existen dos distintivos según la categoría del sistema: la Declaración de Conformidad y la Certificación de Conformidad. Ambos acreditan cumplimiento, pero con un nivel de exigencia y de garantía distinto.
¿Qué es la Declaración de Conformidad del ENS?
La Declaración de Conformidad es el distintivo que corresponde a la categoría Básica. Se obtiene mediante una autoevaluación: la propia organización verifica que cumple las medidas exigidas y lo declara formalmente, sin necesidad de una auditoría externa obligatoria.
Es la vía más ágil y económica. Su contrapartida es que la garantía descansa en la propia organización, no en un tercero independiente, por lo que ofrece un nivel de aseguramiento menor.
¿Qué es la Certificación de Conformidad del ENS?
La Certificación de Conformidad es el distintivo que corresponde a las categorías Media y Alta. Se obtiene tras una auditoría realizada por una entidad de certificación acreditada por ENAC, que verifica de forma independiente que el sistema cumple el ENS.
Al intervenir un tercero acreditado, la certificación aporta una garantía muy superior. Es la que exige la mayoría de licitaciones públicas relevantes y la que da tranquilidad a la administración sobre la seguridad de su proveedor.
¿Se puede verificar el distintivo de una empresa?
Sí. Tanto la Declaración como la Certificación de Conformidad quedan registradas y son consultables, lo que permite a la administración (y a cualquier cliente) comprobar que el distintivo que presenta un proveedor es real y está vigente. Esto tiene un efecto disuasorio importante: presentar una conformidad caducada o inexistente en una licitación no solo es un riesgo reputacional, sino que puede suponer la exclusión directa de la oferta si se detecta durante la revisión de la documentación.
Por eso, más allá de tenerlo como requisito técnico, conviene llevar un control interno claro de las fechas de vigencia y de las próximas auditorías de seguimiento, para no llegar a una licitación con el distintivo a punto de caducar.
¿Cuál me corresponde a mí?
Te corresponde la que marque tu categoría, que no eliges tú: se determina por el impacto de un incidente sobre tu sistema. Si eres categoría Básica, te vale la Declaración; si eres Media o Alta, necesitas la Certificación.
Como la mayoría de empresas privadas que prestan servicios TIC a la administración se sitúan en categoría Media, lo habitual es necesitar Certificación. Puedes ver cómo se decide tu categoría en las categorías del ENS.
¿En qué se diferencian en coste y plazo?
La Declaración, al no requerir auditoría externa, es más barata y rápida. La Certificación añade el coste y el tiempo de la auditoría por entidad acreditada, además de exigir un nivel de madurez documental mayor.
Esa diferencia es una de las razones por las que la categoría influye tanto en el presupuesto. Tienes el desglose completo en cuánto cuesta el ENS, y el recorrido hasta obtener el distintivo en la adecuación al ENS paso a paso.
¿Cómo se renueva la conformidad?
La renovación no es un simple trámite administrativo, sino una nueva auditoría completa al final del ciclo de dos años. Antes de esa fecha, la organización pasa por auditorías de seguimiento anuales, más ligeras, que comprueban que las medidas se siguen cumpliendo y que la documentación está actualizada. Si esas auditorías de seguimiento detectan no conformidades importantes sin resolver, la renovación final se complica y puede alargarse.
La forma más eficiente de llegar bien a la renovación es no tratar la conformidad como algo que se logra una vez y se olvida: mantener los registros al día, revisar el análisis de riesgos cuando cambian los sistemas y formar a las personas nuevas que se incorporan son tareas que, hechas de forma continua, hacen que la renovación sea casi automática en vez de un segundo proyecto completo.
¿Qué pasa si se pierde la conformidad?
Si una empresa deja de cumplir las condiciones de su Declaración o Certificación (por ejemplo, por no pasar una auditoría de seguimiento o por no renovar a tiempo), pierde el distintivo. Esto tiene consecuencias directas: no puede acreditar conformidad con el ENS ante nuevas licitaciones, y en los contratos vigentes que exigían esa conformidad como condición, puede incurrir en incumplimiento contractual frente a la administración.
Recuperar la conformidad perdida no siempre es tan rápido como obtenerla la primera vez, porque el auditor revisa con más atención por qué se perdió. Por eso, en la práctica, es mejor invertir en mantenerla de forma continua que arriesgarse a una interrupción.
¿Cuánto dura la conformidad?
La Certificación de Conformidad tiene una validez de dos años, con una auditoría de seguimiento anual obligatoria, tras la cual debe renovarse. La conformidad no es un punto final, sino un estado que hay que mantener vivo con la documentación y las medidas actualizadas.
Mantener la conformidad al día es parte del compromiso que la administración espera de sus proveedores, y lo que sostiene la confianza a lo largo del tiempo.
Descubre qué distintivo necesita tu empresa
Cuéntanos qué servicios prestas a la administración. Te decimos qué categoría te corresponde y, con ella, si te vale una Declaración de Conformidad o necesitas una Certificación con auditoría externa.
La Declaración corresponde a la categoría Básica y se obtiene por autoevaluación, sin auditoría externa. La Certificación corresponde a las categorías Media y Alta y requiere auditoría por una entidad acreditada por ENAC, lo que aporta una garantía mayor.
La emite una entidad de certificación acreditada por ENAC tras auditar el sistema. No la emite ni la propia empresa ni su consultor, lo que garantiza la independencia de la verificación.
Depende del pliego y de la categoría exigida. Muchas licitaciones relevantes requieren categoría Media y, por tanto, Certificación. La Declaración cubre servicios de categoría Básica.
La Certificación de Conformidad tiene una validez de dos años, con auditoría de seguimiento anual. Después debe renovarse mediante una nueva auditoría completa.
Puede suponer un incumplimiento contractual si el contrato exigía mantener la conformidad como condición. Por eso conviene tratar el mantenimiento del ENS como un compromiso continuo, no como algo que se resuelve una sola vez.