El registro público de certificaciones ENS del Centro Criptológico Nacional tenía 3.986 certificados el 29 de agosto de 2026, y 2.509 son de empresas privadas. De esos, 2.126 se concedieron en 2025 y 2026. Dicho de otra forma: el 85 % del ENS empresarial que existe hoy en España se concedió en los últimos veinte meses. Descargamos el registro entero, lo procesamos y esto es lo que cuenta.
Fuente única: el registro público de Certificaciones de Conformidad con el ENS del CCN (gobernanza.ccn-cert.cni.es/certificados), descargado y procesado por Kiwop el 29 de agosto de 2026. Actualizaremos el estudio cada trimestre.
Cuántos certificados ENS hay en España en 2026
3.986 en total: 2.509 de empresas privadas y 1.477 del sector público. El dato que descoloca es el reparto, porque el Esquema Nacional de Seguridad nació para ordenar la seguridad de la Administración y hoy hay casi dos certificados de empresa por cada uno de organismo público.
La explicación está en el Real Decreto 311/2022. El ENS no alcanza solo a los sistemas de la Administración, también a las empresas que le prestan servicios, y los pliegos lo trasladan a sus proveedores tecnológicos. Para muchas empresas, el certificado dejó de ser un sello de seguridad y pasó a ser la llave de entrada al mercado público.
El 85 % de los certificados de empresa se concedió en 2025 y 2026
De los 2.509 certificados de empresa del registro, 2.126 llevan fecha de concesión de 2025 o 2026. Antes de 2023 había diez en total, en todo el país.
2026 ya ha superado a 2025 entero con cuatro meses por delante. El ritmo medio del año va por 144 certificados de empresa nuevos al mes, y julio marcó el récord con 209. Esa media es conservadora, porque incluye un agosto contado a mitad de mes.
Lo que muestra la curva no es una moda. Es un mercado que se cerró de golpe para quien no tiene el certificado, y que se está llenando a la velocidad a la que las certificadoras pueden auditar.
Uno de cada tres certificados de empresa es de categoría ALTA
El 37,1 % de los certificados de empresa son de categoría ALTA, frente al 61,5 % de MEDIA. La categoría BÁSICA es testimonial: 36 certificados, el 1,4 %.
Los dos extremos se explican solos si se conoce la norma. La categoría BÁSICA admite autodeclaración de conformidad, así que casi nadie gasta una auditoría en ella y por eso apenas aparece en el registro. MEDIA y ALTA exigen certificación por una entidad acreditada por ENAC, con auditoría de por medio, y son las que dejan rastro público.
La sorpresa es el 37 % en ALTA. La categoría depende de la valoración de los activos y del impacto de un incidente, no del gusto del proveedor, y en la práctica la fija el sistema al que das servicio. Un tercio del mercado por encima de MEDIA significa que los pliegos están tirando hacia arriba más de lo que se asume cuando se presupuesta un proyecto. Si tu cliente potencial es una administración con datos sensibles, categoriza el sistema antes de pedir precios: es la decisión que más dinero mueve de todo el proyecto.
662 certificados de empresa caducan antes de junio de 2027
Entre septiembre de 2026 y mayo de 2027 caducan 662 certificados de empresa, uno de cada cuatro de los que hay en el registro. La vigencia típica son dos años: 2.359 de los certificados que tienen las dos fechas completas duran exactamente eso.
Esa ola es la consecuencia aritmética del pico de 2024 y 2025. Quien entró en la primera oleada tiene ahora una renovación por delante, y renovar no es reimprimir el documento. El auditor pide evidencia operada durante el ciclo: revisiones de accesos con su fecha, incidentes tratados, formación registrada, cambios aprobados. Un cuerpo documental impecable y sin rastro de uso no renueva.
Un dato que llama la atención en sentido contrario: solo 4 certificados constan caducados sin renovar. Hasta ahora, quien se certifica sigue. Los próximos nueve meses son la primera prueba real de si eso aguanta, y es la parte del estudio que más nos interesa volver a mirar en el próximo trimestre.
Tres certificadoras firman más de la mitad del mercado
Applus, OCA Global y AENOR acumulan 1.417 certificados de empresa, el 56,5 % del total. Las diez primeras entidades suman 2.235, casi nueve de cada diez.
Esta concentración tiene un efecto práctico que conviene tener en cuenta al planificar: la agenda. Si tres entidades absorben la mitad de un mercado que crece a 144 certificados al mes, la fecha de auditoría se pide con semanas de antelación y no siempre la eliges tú. Nosotros pasamos la nuestra con OCA Global en agosto de 2026, y la agenda fue lo primero que bloqueamos del proyecto.
Madrid concentra 3 de cada 10 certificados, y la cola larga es mayor
Madrid reúne 747 certificados de empresa, el 29,8 %. Barcelona va segunda con 245, Valencia tercera con 78, y después vienen Sevilla (64) y Zaragoza (58).
Las cinco primeras localidades suman 1.192 certificados. El resto, 1.317, está repartido por toda España: la cola larga pesa más que las cinco capitales juntas. Es coherente con quién compra aquí. Los clientes no son solo los ministerios, son ayuntamientos, diputaciones, universidades y consorcios de cualquier provincia, y sus proveedores están cerca.
Para una empresa fuera de Madrid esto es una buena noticia y un aviso a la vez. El ENS no lo gana la proximidad, lo gana el certificado, y ya hay más de mil trescientos certificados fuera de esas cinco localidades compitiendo por los mismos concursos.
Qué significa el registro si le vendes a la Administración y no estás en él
Significa que cada mes entran unos 144 competidores certificados a tu mercado, y que el registro es público. Cualquiera puede consultarlo, incluido el técnico que valora tu oferta y el competidor que prepara la suya.
Tres consecuencias prácticas, con los números de este estudio en la mano:
- La categoría manda sobre el presupuesto. Con el 37 % del mercado en ALTA, dar por hecho que te basta con MEDIA es la vía rápida a rehacer el proyecto. Categoriza el sistema primero.
- La ventana se está cerrando por arriba. En 2023 el certificado diferenciaba. Con 2.509 certificados en circulación, en 2026 ya no diferencia: lo que hace es dejarte presentarte.
- El coste real es el segundo año. El certificado dura dos años y hay 662 a punto de caducar. Si la evidencia no nace sola al trabajar, la renovación cuesta casi lo mismo que la implantación.
Nosotros pasamos por ahí en agosto de 2026: Kiwop superó la auditoría de certificación en ENS categoría MEDIA, ISO 27001 e ISO 42001 a la vez, con OCA Global, sin ninguna no conformidad. Decimos auditoría superada y no certificados a propósito, porque los certificados los emite el comité de la entidad después. La conclusión que nos llevamos fue poco romántica: el papeleo no es la parte difícil, la parte difícil es la evidencia con fecha, y solo existe si el sistema la genera mientras trabajas.
Si lo que te trae aquí es el presupuesto, tenemos el desglose completo en cuánto cuesta certificarse en ISO 27001 en España, con los mismos criterios de fuentes.
Metodología
Fuente única: el registro público de Certificaciones de Conformidad con el ENS del Centro Criptológico Nacional. Descarga y procesado el 29 de agosto de 2026. Sin estimaciones, sin proyecciones y sin cruzar con otras bases de datos.
Cómo contamos, para que puedas replicarlo o discutirlo:
- Contamos certificados, no empresas. Una misma organización puede tener varias entradas por sistemas o alcances distintos, así que 2.509 son certificados de empresa privada, no 2.509 empresas diferentes.
- La separación entre empresa y sector público sale de la naturaleza de la entidad titular tal como consta en el registro.
- El año es el de concesión del certificado que consta en la ficha, no el de la auditoría.
- Anomalías declaradas. Agosto de 2026 está contado a mitad de mes (65 certificados), lo que hace conservadora la media mensual del año. Hay un registro con fecha de concesión en noviembre de 2026, posterior a la descarga, que tratamos como anomalía del registro y no como dato futuro.
- La vigencia se calcula solo sobre los certificados que tienen fecha de concesión y de caducidad completas, por eso ese subtotal (2.359) es menor que el total.
Si detectas un error en nuestro procesado, escríbenos y lo corregimos en la siguiente actualización trimestral, con la corrección anotada.
Por dónde empezar
Si le vendes a la Administración y todavía no estás en el registro, el primer paso no es pedir presupuestos, es saber en qué punto estás. Nuestro autodiagnóstico de ISO 27001 y ENS son doce preguntas, tres minutos y ningún registro, y te dice qué te falta y qué categoría te toca mirar.
Y si lo que tienes delante es una de esas 662 renovaciones, o una primera certificación con fecha de concurso, Nexo SGSI es la plataforma con la que pasamos nuestra propia auditoría, con los precios publicados en su página. Te lo enseñamos en media hora si nos escribes.
