El Esquema Nacional de Seguridad (ENS) es la norma española que fija los requisitos mínimos de seguridad de la información y de los servicios electrónicos en el sector público. Se regula en el Real Decreto 311/2022, de 3 de mayo. Si eres una empresa privada, te afecta cuando prestas servicios a una entidad pública que necesitan esa seguridad para ejercer sus competencias. Esta guía explica qué te exigirán, cómo se categoriza un sistema y qué pasos conviene seguir, en el orden en que los recomienda el propio Centro Criptológico Nacional (CCN).
En resumen
- El ENS está regulado por el Real Decreto 311/2022 y es obligatorio para las Administraciones Públicas y para los proveedores privados que les prestan servicios sujetos a él.
- Los sistemas se clasifican en categoría Básica, Media o Alta según el impacto de un incidente en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
- La Declaración de Conformidad (autoevaluación) sirve para la categoría Básica. Para Media y Alta hace falta Certificación de Conformidad, con auditoría externa.
- El error más caro es saltarse el análisis de riesgos inicial: según el CCN, es la causa principal de auditorías fallidas.
- El ENS no es un trámite puntual. Las evidencias (registros, cambios, parches) se mantienen a diario y las certificaciones se revisan periódicamente.
Tabla de contenidos
- Qué es el ENS y dónde se regula
- A quién se aplica: administraciones y proveedores privados
- Los principios del ENS en cuatro ideas
- Categorías Básica, Media y Alta: cómo se decide
- Declaración o certificación de conformidad
- Cómo adecuarse al ENS paso a paso
- Lo que un auditor te va a pedir en la práctica
- Errores frecuentes de las empresas privadas
- Nuestra perspectiva: el ENS se gana con orden diario
- Cómo te ayudamos a preparar la infraestructura
- Preguntas frecuentes
- Fuentes
Qué es el ENS y dónde se regula
El ENS responde a una pregunta sencilla: ¿cómo se garantiza que los datos y servicios que una administración ofrece por medios electrónicos están protegidos? La respuesta es un conjunto de principios, requisitos y medidas de seguridad que se aplican de forma proporcional al riesgo.
La norma vigente es el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE. Sustituyó al anterior Real Decreto 3/2010. Desarrolla lo que dispone el artículo 156.2 de la Ley 40/2015 de Régimen Jurídico del Sector Público, como recoge la guía CCN-STIC 802 de auditoría del ENS.
El desarrollo práctico lo coordina el CCN, que publica las guías de la serie CCN-STIC. Las guías CCN-STIC 800 establecen las políticas y procedimientos para aplicar las medidas del esquema. A ellas se suman las Instrucciones Técnicas de Seguridad, previstas en la disposición adicional segunda del real decreto.
A quién se aplica: administraciones y proveedores privados
La norma es de aplicación obligatoria para las Administraciones Públicas. Para una empresa, lo importante es la segunda mitad de la frase: también obliga a los proveedores privados cuando prestan servicios a entidades del sector público que requieran esa seguridad para el ejercicio de sus competencias.
En la práctica, esto significa que el ENS entra en tu empresa por la puerta del cliente. Si vendes alojamiento, software, soporte, backup, comunicaciones o gestión de datos a un ayuntamiento, una diputación, un hospital público o un organismo autónomo, es probable que el pliego exija ENS.
Hay una idea que conviene tener clara desde el principio. Según el CCN, en la relación cliente-proveedor la entidad pública sigue siendo la responsable final de los riesgos. Por eso te pedirá cuentas sobre:
- La arquitectura de seguridad de tu servicio.
- Dónde se ubica físicamente la información.
- Tu plan de gestión de incidentes.
- Tu cadena de subcontratación.
Un proveedor que no pueda demostrar ese nivel de transparencia no será apto para licitaciones sujetas al ENS. Si trabajas con subcontratistas, tú también tendrás que saber qué hacen con los datos de tu cliente.
Los principios del ENS en cuatro ideas
Los resultados que posicionan esta norma repiten siempre los mismos principios. Estos son los que más afectan a una empresa:
- Seguridad como proceso integral. No se compra un producto y se termina. Afecta a personas, procesos y tecnología.
- Gestión basada en riesgos. Las medidas se eligen según lo que puede salir mal y cuánto costaría.
- Prevención, detección, respuesta y conservación. No basta con evitar el ataque: hay que detectarlo pronto, reaccionar y poder recuperar el servicio.
- Mejora continua. El CCN presenta el ENS como una metodología, no como un obstáculo burocrático.
El manual del asistente INES lo representa como un ciclo de gestión continua que pasa por prevención, operación, respuesta, formación y mejora, y que desemboca en la auditoría y la conformidad.
Categorías Básica, Media y Alta: cómo se decide
La categoría de un sistema depende del impacto que tendría un incidente de seguridad. Se valora en cinco dimensiones, que forman la sigla CITAD según el Real Decreto 311/2022:
| Dimensión | Pregunta que responde |
|---|---|
| Confidencialidad | ¿Qué pasa si la información la ve quien no debe? |
| Integridad | ¿Qué pasa si alguien la modifica sin autorización? |
| Trazabilidad | ¿Podemos saber quién hizo qué y cuándo? |
| Autenticidad | ¿Podemos garantizar que quien accede es quien dice ser? |
| Disponibilidad | ¿Qué pasa si el servicio deja de funcionar? |
Cada dimensión recibe un nivel (Bajo, Medio o Alto). La regla clave: un sistema es de categoría Alta si al menos una de sus dimensiones alcanza el nivel Alto. No hace falta que las cinco lo sean.
Ejemplo ilustrativo: una plataforma de citas de un servicio municipal puede tolerar una caída de unas horas (disponibilidad baja o media), pero si trata datos de salud, la confidencialidad puede ser alta. Con una sola dimensión alta, todo el sistema pasa a categoría Alta. Por eso categorizar con cuidado, y con el cliente público, evita sorpresas en el presupuesto de adecuación.
Declaración o certificación de conformidad
Aquí se equivoca mucha gente. El CCN distingue dos vías, tal como explica su comunicado sobre declaración y certificación de conformidad:
| Declaración de Conformidad | Certificación de Conformidad | |
|---|---|---|
| Qué es | Autoevaluación | Auditoría externa por una entidad acreditada |
| Categoría Básica | Válida | Voluntaria |
| Categoría Media | No suficiente | Obligatoria |
| Categoría Alta | No suficiente | Obligatoria |
Si tu cliente público exige ENS para un sistema de categoría Media o Alta, lo normal es que pida certificación. Intentar ahorrar con una autodeclaración cuando el contrato exige auditoría externa conduce a la descalificación en la licitación. Lee el pliego antes de decidir qué vía seguir y, si dudas, pregunta al órgano de contratación.
La certificación tampoco es eterna. Según el CCN, las auditorías se repiten periódicamente para mantener el distintivo, y las entidades certificadoras están bajo el escrutinio del CCN, con criterios de competencia demostrable y uso de las guías CCN-STIC actualizadas. La guía CCN-STIC 808 detalla cómo se verifica el cumplimiento.
Cómo adecuarse al ENS paso a paso
El CCN describe la adecuación como un proceso ordenado en fases. Este es el itinerario práctico, tal como lo recoge el portal de administración electrónica:
- Identifica el alcance. Qué sistemas y servicios dan soporte al contrato público. Cuanto más acotado, más barato y manejable.
- Categoriza el sistema. Aplica las cinco dimensiones y fija Básica, Media o Alta.
- Redacta la Declaración de Aplicabilidad. Es la lista de medidas del esquema que vas a implantar y por qué.
- Haz el análisis de riesgos. Es el paso que muchos intentan acortar. Los expertos del CCN lo señalan como la causa principal de auditorías fallidas.
- Implanta las medidas técnicas y organizativas. Políticas, control de accesos, copias, monitorización, gestión de incidentes, formación.
- Audita la conformidad. Autoevaluación para Básica, entidad certificadora acreditada para Media y Alta.
Para formalizar el plan, el CCN-CERT recomienda usar el asistente INES. Muchas empresas desarrollan métodos propios que luego los auditores no reconocen. Definir alcance, categorización y declaración de aplicabilidad con la herramienta estándar facilita el trabajo del auditor y aumenta la probabilidad de conformidad a la primera.
Lo que un auditor te va a pedir en la práctica
La auditoría es el final de una fase, pero las evidencias se generan todos los días. Si esperas a la víspera para reunirlas, la auditoría se convierte en un cuello de botella. Estas son las áreas donde suele concentrarse el trabajo técnico en una pyme proveedora:
- Inventario y gestión de dispositivos. Saber qué equipos y servidores existen, con qué sistema operativo y con qué parches.
- Copias de seguridad y recuperación. No basta con tener copias: hay que probarlas y protegerlas frente a borrado o cifrado malicioso.
- Control de accesos. Identidades, permisos mínimos y registro de actividad.
- Registros y trazabilidad. Quién accedió, qué cambió, cuándo.
- Gestión de cambios y parches. Con constancia documentada de cada actuación.
- Servicios en la nube y subcontratas. Dónde residen los datos y quién interviene.
- Plan de respuesta a incidentes. Quién decide qué, a quién se avisa y en qué orden.
Cuando la información y los servicios están repartidos entre varios proveedores, reunir esta documentación es lo que más tiempo consume. Ahí un único panel con contrato y factura únicos ahorra trabajo, porque las evidencias salen de un mismo sitio.
Errores frecuentes de las empresas privadas
- Tratar el ENS como un trámite para firmar un contrato. Después de la auditoría el trabajo sigue, y la responsabilidad última sobre los riesgos de la información sigue en la entidad pública, que te exigirá transparencia continua.
- Confundir declaración con certificación. Ya lo hemos visto: es una causa clara de descalificación.
- Saltarse el análisis de riesgos. Parece un ahorro y acaba en no conformidades.
- Inventar un método propio en lugar de apoyarse en INES y en las guías CCN-STIC.
- Ampliar el alcance sin necesidad. Incluir sistemas que no dan servicio al contrato multiplica el coste de auditoría.
- No conocer a tus subcontratistas. El cliente público te preguntará por la cadena de subcontratación.
Nuestra perspectiva: el ENS se gana con orden diario
En ZOI Grupo vemos el ENS desde la infraestructura de las empresas, no desde el papel. Y la pauta se repite: las pymes que llegan con problemas a una auditoría rara vez fallan por falta de tecnología. Fallan por dispersión. Un proveedor de conectividad, otro de backup, otro de licencias, otro de correo, cada uno con su contrato y su soporte, y nadie con la foto completa.
El ENS pide justo esa foto: qué tienes, dónde está, quién lo toca, qué pasa si falla y cómo lo recuperas. Por eso defendemos un enfoque de plataforma. Un solo panel para contratar y gestionar los servicios, un solo contrato, una sola factura y soporte técnico directo reducen los interlocutores y facilitan reunir evidencias. No sustituye al análisis de riesgos ni a la auditoría, que son tuyos y de tu entidad certificadora. Pero quita fricción en lo que sí depende de la infraestructura.
También somos prudentes: ningún proveedor tecnológico te da el ENS por contratarle. La conformidad se evalúa sobre tu sistema de información y tu organización. Lo que sí puede hacer un buen proveedor es no ponerte obstáculos: responder con claridad sobre dónde están los datos, cómo se protegen y quién subcontrata qué.
— Desk
Cómo te ayudamos a preparar la infraestructura
Si tu objetivo es llegar ordenado a un proceso de adecuación, empieza por conocer tu situación. Nuestro test de ciberseguridad de 10 preguntas te da una primera lectura en pocos minutos. Si además quieres ver qué se puede revisar desde fuera, la guía EASM frente a pentesting explica por dónde empezar.
Después, sobre los puntos que suelen pedir los auditores, ofrecemos desde un mismo panel:
- Ciberseguridad gestionada y pentesting, con EASM, pruebas de intrusión y hardening.
- Backup inmutable frente a ransomware y backup de Microsoft 365.
- Gestión de dispositivos (RMM), para inventario y parches.
- Microsoft 365 gestionado, con migración y administración.
- Almacenamiento corporativo MiDato desde 14,52 € al mes (1 TB), con tarifas de 5 TB a 54,33 € al mes y de 10 TB a 109,99 € al mes, en nuestra página de precios.
Estos servicios te ayudan a cubrir áreas técnicas que el esquema contempla. No constituyen por sí solos una certificación ENS. Si quieres comentar tu caso, puedes empezar desde zoigrupo.com.
Preguntas frecuentes
¿Dónde se regula el Esquema Nacional de Seguridad?
En el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE. Desarrolla el artículo 156.2 de la Ley 40/2015. El CCN complementa la norma con guías CCN-STIC e instrucciones técnicas de seguridad.
¿Cómo saber si una empresa tiene el ENS?
Las entidades de derecho público deben dar publicidad en sus sedes electrónicas a las declaraciones y certificaciones de conformidad, según el artículo 41 del esquema anterior que cita el CCN-CERT. Para un proveedor, lo más seguro es pedirle el certificado, comprobar la categoría y el alcance, y verificar que cubre el servicio que contratas.
¿Mi empresa está obligada a cumplir el ENS?
Solo si prestas servicios a entidades del sector público que requieran esa seguridad para ejercer sus competencias. Si vendes únicamente a empresas privadas, el ENS no es obligatorio, aunque puede servirte como referencia de buenas prácticas. Revisa el pliego o el contrato para confirmar qué categoría y qué tipo de conformidad se exigen.
¿Basta con una autodeclaración?
Solo para sistemas de categoría Básica. Para Media y Alta se exige certificación de conformidad con auditoría externa, y para Básica es voluntaria. Presentar una autodeclaración donde el contrato pide certificación puede dejarte fuera de la licitación.
Fuentes
- Real Decreto 311/2022, de 3 de mayo (BOE)
- CCN-CERT: Declaración y certificación de conformidad con el ENS
- CCN-CERT: Obligaciones de los prestadores de servicios a las entidades públicas
- CCN-CERT: Criterios generales de auditoría y certificación del ENS
- CCN-CERT: Guía CCN-STIC 808
- CCN-CERT: Guía CCN-STIC 802 de auditoría del ENS
- CCN-CERT: Guías 800 del ENS
- CCN-CERT: Conformidad con el ENS
- CCN-CERT: Manual del asistente INES
- Portal de Administración Electrónica: Instrucciones Técnicas de Seguridad