Una auditoría sola responde a esto
- Cumples o no cumples.
- Qué te falta.
- Qué riesgos tienes.
- Qué deberías corregir.
Auditoría frente a implantación
No es solo una auditoría. Es dejarte listo para cumplir.
Una auditoría te dice dónde estás. Si te quedas ahí, tienes un informe con carencias y sigues teniendo que resolverlas. Aquí el trabajo no termina con el diagnóstico: te ayudo a implantar el SGSI, preparar la documentación, poner los controles en marcha, crear evidencias y ajustar sistemas cuando hace falta, para que entres en ENS o ISO 27001 con una base real y proporcionada a tu organización.
La implantación completa resuelve esto
- Documentación lista.
- Controles funcionando.
- Evidencias preparadas.
- Auditoría interna incluida.
- Desarrollo básico incluido cuando hace falta.
- Acompañamiento hasta la auditoría externa o la certificación.
Para quién es
Pensado para quien quiere entrar en el sector público o responder a clientes exigentes.
Organizaciones objetivo
- Empresas que quieren trabajar con la Administración Pública o en entornos regulados.
- Compañías de salud, finanzas o tecnología que manejan datos sensibles.
- Negocios a los que un cliente o un pliego ya les pide ENS o ISO 27001.
Qué consigues
- Cumplimiento real, no solo un informe.
- Documentación y evidencias que un auditor puede revisar.
- Una base defendible para entrar en concursos y contratos.
- Un único interlocutor para seguridad, RGPD y AI Act.
Por qué yo
El mismo camino que ya he recorrido con empresas del sector salud.
Llevo la protección de datos, el SGSI y las auditorías de empresas del sector salud, y eso les ha sido clave para empezar a trabajar con el sector público. Más de 20 años diseñando e implantando sistemas de seguridad y control, con un único interlocutor que une seguridad, RGPD y AI Act, sin tener que ir a tres proveedores distintos.
Metodología
Del diagnóstico a dejarlo funcionando, paso a paso.
Procesos, activos y dependencias, y categorización de los sistemas según el Anexo I del ENS para fijar el nivel real.
Comparativa frente a ENS o ISO 27001 para localizar las brechas de verdad, sin inflar nada.
Riesgos, declaración de aplicabilidad, políticas, procedimientos, controles y evidencias, con el desarrollo básico necesario incluido.
Revisión de que todo funciona y deja rastro, con la auditoría interna que pide la norma.
Preparación y acompañamiento hasta la auditoría externa o la certificación, y mantenimiento para que el SGSI siga vivo.
Entregables
Documentación y controles que se pueden usar, decidir y auditar.
Del SGSI implantado
- Análisis de riesgos y declaración de aplicabilidad (SoA).
- Políticas, procedimientos y registro de evidencias.
- Plan de tratamiento y controles funcionando.
Para dirección y auditoría
- Informe ejecutivo con riesgos y prioridades.
- Auditoría interna y mapa de mejoras.
- Base lista para la auditoría externa o la certificación.
Precios orientativos
Tarifas ENS / ISO 27001: del diagnóstico a la implantación
IVA no incluido
Gap analysis
Diagnóstico inicial
- ISO 27001900 €
- ENS900 €
- ISO + ENS1.200 €
Plazo de 1 a 2 semanas. Se descuenta de la implantación si la contratas.
- Categorización y prioridades claras.
- Checklist de evidencias.
- Hoja de ruta para cerrar brechas.
Implantación completa
Para quedar listo de verdad
- ISO 270014.800 - 6.800 €
- ENS3.800 - 5.800 €
- ISO + ENS7.200 - 9.500 €
Pago en mensualidades durante todo el proyecto.
- SGSI, SoA, políticas, procedimientos y evidencias.
- Auditoría interna y desarrollo básico incluidos.
- Acompañamiento hasta la auditoría o la certificación.
Mantenimiento anual
Para que siga vivo
- ISO 27001150 - 450 €/mes
- ENS150 - 450 €/mes
- ISO + ENS250 - 750 €/mes
Incluye DPD oficial si no lo tienes.
- Seguimiento del plan y revisión de evidencias.
- Soporte ante cambios.
- Preparación de las auditorías de seguimiento.
Antes de empezar, esto te interesa
- El importe del gap analysis se descuenta del precio de la implantación si decides seguir adelante.
- El sello de una entidad acreditada cuesta de 1.500 a 4.000 euros según el alcance, y solo se paga si lo necesitas.
- No siempre hace falta sello para empezar. En ENS Básico suele bastar la autoevaluación, y el sello formal solo es necesario en ENS Medio o Alto o en el certificado ISO 27001.
- Cualquier desarrollo básico de sistemas o software que haga falta para la implantación va incluido.
- El hardware y los sistemas complejos quedan fuera y se revisan juntos antes de empezar.
- Plazos habituales: gap de 1 a 2 semanas, una norma de 3 a 5 meses y el combinado de 4 a 7 meses.
Preguntas frecuentes
Preguntas frecuentes
¿Hacéis solo la auditoría o también la implantación?
Las dos cosas. La auditoría te dice si cumples, pero lo habitual es que contrates la implantación completa del SGSI: documentación, controles, evidencias y desarrollo básico para que de verdad cumplas y puedas pasar la auditoría externa o la certificación.
¿Cuánto cuesta implantar ENS o ISO 27001?
El gap analysis va de 900 € por norma a 1.200 € el combinado. La implantación completa va de 3.800 a 5.800 € para ENS, de 4.800 a 6.800 € para ISO 27001 y de 7.200 a 9.500 € el combinado, todo más IVA y con pago en mensualidades. La cifra final se cierra tras el diagnóstico. Si después contratas la implantación, el importe del gap se descuenta de su precio.
¿Cuánto tarda una implantación de ENS o ISO 27001?
El gap es de una a dos semanas. Una norma sola suele moverse entre tres y cinco meses, y el combinado de ISO y ENS entre cuatro y siete meses, según los controles que pidan cambios y vuestra disponibilidad.
¿Necesito el sello de una entidad certificadora para contratar con el sector público?
No siempre. En ENS Básico suele bastar la autoevaluación, y hay clientes que han empezado con el sector público con auditorías hechas por un Delegado de Protección de Datos oficial. El sello formal solo hace falta en ENS Medio o Alto y en el certificado ISO 27001, y lo emite una entidad acreditada, normalmente de 1.500 a 4.000 €.
¿El desarrollo técnico va incluido?
El desarrollo básico de sistemas o software que haga falta para la implantación va incluido: ajustes, automatismos y pequeñas integraciones para dejar los controles funcionando. Quedan fuera el hardware y los sistemas complejos, que se revisan antes de empezar.
¿Puedo pagar la implantación a plazos?
Sí. El importe de la implantación se puede repartir en mensualidades a lo largo de todo el periodo, para que no haya que concentrar el gasto de golpe.
¿Qué nivel de ENS me corresponde?
Lo razonable para muchas empresas es ENS Medio, pero el nivel real sale de categorizar los sistemas según el Anexo I del ENS. Lo confirmamos en el gap, sin inflar el nivel.
¿El mantenimiento incluye el Delegado de Protección de Datos?
Si todavía no tenéis Delegado de Protección de Datos, en el mantenimiento va incluido que yo ejerza como DPD oficial vuestro, con la designación comunicada a la Agencia Española de Protección de Datos.
Contacto directo
Si quieres entrar en ENS o ISO 27001, te lo dejo implantado y funcionando.
Cuéntame tu punto de partida y te preparo una propuesta cerrada con alcance, nivel y precio. La primera valoración es gratuita.
