Qué norma ISO necesita mi empresa: selector de norma ISO

No. Ninguna de las seis (9001, 14001, 27001, 45001, 22301 y 50001) se impone por sí misma con carácter general. Lo obligatorio son las leyes que hay debajo: la Ley 31/1995 de Prevención de Riesgos Laborales obliga a evaluar los riesgos y planificar la prevención desde el primer trabajador (arts. 14.2, 15.1.b y 16.2.a), el RGPD obliga a aplicar medidas técnicas y organizativas apropiadas a la seguridad del tratamiento (art. 32.1) y el RD 56/2016 obliga a las grandes empresas a someterse a una auditoría energética cada cuatro años (art. 3.1). Las normas ISO son una forma ordenada de cumplir esas obligaciones y de poder demostrarlo; el propio RD 56/2016 admite el sistema de gestión certificado como alternativa a la auditoría suelta (art. 3.2.b).

Depende del contrato, y conviene leer el pliego antes que cualquier folleto. Los arts. 93 y 94 de la Ley 9/2017 de Contratos del Sector Público establecen que, en los contratos sujetos a regulación armonizada, cuando el órgano de contratación exija certificados de garantía de la calidad debe referirse a sistemas de aseguramiento basados en la serie de normas de la materia, y cuando exija certificados de gestión medioambiental debe referirse a EMAS o a otras normas de gestión ambiental basadas en las normas europeas o internacionales pertinentes. En los dos casos el órgano de contratación tiene que reconocer certificados equivalentes de otros Estados miembros y aceptar otras pruebas de medidas equivalentes. Fuera de los contratos armonizados manda el pliego concreto, que esta herramienta no puede adivinar.

Ayuda, pero no sustituye a ninguno de los dos. Si prestas servicios o provees soluciones a una entidad del sector público, el Esquema Nacional de Seguridad te alcanza por vía contractual y los pliegos incluirán los requisitos para asegurar la conformidad con el ENS, como la presentación de Declaraciones o Certificaciones de Conformidad (art. 2.3 del RD 311/2022): es un marco propio, distinto de ISO 27001. En protección de datos, el art. 32.3 del RGPD reconoce como elemento de prueba la adhesión a un código de conducta del art. 40 o a un mecanismo de certificación aprobado conforme al art. 42, que no es la certificación ISO 27001. Lo que sí encaja es el fondo: el art. 32.1 exige garantizar confidencialidad, integridad, disponibilidad y resiliencia y verificar de forma regular la eficacia de las medidas, y eso es exactamente lo que estructura un sistema de gestión de seguridad de la información.

Porque la Directiva (UE) 2022/2555 (NIS2) pide las dos cosas en el mismo artículo: su art. 21.2 exige a las entidades esenciales e importantes tanto la gestión de incidentes (letra b) como la continuidad de las actividades, incluidas la gestión de copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis (letra c). Es una directiva, de modo que te alcanza a través de la norma española que la transponga y solo si tu entidad entra en su ámbito; pero marca la dirección de lo que ya piden los clientes grandes y los sectores regulados.

Que la auditoría deja de ser un trámite cada cuatro años. El art. 3.1 del RD 56/2016 obliga a las grandes empresas a auditarse cada cuatro años cubriendo al menos el 85 por ciento del consumo total de energía final de sus instalaciones en territorio nacional, y el art. 3.2 da dos vías para justificarlo: hacer la auditoría suelta (letra a) o aplicar un sistema de gestión energética o ambiental certificado por un organismo independiente, siempre que incluya una auditoría energética conforme a esas mismas directrices (letra b). La segunda vía deja además un sistema que mide y reduce consumo durante todo el ciclo, no solo el año de la auditoría.

Sí. Indícalo en la última pregunta y la herramienta saca ISO 9001 del ranking para recomendarte la siguiente norma. Además te dice cuánto trabajo se comparte: ISO publica sus normas de sistemas de gestión con la Estructura Armonizada y el Anexo SL, es decir, la misma estructura de capítulos con independencia del ámbito de aplicación y partes de texto idéntico entre normas. La política, el análisis del contexto, la gestión de riesgos, el control documental, la auditoría interna y la revisión por la dirección se montan una sola vez y sirven para todas.

Ninguna de las seis es obligatoria por sí misma en España: lo obligatorio son las leyes que hay debajo (LPRL, RGPD, RD 56/2016). La herramienta parte de tu objetivo (licitaciones, incidentes, exportar, clientes grandes o sostenibilidad), lo cruza con tu situación real y ordena las seis normas por puntuación, avisando cuando dos empatan en cabeza.