Si tu empresa presta servicios tecnológicos a un organismo público (desarrollo de software, hosting, mantenimiento informático o cualquier servicio con acceso a sistemas públicos), necesitas cumplir con el Esquema Nacional de Seguridad (ENS). Lo regula el Real Decreto 311/2022, y cuando el nivel de tu sistema lo exige, sin certificación quedas fuera de las licitaciones públicas, sin importar lo buena que sea tu oferta.
En este artículo te contamos, sin tecnicismos, qué es el ENS, qué nivel te corresponde, cómo es el proceso de certificación, cuánto tarda y cómo saber si tu empresa está realmente obligada.
¿Qué es el Esquema Nacional de Seguridad (ENS) y a quién obliga?
El ENS es el marco normativo español de seguridad de la información para el sector público y sus proveedores tecnológicos. Lo regula el Real Decreto 311/2022 y no es opcional: es una obligación legal para las administraciones públicas y, en las condiciones que verás abajo, también para las empresas que las proveen.
Según el Centro Criptológico Nacional (CCN), más de 15.000 entidades en España están sujetas a esta obligación, aunque el número de certificaciones activas todavía es bajo. Eso deja margen real para las empresas que se certifiquen cuanto antes.
¿Cuándo obliga el ENS a una empresa privada? El matiz del artículo 2.3
El ENS obliga a una empresa privada cuando se cumplen dos condiciones a la vez: presta servicios a una entidad pública, y el pliego del contrato exige expresamente la conformidad ENS. Vender un producto puntual a un ayuntamiento no te obliga por sí solo.
La obligación también puede llegarte por tu cadena de suministro: si tu cliente sí está obligado por el ENS, puede trasladarte el requisito a ti como subcontratista, aunque nunca hayas firmado nada directamente con la Administración.
¿Cuáles son los niveles o categorías del ENS?
El ENS clasifica los sistemas en tres categorías: básica, media y alta, según el impacto que tendría un incidente sobre la información o el servicio. A mayor criticidad, más medidas exigidas y más estricta la verificación.
- Categoría básica: ninguna dimensión supera un impacto bajo. Certificación voluntaria (declaración de conformidad).
- Categoría media: al menos una dimensión alcanza impacto medio. Certificación obligatoria por entidad acreditada.
- Categoría alta: al menos una dimensión alcanza impacto alto. Certificación obligatoria, con la máxima exigencia técnica.
Las cinco dimensiones que determinan el nivel
El nivel de un sistema se calcula evaluando cinco dimensiones de seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (a veces resumidas con el acrónimo CIDAT, aunque el propio CCN no siempre las ordena igual en su documentación). La categoría final es la de la dimensión con el impacto más alto, no una media.
Ejemplo: un sistema de expedientes con firma electrónica puede tener confidencialidad media pero autenticidad alta. Ese sistema sería categoría alta, porque basta con que una sola dimensión llegue a ese nivel.
¿Cómo es el proceso de certificación ENS paso a paso?
Certificarse en ENS implica a la dirección y al equipo técnico, no solo a IT. Según el propio proceso de adecuación que describe el CCN, el trabajo se organiza en dos grandes bloques: primero se elabora el Plan de Adecuación, y después se implanta la seguridad y se certifica.
1. Política de seguridad y designación de responsables
Se aprueba la política de seguridad de la organización y se designan los cuatro roles que exige el artículo 11 del Real Decreto 311/2022: responsable de la información, responsable del servicio, responsable de seguridad y responsable del sistema. El responsable de seguridad debe ser una persona distinta del responsable del sistema, salvo excepciones justificadas y con medidas compensatorias. En empresas pequeñas varios roles pueden recaer en la misma persona, pero deben quedar designados por escrito.
2. Categorización del sistema
Se categoriza cada sistema según las cinco dimensiones de seguridad, tomando siempre la categoría más alta que alcance cualquiera de ellas.
3. Análisis de riesgos y declaración de aplicabilidad
Se realiza un análisis de riesgos formal, habitualmente con la metodología Magerit y la herramienta PILAR del CCN, y se elabora la Declaración de Aplicabilidad: el documento que recoge, del Anexo II del Real Decreto, qué medidas de seguridad se van a implementar y cuáles no aplican, justificando por qué. Estos tres elementos, junto con la política de seguridad, forman en conjunto el Plan de Adecuación.
4. Implantación de las medidas de seguridad
Se despliegan los controles recogidos en la Declaración de Aplicabilidad, organizados en los tres marcos del Anexo II: organizativo (políticas y procedimientos), operacional (control de acceso, continuidad, monitorización) y de protección (instalaciones, personal, comunicaciones, aplicaciones).
5. Auditoría y certificación
Para categoría media o alta, una entidad acreditada por ENAC audita el sistema, con carácter ordinario cada dos años (y de forma extraordinaria si hay cambios significativos). Si el resultado es favorable, emite el certificado de conformidad. Para categoría básica basta con una autoevaluación (declaración de conformidad) con la misma periodicidad, aunque también puede pasar por auditoría externa si el pliego lo exige.
¿Cuánto tarda certificarse en ENS y de qué depende el coste?
El proceso suele tardar entre 3 y 14 meses, según el nivel y tu punto de partida. No es un trámite de última hora: si empiezas cuando sale el pliego, llegas tarde.
Duración orientativa según el nivel
- Categoría básica: 3 a 5 meses.
- Categoría media: 5 a 8 meses.
- Categoría alta: 8 a 14 meses.
¿De qué depende el coste?
El coste de la certificación varía mucho según el proveedor, el nivel exigido y el tamaño de tu empresa, así que cualquier cifra genérica puede llevarte a error: pide siempre un presupuesto ajustado a tu caso concreto. Los factores que más influyen son el número de sistemas a certificar, cuántas medidas del Anexo II tienes ya implantadas y si tu empresa cuenta con perfiles técnicos internos o necesita apoyo externo en todo el proceso.
Si ya tienes la certificación ISO 27001, el coste y el plazo se reducen bastante, porque buena parte de los controles ya están hechos.
¿Qué pasa si mi empresa no tiene la certificación ENS?
Sin certificación ENS, cuando tu sistema la requiera, quedas excluido de las licitaciones públicas que la exijan. En contratos ya adjudicados, puede suponer resolución anticipada del contrato.
El ENS no tiene régimen sancionador propio con multas directas. El riesgo real es comercial (perder contratos), y si hay una brecha de datos, las sanciones llegan por otras vías: RGPD/LOPDGDD o la Directiva NIS2.
¿Cómo se relaciona el ENS con la ISO 27001 y la Directiva NIS2?
El ENS y la ISO 27001 no son lo mismo. La ISO 27001 es un estándar internacional voluntario; el ENS es una norma española obligatoria para el sector público. Tener la ISO 27001 adelanta trabajo, pero no sustituye al ENS.
Las empresas con ENS de nivel medio o alto también están mejor posicionadas frente a NIS2, ya que buena parte de los controles se solapan. Lo explicamos en detalle en nuestro artículo sobre NIS2 y tu empresa.
¿Cómo puede prepararse tu empresa para certificarse en ENS?
- Determina si necesitas certificarte y en qué nivel. Revisa si el pliego exige expresamente la conformidad ENS.
- Haz un diagnóstico inicial. Un análisis de brecha frente al Anexo II te dice cuánto trabajo queda.
- Designa formalmente los responsables exigidos por el Real Decreto.
- No esperes a la licitación. Empezar tarde significa perder concursos que podrías ganar.
- Aprovecha sinergias con RGPD o NIS2 para no duplicar esfuerzos.
Certifícate en ENS con el respaldo de un equipo que lleva más de 20 años en ciberseguridad
Preparar la certificación ENS por tu cuenta es fácil de posponer, y cada mes de retraso puede dejarte fuera de un concurso público. En ESI Soluciones llevamos más de 20 años ayudando a empresas aragonesas a proteger sus sistemas y cumplir con la normativa de seguridad informática, y te acompañamos desde el diagnóstico inicial hasta la auditoría.
👉 Solicita un diagnóstico inicial con nuestro equipo de ciberseguridad o llámanos al 976 30 01 40.
Preguntas frecuentes sobre la certificación ENS
¿Es obligatorio el ENS para todas las empresas?
No. Es obligatorio para las administraciones públicas y para sus proveedores cuando el pliego exige expresamente la conformidad ENS. En categoría básica basta con una declaración de conformidad.
¿Un pequeño proveedor sin contrato directo con la Administración puede verse obligado igualmente?
Sí. El artículo 2.3 del Real Decreto extiende la exigencia a la cadena de suministro. Si tu cliente está obligado por el ENS, puede trasladarte el requisito a ti.
¿Cuánto dura la certificación ENS una vez conseguida?
Dos años, renovable mediante una nueva auditoría. Además de la renovación ordinaria, el Real Decreto exige una auditoría extraordinaria si el sistema sufre cambios significativos antes de esa fecha, y la conformidad puede perderse si cambia sin actualizar la Declaración de Aplicabilidad.
¿ENS e ISO 27001 son lo mismo?
No, aunque son complementarios. ISO 27001 es voluntaria e internacional; el ENS es obligatorio y español. Una facilita la otra, pero no la sustituye.
¿Qué pasa si pierdo la certificación ENS?
Riesgo de resolución de contratos públicos en vigor y de exclusión en nuevas licitaciones que exijan esta certificación.