Ver que un proveedor está certificado conforme al Esquema Nacional de Seguridad suele cerrar la conversación de seguridad. Debería abrirla: dos certificados con el mismo nombre pueden respaldar cosas muy distintas.
Las preguntas útiles son más concretas: si existe una certificación real y vigente, qué alcance tiene exactamente, qué servicios cubre y cómo se cerró la auditoría.
Tres situaciones muy distintas detrás de la misma frase
En el mercado conviven al menos tres situaciones que en una diapositiva se parecen: proveedores que no pueden acreditar ninguna certificación; proveedores que sí la tienen, pero para un alcance concreto y limitado; y proveedores cuya certificación respalda una parte amplia y transversal de su capacidad de prestación.
La lectura cambia por completo. No es lo mismo una organización sin certificación que otra que la tiene emitida por una entidad acreditada, ni un certificado que cubre un entorno acotado que otro que respalda gobierno, operación y prestación de extremo a extremo.
Por qué el alcance es el campo que decide
Un certificado se emite para un alcance definido: unos sistemas de información, unos procesos y unos servicios determinados. Desde el punto de vista de quien compra, ese campo dice qué capacidades se auditaron.
Un alcance debe cubrir exactamente los servicios que se prestan: ni más, porque encarece la auditoría sin aportar garantía, ni menos, porque deja fuera lo que el cliente va a contratar. Lo relevante, por tanto, no es el tamaño del alcance sino su encaje con lo que vas a contratar.
Ahora bien, cuando el proveedor tiene un catálogo amplio y tú vas a consumir varias piezas de él, ese encaje exige por fuerza un alcance transversal. Y sostenerlo es más difícil: más procesos implicados, más equipos coordinados, más rastro documental que mantener y más evidencia operativa que demostrar. Esa dificultad es la que convierte la amplitud en una señal, siempre que venga acompañada del encaje.
Estar certificado no hace comparables a todos los proveedores
En el mercado, el ENS aparece mencionado de formas muy distintas. A veces es un simple adorno reputacional o una referencia genérica en la web. Otras, una certificación real con un alcance concreto y verificable.
Lo que marca la diferencia es si existe certificación real y vigente, qué categoría se ha obtenido, cuál es el alcance exacto, qué servicios cubre y cómo se cerró la auditoría. El matiz pesa sobre todo cuando el cliente no compra solo asesoramiento, sino capacidad operativa: continuidad, monitorización, respuesta, soporte o desarrollo.
| Pregunta | Qué revela |
|---|---|
| ¿La certificación es real, vigente y verificable? | Distingue un certificado de una mención reputacional |
| ¿Qué categoría se obtuvo: básica, media o alta? | Indica lo exigentes que eran los requisitos que el sistema tuvo que cumplir |
| ¿Qué cubre exactamente el alcance? | Muestra qué capacidades se auditaron, no cuáles se anuncian |
| ¿Los servicios certificados coinciden con lo que voy a contratar? | Un certificado sobre otro servicio dice poco del mío |
| ¿Cómo se cerró la auditoría, con o sin no conformidades? | Muestra si el modelo documentado coincidía con la operación real el día de la auditoría |
Un proveedor que no pueda responderlas con rapidez y concreción ya te ha dado una respuesta de otro tipo.
Categoría y vía de acreditación: la pregunta que casi siempre se salta
No es lo mismo una categoría básica que una alta: cambia el número de medidas exigibles y cambia también la forma de acreditar la conformidad. En categoría básica cabe una declaración basada en autoevaluación; en categoría media y alta hace falta certificación con auditoría de una entidad acreditada por ENAC. El detalle lo desarrollamos en la guía sobre quién necesita ENS.
La consecuencia para quien evalúa proveedores es directa: si te enseñan una declaración y tú esperabas un certificado, no es el mismo documento, aunque ambos hablen de conformidad. Esa declaración te está diciendo dos cosas a la vez: que ningún auditor independiente revisó el sistema y que ese sistema se categorizó como básico. Pregunta entonces qué alcance cubre y en qué evidencias se apoya.
Qué aporta una auditoría cerrada sin no conformidades
Además del alcance, el resultado de la auditoría cambia la lectura del certificado. Cerrar sin no conformidades indica que gobierno y operación estaban alineados: que los controles documentados y la evidencia que produce la operación coincidían.
Conviene ser preciso con los límites de esa afirmación: se trata de una señal sólida, no de una garantía sobre todo lo que hace el proveedor. Lo que se acredita es que el modelo auditado funcionaba con consistencia suficiente, sin hallazgos de no conformidad dentro del alcance certificado y en la fecha de la auditoría.
Para el cliente eso suele acortar la homologación y reducir las preguntas abiertas en el alta. No es una promesa sobre cómo saldrá un encargo concreto.
Cómo encaja esto en la evaluación de un proveedor
Para una organización que hace gestión del riesgo de terceros, el ENS es un elemento más del expediente y funciona mejor leído junto a las demás evidencias: qué servicios cubre el certificado, qué puede enseñar el proveedor sobre su propia operación y con qué rapidez responde a preguntas que no lleva ensayadas.
El mismo criterio sirve para la decisión de compra en general, donde conviene evaluar juntas la capacidad técnica y la de cumplimiento, como explicamos al hablar de por qué separar ciberseguridad y compliance es un error.
Nuestro certificado, dicho con claridad
Hard2bit está certificada en el ENS en categoría alta conforme al RD 311/2022, sin hallazgos de no conformidad dentro del alcance certificado. Ese alcance cubre gobierno, cumplimiento y auditoría, continuidad de negocio, servicios gestionados, monitorización continua, seguridad en la nube, gestión de vulnerabilidades, hacking ético, análisis forense, desarrollo y mantenimiento de aplicaciones, investigación y desarrollo, inteligencia artificial, y operación y soporte de infraestructuras.
Lo detallamos así por la misma razón por la que recomendamos interrogar el certificado de cualquier otro: una afirmación solo es útil cuando el alcance que hay detrás es visible. Es también el criterio con el que trabajamos en nuestro servicio de adecuación al ENS y en la consultoría de cumplimiento. Haznos a nosotros las cinco preguntas de la tabla y hazle las mismas a quien compita con nosotros. Es la comparación que preferimos.
Qué llevarse de todo esto
El ENS es una señal con contenido, pero un mal atajo. Confirma que un sistema definido se evaluó conforme a un marco exigente del sector público, y no dice nada de lo que quedó fuera de ese alcance.
Así que la comparación que sirve en un comité de compra no es «certificado o no certificado». Es si la certificación está vigente, si cubre los servicios que vas a contratar y si el resultado de la auditoría sugiere que el modelo funciona como está escrito.
Este artículo se refiere a la certificación conforme al Real Decreto 311/2022 y describe la situación de certificación de Hard2bit en la fecha de publicación. Las afirmaciones sobre el alcance y el resultado de certificaciones de terceros conviene verificarlas directamente con cada proveedor y su entidad de certificación.
