La implantación de un Sistema de Gestión de Seguridad de la Información ISO 27001:2022 va mucho más allá de redactar políticas: requiere un análisis de riesgos riguroso, una Declaración de Aplicabilidad coherente con la realidad operativa y los 93 controles del Anexo A desplegados con criterio de proporcionalidad. Step Quality opera con la cualificación de Auditora Líder ISO 27001, experiencia práctica en SGSI corporativos multi-norma y una trayectoria de más de 20 años en sistemas de gestión, diseñando el SGSI para que cubra simultáneamente ISO 27001 y, cuando aplica, la evaluación previa al Esquema Nacional de Seguridad (RD 311/2022), sin duplicar la carga documental.
La consultoría ISO 27001 y ENS encaja en cualquiera de estos escenarios:
Entregables documentados, alineados con todos los requisitos de ISO/IEC 27001:2022:
ISO/IEC 27001:2022 sustituyó la estructura del Anexo A respecto a la versión 2013: los 114 controles de la versión anterior se reorganizaron en 93 controles distribuidos en cuatro categorías temáticas. La nueva estructura facilita el mapeo con marcos como el ENS y simplifica la trazabilidad para el auditor externo.
El Esquema Nacional de Seguridad regulado por el Real Decreto 311/2022, de 3 de mayo, es de obligado cumplimiento para Administraciones Públicas y, por extensión, para empresas privadas que les prestan servicios con acceso, gestión o tratamiento de información del sector público. La categorización del sistema sobre las cinco dimensiones de seguridad —disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad— determina si el régimen aplicable es BÁSICA, MEDIA o ALTA, y con ello el formato de la evaluación regular bienal.
Alcance del servicio ENS de Step Quality:
Importante — qué incluye y qué no: el servicio cubre la evaluación previa, el diagnóstico técnico y la preparación documental. La implantación completa de los controles ENS y la auditoría regular formal de certificación se realizan en coordinación con un implantador especializado o directamente con la entidad acreditada por ENAC en categorías MEDIA y ALTA. La consultoría ENS de Step Quality se apoya en formación específica acreditada del portal Ángeles del CCN-CERT.
La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la NIS original ampliando significativamente su ámbito de aplicación. Está pendiente de transposición formal al ordenamiento español a través de la futura Ley NIS2. Afecta a entidades esenciales (energía, transporte, banca, sanidad, infraestructura digital, administración pública, entre otros) y a entidades importantes (servicios postales, gestión de residuos, fabricación, proveedores digitales, investigación), así como a su cadena de suministro.
En el análisis de contexto del SGSI (cláusula 4 de ISO 27001) se identifica si la organización está sujeta a NIS2 y, en ese caso, se documentan los requisitos aplicables como parte integrada del sistema, en coordinación con el área jurídica de la organización. La especificación detallada de los requisitos NIS2 y su transposición legal es responsabilidad del asesor jurídico de la organización; Step Quality colabora desde la perspectiva del SGSI para asegurar que los controles técnicos y organizativos del Anexo A respondan a esa exposición regulatoria.
Plazo orientativo para una organización IT de complejidad media: 6 a 12 meses según madurez técnica de partida. Cuando ya existen controles técnicos maduros (gestión de identidades, copias de seguridad, monitorización), el plazo puede reducirse:
El SGSI se diseña para cubrir simultáneamente los requisitos de los marcos aplicables, sin duplicar documentación:
Primera hora de diagnóstico gratuita. Respuesta en menos de 24 horas con un plan de acción concreto, calendario realista y una propuesta económica acotada por alcance y marcos aplicables.
Solicitar diagnóstico gratuito → WhatsAppPara licitaciones con requisito de evaluación ENS, auditorías externas previstas en menos de 30 días o renovaciones contractuales urgentes, respuesta a la solicitud en menos de 48 horas con propuesta de diagnóstico exprés, según disponibilidad de agenda. Evaluación del gap real entre la situación actual y los controles exigidos, con plan de acción priorizado antes del plazo. Sin permanencia.
Teléfono: 641 473 776 · Email: martamendoza@stepquality.com
Una vez implantado el SGSI, el ciclo continúa con auditoría interna obligatoria (cláusula 9.2), formación en concienciación de seguridad y mantenimiento del sistema: