Certificació ISO 27001, ENS i ISO 42001 amb Nexo SGSI: la plataforma amb què ens certifiquem nosaltres

Hem superat l'auditoria de certificació d'OCA Global (entitat acreditada per ENAC) en les tres normes, del 17 al 27 d'agost de 2026, sense cap no conformitat. Els certificats s'emeten en les setmanes següents a l'informe; tan bon punt els tinguem, publicarem aquí els seus números i l'abast. Tot el sistema de gestió, de la política de seguretat fins a l'últim registre, viu a Nexo SGSI.

11.900 € per una norma (ISO 27001 o ENS categoria MITJANA), 16.900 € per dues i 21.900 € per les tres, amb dotze mesos de plataforma inclosos. L'auditoria de certificació es contracta a part amb l'entitat acreditada que triïs: per a una pime sol costar entre 2.000 i 5.500 € segons jornades. Compara-ho amb una consultoria d'implantació tradicional, que a Espanya costa entre 8.000 i 30.000 € el primer any i no deixa cap eina darrere.

Nosaltres vam anar del primer commit del mòdul a l'auditoria en dotze setmanes, construint l'eina alhora. Amb la plataforma feta, el pla de treball va de dotze a setze setmanes segons el teu punt de partida, i la major part no és paperassa: és operar el sistema perquè existeixi evidència amb dates. Després cal sumar la disponibilitat de l'entitat certificadora, que sol ser de setmanes.

L'Esquema Nacional de Seguretat (ENS) (Reial Decret 311/2022) fixa les mesures de seguretat dels sistemes que donen suport a serveis de l'Administració, i obliga també les empreses que li presten serveis: els plecs ho exigeixen. Els sistemes de categoria BÀSICA poden autodeclarar la conformitat; els de categoria MITJANA i ALTA necessiten la certificació d'una entitat acreditada per ENAC. Nexo SGSI porta les 73 mesures de l'Annex II amb la seva maduresa, les 110 preguntes de categoria ALTA i genera l'informe INES.

La ISO/IEC 42001 és la norma de sistemes de gestió d'intel·ligència artificial: governa quina IA fas servir o desenvolupes, amb quines dades, quins impactes té i qui en respon. Comparteix estructura amb la 27001 (per això a Nexo SGSI les tres normes es creuen) i és el que un client o un regulador demanarà a qui operi IA. Un matís important: la certificació 42001 no atorga presumpció de conformitat amb el Reglament Europeu d'IA; això ho donaran les normes harmonitzades que publiqui la UE. Per al reglament tenim un servei propi de compliment de l'EU AI Act.

Deixar de sostenir el sistema a mà. Migrem els teus documents, la teva declaració d'aplicabilitat i les teves evidències; a partir d'aquí el calendari de l'any reparteix les obligacions, els recordatoris arriben sols, els indicadors es registren i, quan toca el seguiment, l'auditor entra amb el seu compte i s'ho troba tot. Costa 590 €/mes amb compromís anual i usuaris il·limitats dins de l'abast.

Si l'auditoria de certificació deixa no conformitats majors, continuem acompanyant-te sense cost addicional (plataforma i equip) fins que les tanquis i certifiquis. Ho diem en veu alta perquè podem: la nostra pròpia auditoria de les tres normes alhora va acabar sense cap no conformitat. L'única condició és l'òbvia: que el teu equip operi el sistema i executi el pla que pactem, perquè l'evidència no es pot inventar la setmana abans.

ENS Bàsica exprés (3.900 €) és per a qui necessita entrar ja al mercat públic: la categoria BÀSICA admet autoavaluació i Declaració de Conformitat sense auditoria externa, i molts plecs petits en tenen prou. Quan un plec exigeixi MITJANA, el camí ja està fet. El self-service (295 €/mes, compromís anual) és la plataforma sola, sense acompanyament: per a responsables de seguretat que ja saben què fan o per a qui ve de la mà d'una consultora partner.

Tot el de Manté més el que demanen els sistemes exigents: categoria ALTA i diverses normes dins del mateix abast, l'informe INES gestionat per nosaltres i suport prioritari. Costa 1.190 €/mes amb compromís anual. És el tier natural per a mitjanes empreses i per a qui sosté ALTA amb un equip petit.

Sí. La modalitat on-premise és la mateixa aplicació empaquetada en Docker i instal·lada a la teva infraestructura o al teu núvol privat. No necessita cap servei extern, cap clau d'IA ni connexió amb Kiwop: només un servidor de correu per als avisos. Costa 9.900 € la instal·lació i 2.900 €/any les actualitzacions i el suport. És l'opció natural per a administracions i per a sistemes les dades dels quals no poden sortir de casa.

El mòdul SGSI no fa servir IA per a res del que acredita: signatures, rastre, catàlegs i indicadors són codi convencional i determinista, perquè un auditor no accepta una evidència que un model hauria pogut inventar. La IA de Nexo viu en altres mòduls (assistent i agents), i al SGSI és l'objecte governat per la ISO 42001, no l'eina.

T'emportes-les senceres. Els documents són markdown, els registres estan en PostgreSQL i els informes en PDF: s'exporten. En on-premise la llicència és contractual, sense cadenats tècnics. No venem dependència; venem un sistema que funciona i un equip que el coneix.

El Kit Consulting incloïa la preparació del SGSI per a la ISO 27001 i la declaració d'aplicabilitat de l'ENS, amb bons de 12.000 a 24.000 € per a empreses de 10 a 249 empleats, però està tancat des del 31 de maig de 2026. L'ordre que el regula permet reobrir-lo amb fons sobrants; el dia que passi, ho publiquem a la nostra pàgina d'estat de les ajudes. Mentrestant, el preu tancat és el preu.

L'agost de 2026, cap de les plataformes internacionals de compliance (Vanta, Drata, Secureframe, Sprinto) inclou l'ENS al seu catàleg públic de marcs, i les suites espanyoles que sí que el cobreixen no publiquen preus ni porten la ISO 42001. Nexo SGSI reuneix les tres normes creuades en una consola, amb preu publicat, opció on-premise sense serveis externs i una prova que cap altra pot ensenyar: la nostra pròpia auditoria de certificació superada sense no conformitats amb aquest mateix sistema.