El ENS explicado:
qué pide el Esquema Nacional de Seguridad y a quién obliga
Gobernanza y normativa | unfantasmaenelsistema.com
Cualquier empresa que quiera vender software, alojamiento, soporte o servicios gestionados a una Administración pública española se encuentra tarde o temprano con la misma frase en un pliego: «el adjudicatario deberá acreditar la conformidad con el Esquema Nacional de Seguridad». Para muchos proveedores, sobre todo pymes tecnológicas, ese requisito llega sin contexto y se percibe como una barrera burocrática más. En realidad el ENS es un marco de seguridad bastante razonable, con una lógica clara de niveles y proporcionalidad, y entender su estructura ahorra mucho tiempo y dinero.
Este artículo resume qué es el ENS, en qué norma se apoya, a quién obliga, cómo se clasifica un sistema, qué medidas exige, cómo se demuestra el cumplimiento y cómo encaja con ISO 27001 y con NIS2. No es asesoramiento jurídico: para decidir formalmente si estás sujeto y con qué categoría, hace falta leer el pliego concreto y, en los casos dudosos, apoyarse en soporte legal.
Qué aprenderás en este artículo
Qué es el ENS y en qué se diferencia el Real Decreto 311/2022 del anterior · A quién obliga: Administraciones públicas y sus proveedores · Cómo se categoriza un sistema con las dimensiones de seguridad (CIDAT) · Los tres marcos de medidas del Anexo II y los perfiles de cumplimiento · Declaración frente a certificación de conformidad y la auditoría bienal · Mapeos con ISO 27001 y NIS2, y los pasos para una pyme que quiere licitar
1. Qué es el ENS
El Esquema Nacional de Seguridad es el marco común de principios, requisitos y medidas de seguridad que deben cumplir los sistemas de información del sector público español. Su base legal está en el artículo 156 de la Ley 40/2015 de Régimen Jurídico del Sector Público, y su desarrollo vigente es el Real Decreto 311/2022, de 3 de mayo, que derogó al anterior Real Decreto 3/2010.
La revisión de 2022 no cambió la filosofía, pero sí modernizó varios aspectos: incorporó de forma explícita el riesgo de la cadena de suministro y los servicios en la nube, reordenó y redujo el catálogo de medidas, introdujo los perfiles de cumplimiento específicos para permitir adecuaciones proporcionadas (entidades locales pequeñas, servicios concretos), y alineó el texto con el Reglamento General de Protección de Datos y con las directivas europeas de ciberseguridad.
El ENS se apoya en unos principios básicos (seguridad como proceso integral, gestión de la seguridad basada en los riesgos, prevención-detección-respuesta-conservación, existencia de líneas de defensa, vigilancia continua y reevaluación periódica, y diferenciación de responsabilidades) y en un conjunto de requisitos mínimos que se concretan después en el catálogo de medidas del Anexo II.
2. A quién obliga
El ámbito de aplicación directo es todo el sector público tal y como lo define la Ley 40/2015: la Administración General del Estado, las comunidades autónomas, las entidades locales, el sector público institucional (organismos autónomos, entidades públicas empresariales, universidades públicas, etc.) y las entidades de derecho privado vinculadas o dependientes cuando ejerzan potestades administrativas.
El punto que afecta a las empresas privadas está en la disposición sobre operadores del sector privado: los proveedores que prestan servicios o proveen soluciones a entidades del sector público están obligados a acreditar su conformidad con el ENS en aquello que afecte al servicio prestado, en la misma categoría que se exija al sistema de la Administración cliente. En la práctica, el requisito llega por el pliego del contrato: si el contrato trata información o servicios de categoría MEDIA, el proveedor necesita conformidad de categoría MEDIA para ese alcance.
El alcance es del servicio, no de toda la empresa
La conformidad con el ENS se declara o certifica sobre un sistema de información y un alcance concretos: la plataforma que da el servicio a la Administración, no la contabilidad ni el correo interno del proveedor · Definir bien ese alcance (qué activos, qué sedes, qué personal, qué subcontratistas) es la decisión que más condiciona el coste y la duración del proyecto de adecuación
3. Categorización del sistema: las dimensiones de seguridad
El ENS es proporcional: no exige lo mismo a la web informativa de un ayuntamiento que al padrón municipal. Para decidir el nivel de exigencia, primero se valora la información y los servicios en cinco dimensiones de seguridad, cada una en tres niveles (BAJO, MEDIO o ALTO) según el perjuicio que causaría un incidente.
| Dimensión | Qué se pregunta | Ejemplo de impacto ALTO |
|---|---|---|
| Confidencialidad (C) | ¿Qué pasa si la información se revela a quien no debe? | Filtración de datos de salud o de seguridad ciudadana |
| Integridad (I) | ¿Qué pasa si la información se altera sin autorización? | Manipulación de un registro contable o de un expediente sancionador |
| Disponibilidad (D) | ¿Qué pasa si el servicio deja de estar operativo? | Caída prolongada de un servicio de emergencias o de recaudación |
| Autenticidad (A) | ¿Podemos confiar en que quien actúa es quien dice ser? | Suplantación en la firma de resoluciones administrativas |
| Trazabilidad (T) | ¿Podemos reconstruir quién hizo qué y cuándo? | Imposibilidad de auditar accesos a datos personales masivos |
La categoría del sistema se deduce del nivel más alto alcanzado en cualquiera de las cinco dimensiones:
| Categoría | Regla | Idea de fondo |
|---|---|---|
| BÁSICA | Todas las dimensiones en nivel BAJO | Un incidente causa un perjuicio limitado y reparable |
| MEDIA | Alguna dimensión en nivel MEDIO y ninguna en ALTO | Un incidente causa un perjuicio grave sobre funciones o personas |
| ALTA | Alguna dimensión en nivel ALTO | Un incidente causa un perjuicio muy grave, difícilmente reparable |
4. Las medidas de seguridad: tres marcos
El Anexo II del Real Decreto 311/2022 contiene el catálogo de medidas (más de setenta), organizado en tres marcos. Cada medida indica qué requisitos aplican según la categoría del sistema y el nivel de cada dimensión, y muchas tienen refuerzos que solo son exigibles en MEDIA o ALTA.
| Marco | De qué trata | Ejemplos de medidas |
|---|---|---|
| Organizativo (org) | El gobierno de la seguridad: papel y responsabilidades | Política de seguridad, normativa de uso, procedimientos, proceso de autorización |
| Operacional (op) | La gestión del ciclo de vida y la operación del sistema | Análisis de riesgos, control de acceso, gestión de cambios, gestión de incidentes, continuidad, monitorización, servicios en la nube, recursos externos |
| Protección (mp) | La salvaguarda técnica de cada tipo de activo | Protección de instalaciones, equipos, comunicaciones, soportes, aplicaciones, información (cifrado, firma, copias) y servicios |
4.1 Perfiles de cumplimiento específicos
Aplicar el catálogo entero a una entidad pequeña o a un servicio muy acotado sería desproporcionado. Por eso el ENS admite perfiles de cumplimiento específicos: subconjuntos de medidas, aprobados por el Centro Criptológico Nacional, adaptados a un tipo de entidad o de servicio (por ejemplo, ayuntamientos de menos de 20.000 habitantes, o determinados servicios en la nube). Adecuarse al perfil correspondiente equivale a cumplir el ENS para ese caso, con mucho menos esfuerzo.
4.2 Análisis de riesgos
Toda adecuación al ENS parte de un análisis de riesgos que justifique qué medidas y qué refuerzos se aplican y por qué. La Administración pública española usa habitualmente la metodología MAGERIT y la herramienta PILAR del CCN, aunque el ENS no obliga a una metodología concreta mientras el análisis sea sistemático y esté documentado.
5. Cómo se demuestra el cumplimiento
El ENS distingue dos vías de acreditación según la categoría del sistema, recogidas en su Anexo III y detalladas en las guías CCN-STIC de la serie 800.
| Categoría del sistema | Vía de acreditación | Qué implica |
|---|---|---|
| BÁSICA | Declaración de conformidad | Autoevaluación documentada; la propia entidad declara que cumple y publica el distintivo |
| MEDIA o ALTA | Certificación de conformidad | Auditoría formal por una entidad de certificación acreditada por ENAC; el CCN emite el certificado y el distintivo |
En ambos casos la conformidad no es un acto único: hay que someter el sistema a una auditoría de seguridad ordinaria al menos cada dos años (bienal), y a una auditoría extraordinaria cuando se produzcan cambios sustanciales que puedan afectar a las medidas. Además, las entidades del sector público reportan anualmente su estado de seguridad al CCN a través del informe INES, que alimenta el Informe Nacional del Estado de Seguridad.
Instrumentos de apoyo del CCN
PILAR — análisis y gestión de riesgos según MAGERIT · INES — recogida del estado de seguridad y cálculo del índice de madurez · CLARA / ROCIO — comprobación técnica del cumplimiento de plantillas de seguridad en sistemas Windows y de red · ENS-CERT y el servicio de respuesta a incidentes del CCN-CERT para el sector público
6. Las guías CCN-STIC
El texto legal se queda en el «qué». El «cómo» está en las guías CCN-STIC de la serie 800, de descarga pública, que conviene conocer antes de empezar un proyecto de adecuación:
- CCN-STIC-801 — responsabilidades y funciones en el ENS
- CCN-STIC-803 — valoración de sistemas (cómo asignar niveles a las dimensiones)
- CCN-STIC-804 — guía de implantación del ENS
- CCN-STIC-808 — verificación del cumplimiento
- CCN-STIC-809 — declaración y certificación de conformidad
- CCN-STIC-825 — respuestas a preguntas frecuentes y mapeo con ISO/IEC 27001
- Serie 500 / 600 — guías de configuración segura por producto (Windows, Linux, routers, etc.)
7. Relación con ISO 27001 y con NIS2
El ENS no vive aislado. Comparte enfoque basado en riesgos con ISO/IEC 27001 y sirve de marco técnico de referencia para NIS2 en España.
| ENS | ISO/IEC 27001 | NIS2 | |
|---|---|---|---|
| Naturaleza | Norma obligatoria (Real Decreto) | Estándar internacional voluntario | Directiva de la UE, traspuesta a ley nacional |
| A quién obliga | Sector público y sus proveedores | Quien decida certificarse | Entidades esenciales e importantes de sectores cubiertos |
| Modelo de control | Catálogo fijo de medidas por categoría y nivel | Controles del Anexo A seleccionados en la Declaración de Aplicabilidad | Medidas del artículo 21, sin catálogo cerrado |
| Acreditación | Declaración (BÁSICA) o certificación (MEDIA/ALTA), auditoría bienal | Certificación por entidad acreditada, ciclo de 3 años | Supervisión de la autoridad competente; sin certificado único |
En la práctica, una organización certificada en ISO 27001 tiene gran parte del sistema de gestión ya montado (política, análisis de riesgos, gestión de incidentes, continuidad) y el salto al ENS se convierte en un ejercicio de mapeo y de cubrir las medidas específicas que ISO no detalla. Y para una entidad sujeta a NIS2, adecuarse al ENS cubre buena parte de las medidas de gestión de riesgos que exige el artículo 21 de la directiva.
8. Pasos para una pyme que quiere licitar
- Lee el pliego: identifica si exige conformidad con el ENS, en qué categoría y sobre qué alcance; si no lo dice de forma explícita, pregúntalo en la fase de consultas
- Define el alcance: el sistema concreto que prestará el servicio, sus activos, su personal y sus subcontratistas; cuanto más acotado, más barata la adecuación
- Categoriza: valora las cinco dimensiones con la CCN-STIC-803 y obtén la categoría del sistema
- Comprueba si hay un perfil de cumplimiento específico aplicable a tu tipo de servicio antes de abordar el catálogo completo
- Haz el análisis de riesgos y redacta la Declaración de Aplicabilidad justificando medidas y refuerzos
- Cierra las brechas: plan de adecuación con responsables y plazos; implanta y documenta
- Acredita: autoevaluación y declaración si el sistema es BÁSICA; auditoría por entidad acreditada por ENAC si es MEDIA o ALTA
- Publica el distintivo de conformidad y planifica el mantenimiento: auditoría bienal, revisión ante cambios y reporte anual
Errores que encarecen el proyecto
Definir el alcance demasiado amplio y acabar auditando sistemas que nada tienen que ver con el contrato · Empezar a implantar medidas antes de hacer el análisis de riesgos, y aplicar refuerzos que el nivel no exige · Olvidar a los subcontratistas: si un tercero toca el servicio, su seguridad entra en tu alcance · Tratar la certificación como un hito final y no presupuestar la auditoría bienal ni el mantenimiento
Conclusión
El ENS asusta más por su envoltorio normativo que por su contenido. Debajo hay un marco de seguridad proporcional y bien estructurado: se valora la información en cinco dimensiones, eso fija una categoría, y la categoría determina qué medidas del catálogo aplican y con qué refuerzos. Las guías CCN-STIC explican cada paso y son gratuitas.
Para un proveedor tecnológico que quiere trabajar con la Administración, la conformidad con el ENS no es un trámite opcional, pero tampoco un pozo sin fondo: con un alcance bien definido, un perfil de cumplimiento cuando exista y un sistema de gestión previo —ISO 27001 o equivalente— el proyecto es abordable. Y una vez hecho, abre la puerta a un mercado enorme que muchos competidores no pueden atender.
Referencias
Real Decreto 311/2022, de 3 de mayo — texto consolidado en el BOE · Artículo 156 de la Ley 40/2015 de Régimen Jurídico del Sector Público · CCN-STIC serie 800 — guías del ENS (ccn-cert.cni.es) · Portal del ENS del CCN — ens.ccn.cni.es · ENAC — buscador de entidades de certificación acreditadas para el ENS · Nuestros artículos sobre NIS2 en España, ISO 27001 para técnicos y análisis de riesgos con MAGERIT
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)