Certificado de ciberseguridad para tu empresa: cuál te están pidiendo y qué auditoría lo respalda

Cuando un cliente grande, una licitación o una aseguradora te piden «un certificado de ciberseguridad», casi nunca se refieren a un documento con ese nombre. Detrás suele estar una de estas cinco cosas: la ISO 27001, la conformidad con el ENS, un informe SOC 2, las medidas de NIS2 o un informe de pentesting.

Solo la ISO 27001 y el ENS de categoría media o alta acaban en un certificado. Las otras tres son un informe, una obligación legal y una evidencia técnica, y entre la más rápida y la más lenta hay de unas semanas a un año. Por eso la primera pregunta no es dónde se saca el certificado, sino cuál acepta quien te lo pide.

Qué quieren decir cuando te piden un certificado de ciberseguridad

En España no existe un certificado de ciberseguridad único y oficial para empresas. Existen esquemas distintos, cada uno con su emisor: la certificación de un sistema de gestión, la conformidad con un esquema público, el informe de un auditor externo o la evidencia técnica de que alguien ha probado tus sistemas.

Por el camino aparecen dos cosas que también se llaman certificación y no son lo que te piden. Las certificaciones personales, como CISSP u OSCP, acreditan a un profesional, no a tu empresa. Las de producto, como Common Criteria, evalúan un programa o un equipo concreto. Si buscas «certificaciones de ciberseguridad» y te salen cursos, es por eso.

Antes de mover nada, pide por escrito qué documento aceptan. Con estas preguntas basta:

• ›Qué norma o esquema: ISO 27001, ENS, SOC 2 u otro.
• ›Si vale una declaración propia o lo tiene que firmar un tercero.
• ›Qué alcance tiene que cubrir: la empresa entera, un servicio concreto o los sistemas con los que vas a trabajar para ellos.
• ›Para qué fecha lo necesitan.

Quién lo pide y qué suele bastar

Lo que te piden depende casi siempre de quién te lo pide. La tabla resume los cinco casos habituales. Los plazos son orientativos y salen de nuestras guías de cada norma, enlazadas en la última columna.

La aseguradora es un caso aparte. Lo habitual es que pregunte en su propio cuestionario por medidas concretas, como la verificación en dos pasos o las copias de seguridad, y no por un sello. Si a alguna pregunta la respuesta honrada es «no lo sabemos», una auditoría técnica la convierte en un sí o un no con fecha.

ISO 27001

La ISO 27001 es lo que suelen pedir los clientes privados europeos y las grandes empresas a sus proveedores. Certifica que tu sistema de gestión de seguridad de la información funciona dentro de un alcance declarado, no que la empresa entera sea segura.

La emite una entidad de certificación, y lo que le da valor es que esté acreditada: en España acredita ENAC. El certificado dura tres años, con una auditoría de seguimiento cada año. Según nuestra guía de certificación ISO 27001, una empresa mediana que parte de cero tarda entre seis y doce meses en conseguirlo.

Lo que más se olvida es el alcance. Sale impreso en el certificado y quien te lo pidió lo lee: si el contrato es para un servicio que se quedó fuera, el sello no le responde a su pregunta.

ENS si trabajas con la administración

Si el cliente es una administración pública, o una empresa que le presta servicios, lo que te piden es el Esquema Nacional de Seguridad. El Real Decreto 311/2022 lo extiende en su artículo 2 a las empresas privadas que prestan servicios al sector público, y el requisito llega escrito en el pliego.

Aquí importa la categoría del sistema. Según el artículo 38, la básica se resuelve con una autoevaluación y una declaración de conformidad que firmas tú; la media y la alta necesitan una auditoría de certificación de una entidad acreditada. Y la conformidad no es para siempre: el artículo 31 pide auditar al menos cada dos años.

Una ISO 27001 no sustituye al ENS, aunque buena parte del trabajo se aprovecha. Cómo saber tu categoría está en qué es el ENS y a quién obliga, y qué se revisa en la auditoría de cada dos años, en auditoría ENS: qué contratas y cada cuánto toca.

SOC 2 si vendes a Estados Unidos

SOC 2 no es un certificado. Es un informe que emite un auditor con licencia CPA, con los criterios del AICPA, y que se entrega bajo acuerdo al cliente que lo pidió. Lo suele pedir un comprador de software con sede en Estados Unidos, con la negociación ya en marcha.

Hay dos tipos. El Tipo 1 dice que tus controles estaban bien diseñados en una fecha; el Tipo 2, que además funcionaron durante un periodo que suele ir de tres a doce meses. Si nadie te ha puesto una fecha de firma, el que te van a acabar pidiendo es el segundo. Cuál conviene y cuándo está en SOC 2 Tipo 1 y Tipo 2.

Lo que no hace un SOC 2 es abrirte el sector público español. Ahí manda el ENS, y un informe pensado para un comprador privado no lo sustituye.

NIS2: obligación, no certificado

NIS2 es la Directiva (UE) 2022/2555 y no da ningún certificado. Impone a las entidades de su ámbito medidas de gestión de riesgos y la obligación de notificar incidentes, y hace responsable a la dirección de aprobarlas. Un documento llamado «certificado NIS2» puede ser útil como informe, pero no es algo que pida la directiva.

A una pyme casi nunca le llega por tamaño: por debajo de 50 empleados y de 10 millones de euros de facturación anual, el criterio general la deja fuera. Le llega por contrato, cuando un cliente obligado le manda un anexo de seguridad con requisitos, plazos de aviso y derecho a auditarla. En España, la ley que traspone la directiva seguía sin aprobarse en octubre de 2026, así que lo que ya te obliga es lo que hayas firmado.

Ese anexo se responde con evidencias, no con un sello: pruebas técnicas fechadas y un sistema de gestión que demuestre las medidas. Qué te exige de verdad y qué no está en NIS2 para pymes.

Cuando basta con un informe de pentesting

Muchas veces, lo que el cliente acepta al final no es un certificado sino un informe de pentesting: una prueba de intrusión hecha por un tercero, con cada hallazgo, su criticidad, los pasos para reproducirlo y la comprobación de que se corrigió. No certifica nada. Dice qué se probó, cuándo y qué apareció, que es lo que quiere ver quien te va a confiar sus datos.

También es lo que piden los auditores de ISO 27001 y del ENS como evidencia técnica, aunque ninguna de las dos normas lo nombre. El auditor pregunta cómo detectas y tratas las vulnerabilidades, y un informe con su retest responde. Qué acepta y qué no está en pentesting para la ISO 27001: qué acepta el auditor como evidencia.

Un escaneo automático no cumple ese papel: detecta vulnerabilidades conocidas, pero no evalúa su exposición ni prueba que se cerraron. Y el alcance tiene que coincidir con lo que pide el cliente. La auditoría de superficie externa parte de 450 € y revisa lo que expones a internet; la de infraestructura interna, de 1.520 €. En las dos entregamos el informe técnico con la evidencia de cada hallazgo y la presentación a dirección, y el retest se puede pedir una vez corregido lo encontrado, dentro de los seis meses siguientes a la entrega.

Quién certifica y quién prepara

PentestingTeam no emite certificados. La certificación ISO 27001 y la del ENS las firma una entidad acreditada, y el informe SOC 2, un auditor con licencia CPA. Tampoco conviene que certifique quien te ha preparado: la revisión dejaría de ser independiente, que es justo lo que se paga.

Lo que hacemos es la parte de antes. La auditoría de SGSI frente a ISO 27001, ENS o NIS2 parte de 980 €: revisa control a control qué funciona y qué está solo en el papel, prepara las evidencias y termina en un plan de acción priorizado. La prueba técnica que se aporta como evidencia también la hacemos nosotros, con su informe y su retest.

Si el requisito te ha llegado esta semana, mándanos lo que te han pedido por escrito, tal cual. Te decimos cuál de los cinco casos es, qué parte cubre cada auditoría y qué queda fuera, con un presupuesto que solemos tener en unas 24 horas, según el alcance.