Proceso de certificación

Certificación de sistemas de gestión

1. Solicitud

Un representante autorizado de la organización presenta la solicitud de certificación inicial a través del formulario de la web o enviando a IGC el cuestionario de datos del cliente por cualquier vía: correo electrónico, a través de un representante de IGC, etc.

2. Revisión de la solicitud

IGC revisa la solicitud y determina los requisitos de la auditoría, las jornadas necesarias, la competencia que debe tener el equipo auditor, su capacidad para realizar la certificación y que no existan riesgos para la imparcialidad. Puede que le pidamos información adicional para completar la solicitud. Si no pudiéramos aceptarla, le informaremos de ello.

3. Programa de auditorías

Con la solicitud aceptada, IGC elabora un programa de auditorías para todo el ciclo de certificación de tres años, que cubre todos los requisitos del sistema de gestión y se actualiza en cada auditoría.

Si desea transferir a IGC un certificado emitido por otra entidad, solo es posible si está cubierto por la acreditación de un firmante del acuerdo de reconocimiento multilateral (MLA) de IAF. En caso contrario, se trata como una certificación nueva.

4. Oferta y aceptación

IGC le envía la oferta de certificación. Al aceptarla por escrito, acepta también las Condiciones del Servicio de Certificación y las Reglas de Uso de la Marca de certificación.

5. Equipo auditor y plan de la Etapa 1

IGC designa un equipo auditor técnicamente cualificado y libre de cualquier conflicto de interés, y le envía el plan de la auditoría de Etapa 1 con su composición.

6. Auditoría de Etapa 1

Se realiza en sus instalaciones y revisa la documentación, el alcance, el grado de implantación y de comprensión del sistema de gestión y las condiciones particulares del centro. Sirve también para planificar la Etapa 2 y acordar su fecha.

Recibirá un informe con las conclusiones, los aspectos que podrían dar lugar a no conformidades en la Etapa 2 y, si fuera necesario, la indicación de aplazar o cancelar la Etapa 2. Antes de la Etapa 2 debe corregir o resolver las observaciones detectadas, que se revisarán en esa auditoría.

Transferencias: en lugar de la Etapa 1, se firma una solicitud de transferencia y IGC pide a la entidad anterior la copia del certificado, el último informe de auditoría y el estado de las no conformidades. Un auditor revisa esta documentación y la Comisión de Certificación decide sobre la transferencia. El certificado transferido mantiene el calendario de auditorías de la entidad anterior, y durante la transferencia no es posible ampliar ni reducir su alcance.

7. Auditoría de Etapa 2

Debe realizarse en un plazo máximo de seis meses desde la entrega del informe de Etapa 1. Evalúa la implantación, la capacidad y la eficacia del sistema de gestión, incluidas las actividades de seguimiento, medición y control. En los sistemas de seguridad y salud en el trabajo, la Etapa 2 se realiza en las instalaciones para comprobar los controles operacionales y la identificación de peligros y riesgos, aunque algunos aspectos documentales pueden revisarse a distancia.

Recibirá un informe con las conclusiones y las evidencias de ambas etapas. Si no está de acuerdo con alguna no conformidad, puede presentar una apelación.

8. Plan de acciones correctivas

Si se han detectado no conformidades, debe enviar a IGC un plan de acciones correctivas en un plazo máximo de 30 días hábiles desde la entrega del informe de Etapa 2. El plan debe incluir el análisis del alcance de cada no conformidad, las correcciones, el análisis de causas, las medidas de contención si proceden, las acciones correctivas, los plazos y, para las no conformidades mayores, las evidencias de su implantación.

IGC comprueba que el plan es adecuado y eficaz revisando el plan y los documentos modificados, revisando las evidencias aportadas o, si es necesario, mediante una auditoría especial, presencial o en remoto. Le informaremos de si el plan es aceptable o si hace falta aportar más evidencias o realizar esa auditoría. Si las correcciones no pueden verificarse en los seis meses siguientes al último día de la Etapa 2, habrá que repetir la Etapa 2 antes de la decisión.

9. Decisión de la Comisión de Certificación

La Comisión de Certificación evalúa el expediente. Sus miembros son personas distintas de las que realizaron las auditorías, con la cualificación técnica necesaria y sin conflictos de interés. Puede decidir:

• Conceder la certificación, con o sin observaciones.
• Realizar una auditoría especial, completa o limitada, para verificar las acciones correctivas antes de decidir.
• Repetir la auditoría de Etapa 2 si han pasado seis meses sin resolver una no conformidad mayor.
• Realizar una auditoría especial de una parte del alcance que no se haya podido observar en la Etapa 2.
• Denegar la certificación.

Le comunicaremos la decisión. Si no está de acuerdo, puede presentar una apelación.

10. Certificado

IGC emite el certificado de conformidad con la norma correspondiente y lo registra en IAF CertSearch para su consulta pública. El certificado es válido durante tres años, salvo en periodos de transición a nuevas versiones de las normas o en certificados transferidos, en los que puede ser menor.

11. Mantenimiento de la certificación

Para mantener la certificación debe seguir cumpliendo los requisitos de la norma y las condiciones de la oferta, y realizar las auditorías de seguimiento anuales, en las que también puede ampliar o reducir el alcance. Debe informar a IGC sin demora de cualquier incidente grave o incumplimiento legal que haya requerido la intervención de la autoridad competente.

El certificado puede suspenderse si:

• El sistema de gestión deja de cumplir de forma persistente o grave los requisitos de la certificación.
• No permite realizar las auditorías con la periodicidad requerida, o las auditorías especiales necesarias.
• No acepta la presencia de ENAC como observador en una auditoría planificada.
• Lo solicita voluntariamente.
• No cumple los compromisos económicos acordados y tiene facturas pendientes con IGC.

Durante la suspensión, el certificado deja de ser válido temporalmente y debe retirar toda la publicidad que haga referencia a él. Cuando se resuelva la causa, puede solicitar su restauración; si no, la certificación se retira. Estas decisiones las toma la Comisión de Certificación.

12. Renovación

Le recomendamos solicitar la renovación con unos cuatro meses de antelación. Todo el proceso, auditoría y decisión de la Comisión incluidas, debe completarse antes de que venza el certificado; de lo contrario, no es posible ampliar su validez. En periodos de transición a nuevas versiones de las normas estos plazos pueden variar: consúltenos.

Certificación de conformidad con el ENS

1. Solicitud

Un representante autorizado presenta la solicitud de certificación de conformidad con el Esquema Nacional de Seguridad, según el Real Decreto 311/2022, a través del formulario de la web o enviando el cuestionario de datos del cliente, cumplimentado y firmado, a [email protected].

2. Revisión de la solicitud

IGC revisa la solicitud conforme al Real Decreto 311/2022 y determina los requisitos de la auditoría, las jornadas necesarias, la competencia del equipo auditor, su capacidad para realizarla y la ausencia de conflictos de interés. Los sistemas de información auditados deben cumplir además:

• Los criterios generales de auditoría y certificación del CCN-CERT (IC-01/19, edición de 2025).
• Las guías de aplicación del ENS del Centro Criptológico Nacional (serie CCN-STIC 800).
• Las Instrucciones Técnicas de Seguridad de conformidad con el ENS, auditoría de la seguridad de los sistemas de información, notificación de incidentes de seguridad e informe del estado de la seguridad.

Puede que le pidamos información adicional. Si no pudiéramos aceptar la solicitud, le informaremos de ello.

3. Oferta y aceptación

La Secretaría Técnica le envía por correo electrónico la oferta de certificación. Al aceptarla, firma las Condiciones del Servicio de Certificación de Conformidad con el ENS y las Reglas de Uso del Distintivo de Conformidad, y se compromete a cumplir en todo momento los requisitos de certificación de la norma UNE-EN ISO/IEC 17065 y del ENS.

4. Equipo auditor y plan de auditoría

IGC designa un equipo auditor técnicamente cualificado y libre de conflictos de interés, y le envía por correo electrónico el plan de auditoría con su composición. Puede pedir información sobre los antecedentes de cada auditor y objetar su designación, de forma justificada y con tiempo suficiente para que IGC pueda cambiar el equipo. Para confirmar su aceptación, debe devolver el plan firmado.

5. Auditoría

La auditoría verifica el cumplimiento de los requisitos del ENS y puede ser presencial, en remoto (tras un análisis de riesgos que confirme su viabilidad) o mixta. Recibirá un informe con las evidencias, las conclusiones y uno de estos dictámenes:

• Favorable: no se ha detectado ninguna no conformidad.
• Favorable con no conformidades: debe presentar un plan de acciones correctivas en el plazo máximo de un mes desde la firma del informe.
• Desfavorable: hay un número significativo de no conformidades mayores que no pueden resolverse con un plan de acciones correctivas. Se requiere una auditoría extraordinaria, limitada a esas no conformidades, en un plazo máximo de seis meses desde la firma del informe.

El dictamen no supone por sí mismo la concesión del certificado, que depende de la evaluación técnica del expediente (la revisión completa del proceso, los informes de auditoría y el análisis del plan de acciones correctivas, revisado por el auditor jefe cuando proceda) y de la decisión de la Comisión de Certificación. IGC no puede conceder la certificación mientras existan no conformidades sin un plan de acciones correctivas evaluado satisfactoriamente. Si no está de acuerdo con alguna no conformidad, puede presentar una apelación.

6. Plan de acciones correctivas

Debe entregarlo en un plazo máximo de un mes desde la firma electrónica del informe. IGC comprueba que las correcciones, el análisis del alcance y de las causas, las acciones correctivas, las evidencias y los plazos son adecuados y eficaces para evitar que las no conformidades se repitan.

7. Revisión técnica y decisión

Un revisor técnico del ENS cualificado por IGC revisa el expediente. Después, la Comisión de Certificación se reúne para ratificar el proceso de certificación, a partir de la declaración del auditor jefe. Le comunicaremos la decisión; si no está de acuerdo, puede presentar una apelación.

8. Certificado y Distintivo de Conformidad

IGC emite el Certificado de Conformidad con el ENS para la categoría del sistema de información: BÁSICA, MEDIA o ALTA. Es válido durante dos años, salvo en periodos de transición del Esquema, en los que puede ser menor.

Debe mantener el sistema certificado y hacer un uso correcto del Distintivo de Conformidad según sus reglas de uso. Cuando proceda, debe enlazar el Distintivo y el certificado desde su página web o sede electrónica. IGC revisa cada seis meses que los distintivos se exhiben correctamente.

Cualquier persona puede comprobar mediante el código QR del certificado si está en vigor y si una actividad o ubicación está incluida en su alcance. La relación de organizaciones del sector público certificadas puede consultarse en la web del CCN.

9. Auditorías extraordinarias y suspensión

Es necesaria una auditoría extraordinaria:

• Para ampliar o reducir el alcance de la certificación.
• Cuando haya modificaciones sustanciales en los sistemas de información que puedan afectar a las medidas de seguridad requeridas.
• Para pasar a una categoría superior.

Si no han pasado más de seis meses desde la última auditoría ordinaria, la auditoría extraordinaria puede limitarse a los cambios realizados.

El certificado puede suspenderse si se incumplen las Reglas de Uso del Distintivo o las Condiciones del Servicio de Certificación. Cuando se resuelva la causa, puede solicitar su restauración; si no, la certificación se retira. Estas decisiones las toma la Comisión de Certificación.

Descargar los documentos