Certificación ISO 27001, ENS e ISO 42001 con Nexo SGSI: la plataforma con la que nos certificamos nosotros

Hemos superado la auditoría de certificación de OCA Global (entidad acreditada por ENAC) en las tres normas, del 17 al 27 de agosto de 2026, sin ninguna no conformidad. Los certificados se emiten en las semanas siguientes al informe; en cuanto los tengamos, publicaremos aquí sus números y el alcance. Todo el sistema de gestión, de la política de seguridad al último registro, vive en Nexo SGSI.

11.900 € por una norma (ISO 27001 o ENS categoría MEDIA), 16.900 € por dos y 21.900 € por las tres, con doce meses de plataforma incluidos. La auditoría de certificación se contrata aparte con la entidad acreditada que elijas: para una pyme suele costar entre 2.000 y 5.500 € según jornadas. Compáralo con una consultoría de implantación tradicional, que en España cuesta entre 8.000 y 30.000 € el primer año y no deja ninguna herramienta detrás.

Nosotros fuimos del primer commit del módulo a la auditoría en doce semanas, construyendo la herramienta a la vez. Con la plataforma hecha, el plan de trabajo va de doce a dieciséis semanas según tu punto de partida, y la mayor parte no es papeleo: es operar el sistema para que exista evidencia con fechas. Después hay que sumar la disponibilidad de la entidad certificadora, que suele ser de semanas. Para una primera estimación de tu caso, haz el autodiagnóstico: doce preguntas y te dice qué te falta.

El Esquema Nacional de Seguridad (Real Decreto 311/2022) fija las medidas de seguridad de los sistemas que soportan servicios de la Administración, y obliga también a las empresas que le prestan servicios: los pliegos lo exigen. Los sistemas de categoría BÁSICA pueden autodeclarar la conformidad; los de categoría MEDIA y ALTA necesitan la certificación de una entidad acreditada por ENAC. Nexo SGSI lleva las 73 medidas del Anexo II con su madurez, las 110 preguntas de categoría ALTA y genera el informe INES.

La ISO/IEC 42001 es la norma de sistemas de gestión de inteligencia artificial: gobierna qué IA usas o desarrollas, con qué datos, qué impactos tiene y quién responde. Comparte estructura con la 27001 (por eso en Nexo SGSI las tres normas se cruzan) y es lo que un cliente o un regulador pedirá a quien opere IA. Un matiz importante: la certificación 42001 no otorga presunción de conformidad con el Reglamento Europeo de IA; eso lo darán las normas armonizadas que publique la UE. Para el reglamento tenemos un servicio propio de cumplimiento del EU AI Act.

Dejar de sostener el sistema a mano. Migramos tus documentos, tu declaración de aplicabilidad y tus evidencias; a partir de ahí el calendario del año reparte las obligaciones, los recordatorios llegan solos, los indicadores se registran y, cuando toca el seguimiento, el auditor entra con su cuenta y lo encuentra todo. Cuesta 590 €/mes con compromiso anual y usuarios ilimitados dentro del alcance.

Si la auditoría de certificación deja no conformidades mayores, seguimos acompañándote sin coste adicional (plataforma y equipo) hasta que las cierres y certifiques. La decimos en voz alta porque podemos: nuestra propia auditoría de las tres normas a la vez terminó sin ninguna no conformidad. La única condición es la obvia: que tu equipo opere el sistema y ejecute el plan que pactamos, porque la evidencia no se puede inventar la semana antes.

ENS Básica exprés (3.900 €) es para quien necesita entrar ya en el mercado público: la categoría BÁSICA admite autoevaluación y Declaración de Conformidad sin auditoría externa, y muchos pliegos pequeños se conforman con ella. Cuando un pliego exija MEDIA, el camino ya está andado. El self-service (295 €/mes, compromiso anual) es la plataforma sola, sin acompañamiento: para responsables de seguridad que ya saben lo que hacen o para quien viene de la mano de una consultora partner.

Todo lo de Mantén más lo que piden los sistemas exigentes: categoría ALTA y varias normas dentro del mismo alcance, el informe INES gestionado por nosotros y soporte prioritario. Cuesta 1.190 €/mes con compromiso anual. Es el tier natural para medianas empresas y para quien sostiene ALTA con un equipo pequeño.

Sí. La modalidad on-premise es la misma aplicación empaquetada en Docker e instalada en tu infraestructura o en tu nube privada. No necesita ningún servicio externo, ninguna clave de IA ni conexión con Kiwop: solo un servidor de correo para los avisos. Cuesta 9.900 € la instalación y 2.900 €/año las actualizaciones y el soporte. Es la opción natural para administraciones y para sistemas cuyos datos no pueden salir de casa.

El módulo SGSI no usa IA para nada de lo que acredita: firmas, rastro, catálogos e indicadores son código convencional y determinista, porque un auditor no acepta una evidencia que un modelo pudo haber inventado. La IA de Nexo vive en otros módulos (asistente y agentes), y en el SGSI es el objeto gobernado por la ISO 42001, no la herramienta.

Te los llevas enteros. Los documentos son markdown, los registros están en PostgreSQL y los informes en PDF: se exportan. En on-premise la licencia es contractual, sin candados técnicos. No vendemos dependencia; vendemos un sistema que funciona y un equipo que lo conoce.

El Kit Consulting incluía la preparación del SGSI para la ISO 27001 y la declaración de aplicabilidad del ENS, con bonos de 12.000 a 24.000 € para empresas de 10 a 249 empleados, pero está cerrado desde el 31 de mayo de 2026. La orden que lo regula permite reabrirlo con fondos sobrantes; el día que ocurra lo publicamos en nuestra página de estado de las ayudas. Mientras tanto, el precio cerrado es el precio.

En agosto de 2026, ninguna de las plataformas internacionales de compliance (Vanta, Drata, Secureframe, Sprinto) incluye el ENS en su catálogo público de marcos, y las suites españolas que sí lo cubren no publican precios ni llevan la ISO 42001. Nexo SGSI reúne las tres normas cruzadas en una consola, con precio publicado, opción on-premise sin servicios externos y una prueba que ninguna otra puede enseñar: nuestra propia auditoría de certificación superada sin no conformidades con este mismo sistema.