Preguntas frecuentes

Una entidad de certificación comprueba, mediante auditorías independientes, que una organización cumple los requisitos de una norma o de un esquema, como ISO 9001, ISO/IEC 27001 o el Esquema Nacional de Seguridad. Si el resultado es favorable, emite un certificado que lo demuestra ante clientes, administraciones y socios. ADOK Certificación audita y certifica; no diseña ni implanta los sistemas que evalúa.

La certificación la concede una entidad de certificación a una organización que cumple una norma. La acreditación la concede el organismo nacional de acreditación (en España, ENAC) a la entidad de certificación, después de evaluar su competencia técnica y su imparcialidad conforme a normas internacionales como ISO/IEC 17021-1. Dicho de otro modo: la acreditación da confianza en que quien certifica lo hace con competencia e imparcialidad.

En la certificación de un sistema de gestión, el proceso habitual es: solicitud y oferta; auditoría inicial en dos fases (preparación y documentación en la fase 1, implantación y eficacia en la fase 2); tratamiento de las no conformidades; decisión de certificación, que toma personal que no ha auditado; emisión del certificado; auditorías de seguimiento y, al final del ciclo, auditoría de renovación.

Un certificado de sistema de gestión ISO tiene un ciclo de tres años. Para mantenerlo se realizan auditorías de seguimiento al menos una vez al año y, antes de que caduque, una auditoría de renovación. Otros esquemas tienen reglas propias: por ejemplo, el Esquema Nacional de Seguridad exige una auditoría ordinaria al menos cada dos años, y las verificaciones, como la de la huella de carbono, se refieren a un periodo concreto. En la oferta te indicamos el ciclo que corresponde.

Sí. Los certificados emitidos bajo acreditación pueden transferirse entre entidades de certificación siguiendo las reglas internacionales de IAF (documento IAF MD 2). Antes de aceptar la transferencia revisamos que el certificado esté en vigor y no suspendido, los informes de las últimas auditorías y el estado de las no conformidades. Si todo es correcto, normalmente se mantiene el ciclo de certificación en curso, sin empezar de cero.

Depende sobre todo de la duración de la auditoría, que se calcula según el número de personas, los centros, la complejidad de la actividad y la norma o normas que quieras certificar. Por eso no hay un precio cerrado: preparamos una oferta para tu caso. El plazo depende de lo preparado que esté tu sistema; lo acordamos contigo al planificar la auditoría.

ENAC es el organismo nacional de acreditación de España. Un certificado emitido bajo acreditación ENAC demuestra que la entidad que lo concede ha sido evaluada y está sometida a supervisión periódica. Gracias a los acuerdos de reconocimiento internacional de IAF y EA, estos certificados se reconocen en muchos países, y administraciones y grandes empresas suelen pedirlos en licitaciones y homologaciones de proveedores.

No. Para garantizar su imparcialidad, una entidad de certificación no puede prestar consultoría sobre los sistemas que certifica ni hacer sus auditorías internas, y tampoco puede vincular la certificación a una consultora concreta: lo exige la norma ISO/IEC 17021-1. Si necesitas ayuda para implantar, puedes contar con tu propio equipo o con una consultora independiente. Lo que sí hacemos es explicarte qué exige la norma y en qué se basan nuestros hallazgos.

Sí. Si tu organización tiene un sistema integrado, por ejemplo de calidad, medio ambiente y seguridad y salud en el trabajo, podemos hacer una auditoría integrada que evalúe todas las normas en la misma visita. Según el grado real de integración del sistema, las reglas de IAF (IAF MD 11) pueden permitir reducir la duración total, y el calendario de auditorías es más sencillo de gestionar.

La fase 1 comprueba si la organización está preparada: se revisan la documentación del sistema, el alcance, los requisitos legales aplicables, la auditoría interna y la revisión por la dirección, y se planifica la fase 2. En la fase 2 se evalúa sobre el terreno que el sistema está implantado y es eficaz: se entrevista a las personas, se observan las actividades y se revisan los registros.

El sistema debe estar implantado y funcionando, no solo documentado. Antes de la fase 2 conviene tener definido el alcance, haber realizado una auditoría interna completa y una revisión por la dirección, y tener identificados los requisitos legales y los riesgos aplicables. También deben existir registros que demuestren que el sistema se aplica en el día a día. En la fase 1 comprobamos estos puntos contigo.

La duración se mide en jornadas de auditor y no la fija libremente la entidad de certificación: se calcula con las reglas de los documentos obligatorios de IAF, como IAF MD 5, y de cada esquema, por ejemplo ISO/IEC 27006-1 para seguridad de la información. Influyen el número de personas que trabajan dentro del alcance, el riesgo y la complejidad de la actividad, los centros y los turnos.

Una no conformidad mayor es un incumplimiento que afecta a la capacidad del sistema para lograr sus resultados previstos, como la falta de un proceso exigido o un fallo sistemático. Una menor es un incumplimiento que no compromete esa capacidad. Las mayores deben corregirse, y verificarse su eficacia, antes de conceder o renovar el certificado; para las menores basta con un plan de acciones aceptado por la entidad.

Escríbenos a info@adokcertificacion.com con el nombre de la organización y, si lo tienes, el número de certificado. Te confirmaremos si está en vigor, suspendido o retirado, y cuál es su alcance. Es una consulta habitual de empresas que homologan a sus proveedores y de administraciones que revisan la documentación de una licitación.

Puedes usarla en tu web, tus documentos comerciales y tus comunicaciones, siempre referida al alcance certificado y respetando las reglas de uso que te entregamos al certificarte. No puede aparecer sobre un producto, su embalaje o un informe de ensayo de forma que sugiera que el producto está certificado, porque lo certificado es el sistema de gestión. Si el certificado está acreditado, la marca de ENAC tiene además sus propias reglas.

Puedes presentar una reclamación sobre nuestro servicio o una apelación contra una decisión de certificación. Las entidades de certificación deben tener un procedimiento público para tratarlas con imparcialidad: las analiza personal que no ha participado en la auditoría ni en la decisión, y te respondemos por escrito. Para iniciarlo, escríbenos a info@adokcertificacion.com.

Sí. ISO 9001 se aplica a organizaciones de cualquier tamaño y sector, públicas o privadas, que fabriquen productos o presten servicios. Pide un sistema de gestión de la calidad proporcionado a cada organización: los mismos requisitos se cumplen de forma distinta en una pequeña empresa que en un grupo con varios centros. La duración de la auditoría también se ajusta al tamaño y a la complejidad.

Se verifica. La organización calcula su inventario de gases de efecto invernadero conforme a ISO 14064-1, o a ISO 14083 en el caso de las cadenas de transporte, y una entidad independiente lo verifica siguiendo ISO 14064-3. El resultado es una declaración de verificación, con un nivel de aseguramiento limitado o razonable, que confirma si los datos declarados son fiables y se han calculado con la metodología indicada.

Desde el Real Decreto 214/2025, las empresas obligadas a publicar el estado de información no financiera (artículo 49.5 del Código de Comercio) deben calcular cada año la huella de carbono de su organización, elaborar un plan de reducción con un objetivo cuantificado a cinco años como mínimo y publicar ambos. La misma obligación tiene el sector público estatal. Para las empresas se aplica según el calendario de la Ley 11/2018 (artículo 11 del real decreto).

No por sí sola: la ISO 14006:2020 es una guía para incorporar el ecodiseño en un sistema de gestión ambiental, pensada sobre todo para organizaciones con ISO 14001, no una norma de requisitos. Lo que puede hacerse es evaluar, como tercera parte independiente, cómo aplica la organización esas recomendaciones.

Es el documento que acredita que un sistema de información cumple el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022. El ENS se aplica al sector público y a las empresas que le prestan servicios o soluciones tecnológicas, en los sistemas implicados, que a menudo deben acreditarlo en las licitaciones. En las categorías media y alta, la conformidad se demuestra con una auditoría de certificación.

La categoría de un sistema depende del impacto que tendría un incidente sobre la información o los servicios en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cuanto mayor es la categoría, más medidas de seguridad se exigen. Los sistemas de categoría básica pueden demostrar la conformidad con una autoevaluación, aunque también pueden certificarse; los de categoría media y alta requieren una auditoría formal.

La certificación de conformidad con el ENS la expiden entidades de certificación acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065 para este esquema. ADOK Certificación tiene esa acreditación con el nº 242/C-PR473 desde el 15 de diciembre de 2023: puedes consultar su anexo técnico en la web de ENAC y la relación de entidades de certificación del CCN.

Al menos cada dos años, según el artículo 31 del Real Decreto 311/2022, y de forma extraordinaria siempre que el sistema cambie de forma sustancial y eso pueda afectar a las medidas de seguridad; la auditoría extraordinaria reinicia el cómputo de los dos años. Por eso el ciclo del ENS no es el de tres años de las normas ISO.

El Centro Criptológico Nacional publica la relación de entidades certificadas en el ENS. Si el certificado es de ADOK Certificación, también puedes pedirnos que confirmemos su vigencia y su alcance en info@adokcertificacion.com.

ISO/IEC 27001 es una norma internacional voluntaria que define un sistema de gestión de la seguridad de la información basado en el análisis de riesgos. El ENS es una obligación legal en España para el sector público y sus proveedores tecnológicos, con medidas de seguridad que dependen de la categoría del sistema. Comparten buena parte de los controles, por lo que es habitual auditarlos de forma coordinada.

No existe un certificado único «NIS 2». La Directiva (UE) 2022/2555 obliga a las entidades esenciales e importantes a gestionar sus riesgos de ciberseguridad y a notificar incidentes, en los términos que fije la normativa nacional que la transpone. Lo que sí puede hacerse es una auditoría independiente del grado de cumplimiento de esos requisitos, que suele apoyarse en marcos reconocidos como ISO/IEC 27001 o el ENS.

La Directiva (UE) 2022/2555 obliga a los Estados miembros, que debían transponerla antes del 17 de octubre de 2024. En España, sus obligaciones serán exigibles a las entidades esenciales e importantes que defina la ley de transposición; el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. Mientras esa ley no esté en vigor, sigue aplicándose el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS.

Para los incidentes significativos, el artículo 23 de la Directiva (UE) 2022/2555 fija tres hitos: una alerta temprana en 24 horas desde que se tiene conocimiento del incidente, una notificación en 72 horas y un informe final como máximo un mes después de esa notificación. La ley española de transposición concretará ante qué autoridad o equipo de respuesta se notifica.

No por sí solo. ISO/IEC 42001 certifica un sistema de gestión para desarrollar, ofrecer o usar inteligencia artificial de forma responsable: políticas, evaluación de riesgos e impactos, controles y mejora continua. El Reglamento (UE) 2024/1689 impone obligaciones legales propias según el nivel de riesgo de cada sistema. La certificación ayuda a organizar y demostrar ese trabajo, pero no sustituye la evaluación de conformidad que exija el reglamento.

La SGE 21 es la norma de Forética que establece los requisitos de un sistema de gestión ética y socialmente responsable y permite obtener una certificación voluntaria. Abarca la relación de la organización con la alta dirección, los clientes, los proveedores, las personas, el entorno social y ambiental, los inversores, la competencia y las administraciones. ADOK Certificación es miembro de Forética y entidad de certificación de la SGE 21.

No por sí sola: la ISO 30415:2021 es una guía de recomendaciones sobre diversidad e inclusión en la gestión de personas, no una norma de requisitos. Lo que puede hacerse es evaluar, como tercera parte independiente, cómo aplica la organización esas recomendaciones en sus políticas y procesos.

No por sí sola: la UNE-ISO 53800 es una guía de recomendaciones para promover la igualdad de género en las organizaciones, no una norma de requisitos. Lo que puede hacerse es evaluar, como tercera parte independiente, cómo aplica la organización esas recomendaciones. La evaluación no sustituye al plan de igualdad que la ley exige a las empresas obligadas.

No. La certificación ISO 45001 es voluntaria y evalúa tu sistema de gestión de la seguridad y salud en el trabajo frente a la norma. La auditoría reglamentaria del sistema de prevención es una obligación legal distinta, regulada por el Reglamento de los Servicios de Prevención (Real Decreto 39/1997), para las empresas que no conciertan toda la prevención con un servicio ajeno. Ambas pueden convivir y complementarse.

No por sí sola: la ISO 45003:2021 es una guía de recomendaciones para gestionar los riesgos psicosociales dentro de un sistema de seguridad y salud en el trabajo como el de ISO 45001, no una norma de requisitos. Lo que puede hacerse es evaluar, como tercera parte independiente, cómo aplica la organización esas recomendaciones.

El Esquema AEPD-DPD es el sistema de certificación de personas promovido por la Agencia Española de Protección de Datos para acreditar la cualificación de los delegados de protección de datos (DPD o DPO). Para obtenerla hay que cumplir unos requisitos previos de experiencia o formación y superar un examen. No es obligatoria para ejercer como DPD, pero la Ley Orgánica 3/2018 la reconoce como uno de los medios para demostrar la cualificación.

Hay que justificar una de estas cuatro opciones: 5 años de experiencia; 3 años de experiencia y 60 horas de formación reconocida; 2 años de experiencia y 100 horas de formación reconocida; o 180 horas de formación reconocida. La formación debe estar reconocida por una entidad de certificación acreditada para certificar DPD.

Con la vida laboral y un certificado de la empresa, de los clientes o de la consultora en el que consten las tareas relacionadas con la protección de datos y las fechas de inicio y fin. Los años se cuentan a tiempo completo, sobre una jornada anual de 225 días.

Es un test de 150 preguntas con cuatro opciones y una sola válida; 30 de ellas plantean un escenario práctico. Dura cuatro horas. Para aprobar hay que responder bien al menos el 75 % (113 puntos) y acertar el 50 % de cada dominio.

La certificación inicial cuesta 300 € + IVA e incluye 2 convocatorias de examen. Si hay que renovar las tasas de examen, son 200 € + IVA con otras 2 oportunidades. La renovación del certificado cuesta 115 € + IVA.

Tres años desde su concesión. Para renovarlo hay que acreditar al menos 60 horas de formación de actualización durante su vigencia (15 al año como mínimo) y un año de experiencia profesional, y presentar la documentación entre uno y tres meses antes de la caducidad. ADOK Certificación Internacional avisa con al menos 90 días de antelación.

Si tienes una discapacidad o alguna necesidad específica, comunícanoslo con antelación y consulta las opciones con ADOK Certificación Internacional en dpd@adokcertificacion.com.

ADOK Certificación Internacional convoca exámenes periódicamente en diferentes provincias. Cada convocatoria depende del aforo de la sede, y los exámenes en otras ciudades se celebran si hay un número mínimo de candidatos. Las fechas están en el calendario de exámenes de esta web, y la documentación de convocatoria se pide en dpd@adokcertificacion.com.

No de forma automática. El Código Penal (artículo 31 bis) permite que una persona jurídica quede exenta o vea atenuada su responsabilidad si había adoptado y ejecutado con eficacia un modelo de prevención de delitos. Un certificado, por ejemplo conforme a la norma UNE 19601, es un indicio de que ese modelo existe y funciona, pero la valoración final corresponde siempre al juez.

Es la auditoría que una organización encarga para evaluar a alguien con quien trabaja, normalmente un proveedor, un subcontratista o un franquiciado, frente a sus propios requisitos o a una norma. A diferencia de la certificación, no termina en un certificado, sino en un informe para quien la encarga. Confiarla a una entidad externa aporta independencia y un criterio técnico homogéneo entre todos los evaluados.