Qué vale un certificado de un proveedor de software
Para directores, gestores y responsables de protección de datos de clínicas privadas que evalúan proveedores de software y necesitan distinguir entre un certificado verificable y un sello decorativo.
Un certificado es un dato verificable — no una opinión del proveedor. Si no puedes buscarlo en un registro público, no certifica nada.
1. El paisaje de sellos en software sanitario
1.1. Por qué los proveedores muestran sellos
Cuando un proveedor de software clínico compite por un contrato, los sellos de certificación funcionan como atajos de confianza: el director de clínica no tiene que evaluar la seguridad del sistema — el sello dice que alguien ya lo hizo. Ese mecanismo funciona cuando el sello es verificable, su alcance está documentado y la auditoría cubre lo que importa para una clínica. Falla cuando el sello es genérico, autoatribuido o cubre un perímetro que no incluye el servicio que te van a prestar.
1.2. La diferencia entre un certificado y una declaración
Un certificado es un documento emitido por un organismo acreditado que audita al proveedor contra un estándar concreto. Se puede verificar en un registro público: tiene un número, un alcance, una fecha de emisión y una de caducidad. Una declaración es lo que el proveedor dice de sí mismo: «cumplimos el RGPD», «seguimos las mejores prácticas de seguridad», «protegemos tus datos con los más altos estándares». La declaración no tiene registro, no tiene auditoría y no tiene nadie detrás que la haya comprobado. La diferencia entre las dos es la diferencia entre un hecho verificable y una afirmación comercial.
1.3. Los sellos más comunes en el mercado español
Los sellos que aparecen con más frecuencia en las propuestas comerciales de software clínico en España son: ENS (Esquema Nacional de Seguridad), ISO 27001 (gestión de seguridad de la información), «RGPD compliance» (cumplimiento de protección de datos), marcado CE (para software que se clasifica como producto sanitario) y, con menos frecuencia, SOC 2, ISO 27701 y certificaciones de cloud específicas. Cada uno cubre un aspecto distinto, con un rigor distinto y con un alcance que rara vez es el que te imaginas al ver el sello.
2. Esquema Nacional de Seguridad (ENS)
2.1. Qué es y a quién obliga
El ENS (regulado por el Real Decreto 311/2022) establece los requisitos de seguridad para los sistemas de información del sector público español y para los proveedores que les prestan servicios. El ENS tiene tres categorías — básica, media y alta — según la sensibilidad de los datos que trata el sistema. Para datos de salud, la categoría suele ser media o alta. La certificación ENS la emiten entidades de certificación acreditadas por ENAC (Entidad Nacional de Acreditación) y se registra en el catálogo de servicios certificados del CCN (Centro Criptológico Nacional).
2.2. Qué significa que un proveedor tenga ENS
Un proveedor con certificación ENS ha sido auditado por una entidad acreditada contra los controles de seguridad del esquema. Eso incluye: política de seguridad, gestión de riesgos, control de acceso, cifrado, trazabilidad, gestión de incidentes y continuidad del servicio. La certificación tiene un alcance definido — puede cubrir un producto concreto, un servicio cloud específico o toda la organización — y una vigencia de dos años con auditoría de seguimiento anual. Es verificable: puedes buscar al proveedor en el catálogo del CCN-CERT y ver qué servicio está certificado y en qué categoría.
2.3. Lo que el ENS no cubre
El ENS certifica la gestión de seguridad del sistema, no la funcionalidad clínica del software. Un proveedor con ENS categoría alta tiene controles de seguridad rigurosos, pero eso no dice nada sobre si su software registra bien los diagnósticos, si exporta datos en formatos interoperables o si cumple los requisitos funcionales de una historia clínica electrónica. El ENS protege los datos mientras están en el sistema; no garantiza que el sistema haga lo que tu clínica necesita. Son dos evaluaciones distintas que no se sustituyen.
El alcance del certificado importa tanto como su existencia: certifica «el producto X alojado en el centro Y» — no «todo lo que hace el proveedor».
3. ISO 27001: lo que cubre y lo que no
3.1. El estándar internacional de seguridad de la información
ISO 27001 es el estándar internacional para sistemas de gestión de seguridad de la información (SGSI). Lo emite la ISO (International Organization for Standardization) y lo certifican organismos acreditados por los cuerpos nacionales de acreditación — en España, ENAC. Una organización certificada tiene un SGSI que cubre: evaluación de riesgos, controles de seguridad seleccionados del Anexo A, auditoría interna, revisión por la dirección y mejora continua. La certificación dura tres años con auditorías de seguimiento anuales.
3.2. El alcance: lo que más importa leer
El alcance de la certificación ISO 27001 define exactamente qué parte de la organización y qué servicios están cubiertos. Un proveedor puede tener ISO 27001 para su sede corporativa y no para el servicio cloud que te presta. Puede cubrir su infraestructura de red y no su desarrollo de software. Puede cubrir su servicio de hosting y no la aplicación que corre encima. La pregunta que importa no es «¿tienes ISO 27001?» sino «¿el alcance de tu certificación cubre el servicio concreto que me vas a prestar?». El alcance está en el certificado; si no te lo enseñan, la certificación es decorativa.
3.3. Los controles del Anexo A
El Anexo A de ISO 27001 (edición 2022) incluye 93 controles organizados en cuatro temas: organizativos, de personas, físicos y tecnológicos. No todos son obligatorios: la organización selecciona los aplicables según su evaluación de riesgos y documenta por qué excluye los que no aplica (Declaración de Aplicabilidad). Eso significa que dos organizaciones con la misma certificación ISO 27001 pueden tener controles distintos implementados. La certificación garantiza que hay un sistema de gestión; los controles concretos dependen del contexto de cada organización.
Antes de elegir software, conoce las preguntas que debes hacerte
En 30 minutos de análisis gratuito identificamos qué procesos de tu clínica se pueden digitalizar hoy.
4. «Cumplimos el RGPD»: lo que esa frase significa
4.1. No existe un certificado de cumplimiento del RGPD
El RGPD no tiene un certificado oficial que una autoridad de protección de datos emita diciendo «esta organización cumple el RGPD». Lo que el RGPD prevé en su artículo 42 son mecanismos de certificación que los Estados miembros pueden crear, pero en España no hay ninguno operativo para software sanitario a día de hoy. Cuando un proveedor dice «cumplimos el RGPD», está haciendo una declaración propia que nadie ha auditado contra un estándar formal. No es verificable, no tiene registro y no tiene fecha de caducidad.
4.2. Lo que sí se puede comprobar
Lo que sí puedes comprobar es si el proveedor tiene las medidas que el RGPD exige para datos de salud: un Delegado de Protección de Datos (si está obligado), un registro de actividades de tratamiento, un contrato de encargado del tratamiento (artículo 28) con las cláusulas obligatorias, medidas técnicas de seguridad documentadas, y un procedimiento de notificación de brechas. Cada uno de estos elementos es un documento que el proveedor debería poder mostrarte. Si no puede, el «cumplimos el RGPD» se queda en declaración sin sustancia.
4.3. El contrato de encargado del tratamiento
El documento más importante en la relación entre tu clínica y tu proveedor de software no es la certificación — es el contrato de encargado del tratamiento. Ese contrato define: qué datos trata el proveedor, con qué finalidad, qué medidas de seguridad aplica, si subcontrata y a quién, dónde están los datos, qué pasa cuando el contrato termina. Las cláusulas del artículo 28 del RGPD son obligatorias e innegociables. Un proveedor con ISO 27001 pero sin contrato de encargado del tratamiento incumple el RGPD con certificado y todo.
5. Marcado CE en software: cuándo aplica
5.1. Cuándo un software es un producto sanitario
El Reglamento de Productos Sanitarios (MDR) clasifica como producto sanitario al software que tiene una finalidad médica: diagnosticar, prevenir, monitorizar, predecir, pronosticar, tratar o aliviar una enfermedad. Un software de gestión de clínica — agendar citas, facturar, almacenar historias clínicas — no es un producto sanitario porque no tiene finalidad médica. Un software que analiza una imagen de retina para sugerir un diagnóstico sí lo es. La finalidad determina la clasificación, no el entorno donde se usa.
5.2. Lo que el marcado CE significa en software
Si un software se clasifica como producto sanitario, necesita marcado CE para comercializarse en la UE. Eso implica: clasificación de riesgo (Clase I, IIa, IIb o III), evaluación de conformidad, sistema de gestión de calidad (ISO 13485), documentación técnica, vigilancia post-comercialización y, para clases superiores a I, auditoría por un organismo notificado. El marcado CE en software sanitario dice que el producto cumple los requisitos de seguridad y rendimiento del MDR. Es un proceso riguroso y caro — lo que significa que un proveedor que lo exhibe para un software de gestión está vendiendo algo que probablemente no necesita.
5.3. El marcado CE que no necesitas
Un proveedor de software de gestión clínica que exhibe marcado CE puede estar en uno de dos casos: o tiene un módulo con finalidad médica (análisis de imagen, soporte a la decisión clínica) que sí lo necesita, o está usando el sello para dar una impresión de rigor que no corresponde al producto que te vende. El segundo caso es un desperdicio: el coste y la complejidad del marcado CE son altos, y aplicarlos a un software que no los necesita no mejora la seguridad ni la funcionalidad del producto. Pregunta al proveedor qué módulo concreto tiene marcado CE y por qué lo clasificó como producto sanitario.
6. Cómo verificar un certificado en un registro público
6.1. ENS: catálogo del CCN-CERT
Las certificaciones ENS se registran en el catálogo de servicios cualificados del CCN-CERT. Puedes buscar al proveedor por nombre y ver: qué servicio está certificado, en qué categoría (básica, media, alta), quién lo certificó, cuándo y con qué vigencia. Si el proveedor dice que tiene ENS y no aparece en el catálogo, o aparece con un alcance que no cubre lo que te vende, la certificación no te protege. La verificación lleva cinco minutos y te dice si el sello es real o es marketing.
6.2. ISO 27001: el certificado tiene un número
Una certificación ISO 27001 legítima tiene un número de certificado, un organismo certificador acreditado, un alcance definido y una fecha de vigencia. Puedes pedir al proveedor que te muestre el certificado y comprobar que el organismo certificador está acreditado por ENAC (o por un cuerpo de acreditación equivalente en otro país). Si el certificado no tiene número, si el organismo certificador no está acreditado o si el alcance no menciona el servicio que te van a prestar, la certificación no cubre tu relación.
6.3. RGPD: no hay registro, pero hay documentos
Como no existe un certificado RGPD verificable en un registro público, la comprobación es documental. Pide al proveedor: el contrato de encargado del tratamiento (artículo 28), el nombre y datos de contacto de su Delegado de Protección de Datos (si está obligado a tenerlo), y una descripción de las medidas técnicas y organizativas de seguridad. Si puede entregar los tres documentos, tiene un nivel mínimo de formalización. Si no puede, el «cumplimos el RGPD» es una frase sin contenido.
Un proveedor sin certificación puede cumplir; uno con certificación caducada puede no cumplir. Lo que protege es la verificación, no el sello.
7. Las preguntas que un certificado no responde
7.1. ¿Dónde están mis datos?
Ninguna certificación te dice dónde están alojados tus datos — eso está en el contrato y en la documentación de infraestructura. Para datos de salud en una clínica española, los servidores dentro del Espacio Económico Europeo son lo exigible; dentro de España es lo deseable. Un proveedor con ISO 27001 puede tener los datos en cualquier país que cubra su certificación. Un proveedor sin certificación pero con servidores en España y cifrado AES-256-GCM puede ofrecer más garantía práctica que uno con sello y datos fuera de la UE.
7.2. ¿Qué pasa cuando me quiero ir?
Ningún certificado cubre la portabilidad de tus datos cuando cambias de proveedor. Si cancelas el contrato, ¿en qué formato te entregan los datos? ¿En cuánto tiempo? ¿Con qué coste? ¿Se destruyen después? Esas respuestas están en el contrato — o deberían estarlo — y en la lista de preguntas que hay que hacer al proveedor antes de firmar. Un proveedor que tiene todas las certificaciones pero te retiene los datos cuando te quieres ir te ha encerrado con un sello puesto.
7.3. ¿Quién tiene acceso a mis datos dentro del proveedor?
Una certificación de seguridad dice que hay controles de acceso, pero no te dice quiénes tienen acceso a los datos de tus pacientes dentro de la organización del proveedor. ¿Cuántas personas? ¿Con qué roles? ¿Con qué nivel de trazabilidad? ¿Se audita el acceso? Esas son preguntas operativas que van más allá del sello y que importan cuando los datos son historias clínicas con datos sensibles protegidos por el RGPD.
8. Cómo evaluar la seguridad real de un proveedor
8.1. El certificado es el punto de partida, no la conclusión
Un certificado verificable con un alcance que cubra tu servicio es una señal positiva — significa que alguien independiente ha auditado al proveedor contra un estándar concreto. Pero es el punto de partida de la evaluación, no la conclusión. El certificado te dice que el proveedor tiene un sistema de gestión de seguridad; no te dice si es el proveedor adecuado para tu clínica. Para eso necesitas evaluar la funcionalidad, la portabilidad, el soporte, la hoja de ruta regulatoria y la relación contractual — ninguna de las cuales está en el sello.
8.2. Las medidas técnicas concretas
Más allá del sello, lo que protege los datos de tus pacientes son medidas técnicas concretas que puedes preguntar y verificar: cifrado de datos en reposo y en tránsito (AES-256-GCM es el estándar actual), autenticación de doble factor, copias de seguridad con frecuencia y retención documentadas, registro de accesos con trazabilidad, actualizaciones de seguridad con cadencia definida. Un proveedor que puede describir esas medidas con detalle tiene más sustancia que uno que muestra un sello sin poder explicar qué hay debajo.
8.3. La respuesta ante incidentes
Un incidente de seguridad va a ocurrir — la pregunta es cuándo y cómo responde el proveedor. El RGPD exige notificar una brecha de datos personales a la autoridad de control en 72 horas y al afectado sin dilación si hay riesgo alto. Un proveedor serio tiene un plan de respuesta a incidentes documentado, un responsable identificado y un canal de notificación al cliente. Pregunta: ¿cuántas brechas has tenido en los últimos tres años? ¿Cómo las gestionaste? ¿Cuánto tardaste en notificar? La respuesta — o la falta de respuesta — dice más que cualquier sello.
9. Lo que de verdad protege los datos de tus pacientes
9.1. La seguridad como práctica, no como sello
La seguridad de los datos de tus pacientes no es un certificado que se cuelga en la pared — es un conjunto de prácticas que se ejecutan todos los días: cifrado, control de acceso, copias de seguridad, monitorización, actualización, formación del personal. Un proveedor que hace todo eso y no tiene certificación está más seguro que uno que tiene el sello y no mantiene las prácticas. La certificación es la evidencia de la práctica, no su sustituto; si hay que elegir entre los dos, elige la práctica.
9.2. El contrato como protección real
Lo que te protege legalmente no es la certificación del proveedor sino el contrato que firmas con él. El contrato de encargado del tratamiento, las cláusulas de responsabilidad, los SLA de disponibilidad, las condiciones de portabilidad a la salida y las penalizaciones por incumplimiento son los mecanismos que te dan recursos si algo falla. Un proveedor con ISO 27001 y un contrato con cláusulas débiles te deja peor que uno sin sello pero con un contrato bien negociado.
9.3. Tu propia responsabilidad como responsable del tratamiento
Contratar a un proveedor certificado no te exime de tu responsabilidad como responsable del tratamiento de datos de salud. El RGPD te hace responsable de elegir un proveedor que ofrezca garantías suficientes y de verificar que las cumple. Si el proveedor tiene una brecha y tú no habías verificado sus medidas de seguridad, la responsabilidad es compartida. Los certificados del proveedor te ayudan a demostrar diligencia en tu elección, pero no sustituyen tu obligación de supervisar.
Riesgo normativo
¿Tu infraestructura resistiría una inspección de la AEPD?
El RGPD clasifica los expedientes clínicos como datos de categoría especial. Una brecha técnica o un consentimiento mal custodiado puede acarrear sanciones muy elevadas. Solicita un análisis técnico de viabilidad normativa.
10. Preguntas frecuentes sobre certificaciones de proveedores de software clínico
¿Un proveedor sin certificación es necesariamente inseguro?
No. Una certificación es evidencia de que un tercero ha auditado la seguridad, pero la ausencia de certificación no significa ausencia de seguridad. Un proveedor que implementa cifrado AES-256-GCM, tiene los servidores en España, aplica control de acceso estricto, realiza copias de seguridad diarias y tiene un plan de respuesta a incidentes puede ser perfectamente seguro sin tener ISO 27001. Lo que necesitas verificar es si las medidas concretas existen y funcionan. El certificado es una forma cómoda de hacerlo, pero no es la única. Pregunta por las medidas, no solo por el sello.
¿Puedo verificar yo mismo si un proveedor tiene ENS?
Sí. El catálogo de servicios cualificados del CCN-CERT es público y consultable en la web del CCN. Puedes buscar por nombre de empresa o por nombre de servicio. Cada entrada muestra el alcance de la certificación, la categoría (básica, media o alta), el organismo que la emitió, la fecha de emisión y la de caducidad. Si el proveedor dice que tiene ENS y no aparece, o aparece con un alcance que no cubre tu servicio, la certificación no te aplica. La búsqueda lleva menos de cinco minutos.
¿ISO 27001 e ISO 27701 son lo mismo?
No. ISO 27001 certifica un sistema de gestión de seguridad de la información — cómo se protegen los datos en general. ISO 27701 es una extensión de ISO 27001 específica para la gestión de la privacidad — cómo se tratan los datos personales. ISO 27701 no se puede obtener sin ISO 27001: se construye sobre ella. Para un proveedor de software sanitario, ISO 27001 cubre la seguridad de la infraestructura y los datos; ISO 27701 añade los controles específicos de protección de datos personales. Si el proveedor tiene ambas, es una señal más fuerte; si solo tiene 27001, la parte de privacidad queda cubierta por el contrato de encargado del tratamiento, no por la certificación.
¿Un sello de «RGPD compliance» tiene algún valor?
Un sello genérico de «RGPD compliance» que no viene de un mecanismo de certificación reconocido tiene valor informativo pero no probatorio. No hay ninguna autoridad de protección de datos en España que emita un sello oficial de cumplimiento del RGPD para software. Lo que sí existen son auditorías de protección de datos realizadas por consultoras especializadas, que pueden dar un informe de conformidad. Ese informe tiene más sustancia que un sello autoimpuesto, pero tampoco es un certificado oficial. El único documento que realmente vincula al proveedor en materia de protección de datos es el contrato de encargado del tratamiento — y ese lo firmas tú, no lo emite una autoridad.
¿Necesito que mi proveedor tenga ENS si mi clínica es privada?
El ENS es obligatorio para sistemas que tratan datos del sector público. Si tu clínica es privada y no tiene concierto con el servicio autonómico de salud, el ENS no es legalmente obligatorio ni para ti ni para tu proveedor. Pero es deseable: un proveedor con ENS ha demostrado un nivel de seguridad auditado que es especialmente relevante para datos de salud. Si el proveedor tiene ENS para el servicio que te presta, es una garantía adicional. Si no lo tiene, no es un incumplimiento — pero sí deberías verificar que las medidas de seguridad equivalentes existen por otras vías.
¿Qué certificación debería priorizar al evaluar proveedores?
La prioridad depende de tu contexto. Si operas en el ámbito público o tienes concierto, el ENS es relevante y a menudo obligatorio. Para cualquier clínica privada, ISO 27001 con un alcance que cubra tu servicio es la certificación de seguridad más completa y más fácil de verificar. Pero antes de mirar el sello, revisa el contrato de encargado del tratamiento y las medidas técnicas concretas. Un proveedor con buen contrato y buenas medidas sin certificación es mejor opción que uno con sello y contrato débil. La certificación es el tercer filtro, no el primero.
¿Un proveedor puede perder su certificación?
Sí. Las certificaciones tienen vigencia limitada — ISO 27001 dura tres años con auditorías de seguimiento anuales, el ENS dura dos años con seguimiento anual — y pueden retirarse si la auditoría de seguimiento detecta incumplimientos graves. Un proveedor que tenía certificación el año pasado puede no tenerla hoy. Por eso la verificación no es un acto único: debería repetirse al menos en cada renovación de contrato. Pide al proveedor que te notifique cualquier cambio en el estado de sus certificaciones como cláusula contractual.
¿Qué hago si el proveedor se niega a mostrar el alcance de su certificación?
El alcance de una certificación ISO 27001 o ENS no es información confidencial — es el documento que define qué está cubierto por el sello. Si un proveedor exhibe el sello pero se niega a mostrar el alcance, hay dos posibilidades: el alcance no cubre lo que te vende, o el certificado no es lo que parece. En cualquiera de los dos casos, la negativa es una señal de alerta. Tienes derecho, como responsable del tratamiento que va a confiar datos de salud a ese proveedor, a verificar las garantías que dice ofrecer. Si no te deja verificarlas, no las tiene.
Más sobre qué exigirle al proveedor
Cuando la historia clínica viaja a otro centro: qué llega y qué se queda
Un paciente cambia de clínica y pide su historial. Qué parte de la historia viaja, en qué formato,…
Leer artículo →
Quién responde si el software de tu clínica incumple una norma
El reparto de responsabilidad entre la clínica y el proveedor cuando falla el cifrado, la factura o la…
Leer artículo →
Cómo planificar los cambios de tu software clínico
VeriFactu ya obliga, la factura electrónica viene y el EHDS marca fechas hasta 2031. Cómo ordenar los cambios…
Leer artículo →Información adicional
Última actualización: septiembre de 2026.
