El Esquema Nacional de Seguridad (ENS) se aplica a una empresa privada cuando, por contrato, presta servicios o da soluciones a una entidad del sector público para que esta ejerza sus competencias. Lo que pide depende de la categoría del sistema: en la básica basta una autoevaluación y una declaración de conformidad; en la media y la alta hace falta una auditoría de certificación, al menos cada dos años, hecha por una entidad acreditada por ENAC.
¿Qué es el Esquema Nacional de Seguridad?
Es el conjunto de principios básicos y requisitos mínimos de seguridad que deben cumplir los sistemas de información del sector público. Lo prevé el artículo 156.2 de la Ley 40/2015 y lo regula el Real Decreto 311/2022, de 3 de mayo, que sustituyó al Real Decreto 3/2010 y está en vigor desde el 5 de mayo de 2022.
Su objetivo, según su artículo 1.2, es asegurar "el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios" que esas entidades gestionan por medios electrónicos.
En la práctica te pide tres cosas: organizar la seguridad (una política aprobada por la dirección y unos responsables con funciones separadas), aplicar las medidas de su anexo II en proporción al riesgo y demostrarlo con una declaración o una certificación de conformidad. Lo desarrollan las instrucciones técnicas de seguridad, que son de obligado cumplimiento, y las guías CCN-STIC del Centro Criptológico Nacional (CCN), sobre todo las de la serie 800 (disposición adicional segunda).
¿Cuándo se aplica el ENS a una empresa privada?
El artículo 2.3 del Real Decreto 311/2022 dice que el ENS "también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas".
Son tres condiciones a la vez:
- Un cliente del sector público. La Administración General del Estado, las comunidades autónomas, las entidades locales y el sector público institucional: organismos públicos, entidades de derecho privado vinculadas o dependientes de una Administración y universidades públicas (art. 2 de la Ley 40/2015).
- Un contrato. El ENS llega a tu empresa "en virtud de una relación contractual".
- Un servicio o una solución con la que esa entidad ejerce sus competencias. Lo que entra en el ENS son los sistemas de información en los que se apoya ese servicio, no toda tu empresa.
No se queda en el contratista principal. El mismo artículo añade que la exigencia "se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos". Si eres subcontratista de quien presta el servicio, te lo pueden trasladar.
Hay una segunda vía: los datos personales. La Ley Orgánica 3/2018 de protección de datos obliga a las Administraciones y a las demás entidades públicas que enumera su artículo 77.1 a aplicar las medidas de seguridad del ENS, y su disposición adicional primera añade: "En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad". Si tratas datos para una Administración, normalmente como su encargado del tratamiento, tus medidas deben ajustarse al ENS.
De un vistazo
| Tu situación | ¿Te aplica el ENS? | Norma |
|---|---|---|
| Prestas un servicio o das una solución a una entidad del sector público, por contrato, para sus competencias | Sí, a los sistemas que lo sostienen | Real Decreto 311/2022, art. 2.3 |
| Eres subcontratista de ese proveedor | Si el análisis de riesgos lo requiere y te lo trasladan | Real Decreto 311/2022, art. 2.3 |
| Tratas datos personales para una Administración por concesión, encomienda o contrato | Tus medidas de seguridad deben ajustarse al ENS | Ley Orgánica 3/2018, disposición adicional primera |
| Eres una entidad de derecho privado vinculada o dependiente de una Administración | Sí, formas parte del sector público | Real Decreto 311/2022, art. 2.1, y Ley 40/2015, art. 2.2.b |
| Solo trabajas para empresas y particulares | No te obliga el ENS | Real Decreto 311/2022, art. 2 |
¿Qué te van a pedir en el contrato?
El ENS se exige a través del pliego. El artículo 2.3 obliga a las entidades públicas a incluir en sus pliegos "todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas, tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS". Y la Instrucción Técnica de Seguridad de conformidad hace responsable a la entidad contratante de notificarte esa obligación (apartado VII).
Esto es lo que la norma prevé que tengas preparado:
- La declaración o la certificación de conformidad de los sistemas que usarás en el contrato, con su distintivo en tu web enlazado al documento, que debe seguir accesible (instrucción técnica, apartado VII.3).
- Una política de seguridad aprobada "por el órgano que ostente las máximas competencias ejecutivas" de tu empresa (art. 2.3). Debe incluir, como mínimo, los objetivos de la organización, su marco legal, los roles de seguridad con sus deberes y cómo se nombran, los comités de seguridad, cómo se organiza la documentación y los riesgos del tratamiento de datos personales (art. 12.1).
- Un punto de contacto de seguridad (POC). En los servicios externalizados, la empresa que los presta debe designarlo, salvo causa justificada y documentada. Será su propio responsable de seguridad, alguien de su área o alguien con comunicación directa con él (art. 13.5).
- Notificar los incidentes. Las empresas privadas que prestan servicios a entidades públicas notifican los incidentes que les afecten al INCIBE-CERT, que los pone en conocimiento del CCN-CERT (art. 33.7).
- Enseñar tus informes. La entidad pública que usa tu servicio puede pedirte en cualquier momento el informe de autoevaluación o de auditoría que respalda tu declaración o tu certificación (instrucción técnica, apartado VII.4).
El CCN lo resume en las preguntas frecuentes de su portal del ENS: la conformidad de los sistemas que dan servicio al sector público "es un imperativo legal", y cumplirla te deja "en disposición de participar en licitaciones" que la exijan.
¿Qué categoría tiene tu sistema: básica, media o alta?
La categoría lo decide casi todo, porque fija qué medidas aplicas y qué tipo de revisión necesitas. Se calcula según el impacto que tendría un incidente en cinco dimensiones (anexo I): confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada recibe un nivel:
| Nivel | Cuándo se aplica | Ejemplos del anexo I |
|---|---|---|
| Bajo | El incidente causaría un "perjuicio limitado" | Daño menor en los activos; incumplimiento formal y subsanable de una norma; perjuicio menor y fácil de reparar a una persona |
| Medio | Causaría un "perjuicio grave" | Daño significativo en los activos; incumplimiento material de una norma; perjuicio significativo y de difícil reparación a una persona |
| Alto | Causaría un "perjuicio muy grave" | Anular la capacidad de la organización de cumplir sus funciones; daño muy grave o irreparable en los activos; perjuicio grave de difícil o imposible reparación a una persona |
La categoría del sistema es la del nivel más alto que alcance cualquiera de sus dimensiones: si una sola llega a alto, el sistema es de categoría alta. Si el sistema trata varias informaciones o presta varios servicios, en cada dimensión manda el nivel mayor (anexo I, apartados 3 y 4).
¿Quién lo decide? Valora la información y los servicios su responsable, y la categoría la determina el responsable de la seguridad (art. 41). Cuando trabajas para una Administración, la información y el servicio son suyos, así que es ella quien debe indicarte qué categoría exige. Búscala en el pliego y, si no aparece, pregúntala antes de ofertar: de ella depende que te baste una autoevaluación o necesites una certificación. Además, la categoría se revisa cada año o cuando cambian los criterios que la determinaron (anexo I, apartado 1).
¿Qué auditoría pide cada categoría?
El artículo 38.1 lo resume: los sistemas de categoría media o alta "precisarán de una auditoría para la certificación de su conformidad", mientras que los de categoría básica "solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoria de certificación".
| Categoría básica | Categoría media o alta | |
|---|---|---|
| Cómo se acredita | Declaración de conformidad | Certificación de conformidad |
| Quién revisa | El personal que administra el sistema, o en quien delegue | Una entidad de certificación acreditada por ENAC |
| Cada cuánto | Al menos cada dos años | Al menos cada dos años, y una extraordinaria si hay cambios sustanciales |
| Quién expide el documento | Tu propia empresa | La entidad de certificación |
| Cómo se publica | Distintivo en tu web, enlazado a la declaración | Distintivo en tu web, enlazado al certificado |
Lo que conviene saber de cada una:
- La autoevaluación no es un trámite. Tiene que quedar documentada, "indicando si cada medida de seguridad está implantada y sujeta a revisión regular, así como las evidencias que sustentan la valoración anterior" (anexo III, apartado 2.1). Aunque tu sistema sea básico, puedes certificarlo igualmente; la instrucción técnica de conformidad considera esa opción "siempre la deseable" (apartado III.4).
- La auditoría ordinaria es cada dos años como mínimo. Y hay que repetirla de forma extraordinaria cuando haya "modificaciones sustanciales en los sistemas de información, que puedan repercutir en las medidas de seguridad requeridas". Esa auditoría extraordinaria reinicia la cuenta de los dos años, que solo se puede alargar tres meses por fuerza mayor no imputable a la entidad (art. 31.1).
- En media y alta hay revisión anual. El CCN explica en sus preguntas frecuentes que, además de las auditorías de certificación cada dos años, estos sistemas deben hacer cada año una auditoría interna de cumplimiento orientada a la mejora.
¿Quién puede certificarte?
Las entidades de certificación deben estar acreditadas por la Entidad Nacional de Acreditación (ENAC) para el ámbito del ENS conforme a la norma UNE-EN ISO/IEC 17065:2012 (instrucción técnica de conformidad, apartado VI.1). El CCN publica en su portal la lista de entidades de certificación acreditadas y de las que están en proceso de acreditación. En el sector público también pueden certificar los Órganos de Auditoría Técnica (OAT) dentro de sus competencias, según las preguntas frecuentes del CCN.
Un detalle importante: quien te certifica no puede ser quien te prepara. La Instrucción Técnica de Seguridad de Auditoría dice que, "para asegurar la independencia objetiva de la Entidad Certificadora", la auditoría no incluirá "en ningún caso" actividades de consultoría, como implantar o modificar aplicaciones del sistema auditado, redactar los documentos que pide el ENS o recomendar productos concretos (apartado IV.2).
Y si quieres comprobar si un proveedor está certificado, la página de certificación del portal del ENS enlaza a la relación de entidades privadas y públicas cuyos sistemas han sido certificados.
¿Qué revisa el auditor y qué resultado puede dar?
Según el anexo III, la auditoría comprueba al menos seis cosas:
- Que la política de seguridad define los roles y funciones de los responsables del sistema, la información, los servicios y la seguridad.
- Que hay procedimientos para resolver conflictos entre ellos.
- Que se ha nombrado a personas para esos roles respetando la diferenciación de responsabilidades.
- Que hay un análisis de riesgos "con revisión y aprobación anual".
- Que se cumplen las medidas del anexo II que correspondan.
- Que existe un sistema de gestión de la seguridad de la información documentado y aprobado con regularidad por la dirección, basado en la Declaración de Aplicabilidad.
Y lo hace con evidencias: procedimientos documentados, registro de incidentes, examen del personal (si conoce y aplica las medidas que le afectan) y uso de productos certificados.
Las medidas del anexo II se agrupan en tres bloques: marco organizativo [org], marco operacional [op] y medidas de protección [mp]. Las que eliges se recogen en la Declaración de Aplicabilidad, firmada por el responsable de la seguridad, y se pueden sustituir por medidas compensatorias si justificas por escrito que protegen igual o mejor (art. 28). Un ejemplo del CCN: en categoría media se exige doble factor de autenticación, que puede hacerse con tokens, certificados digitales o contraseñas de un solo uso por SMS o por una aplicación del móvil.
El dictamen final es uno de estos tres (instrucción técnica de auditoría, apartado VI.3):
| Dictamen | Cuándo | Qué pasa después |
|---|---|---|
| Favorable | No hay ninguna no conformidad, mayor ni menor | Se puede expedir la certificación |
| Favorable con no conformidades | Hay alguna no conformidad, mayor o menor | Presentas un plan de acciones correctivas en un mes como máximo; se certifica si la entidad considera que resuelve los hallazgos |
| Desfavorable | Por su número o importancia, no se pueden resolver con un plan | Auditoría extraordinaria de esos hallazgos en un plazo no superior a seis meses |
Si ya estás certificado y aparecen no conformidades mayores, el certificado queda en suspenso mientras las resuelves. Si no las cierras en seis meses, se revoca y tienes que quitar el distintivo de tu web hasta la siguiente certificación (apartado VI.6).
¿Cómo se prepara una empresa para el ENS?
El CCN propone en sus preguntas frecuentes un plan de adecuación con estos pasos:
- Preparar y aprobar la política de seguridad de la información y la normativa interna, con sus roles y responsabilidades.
- Analizar y categorizar los sistemas, valorando la información que manejan (también si incluye datos personales) y los servicios que prestan.
- Preparar una Declaración de Aplicabilidad inicial con las medidas del anexo II, ajustada si procede a un perfil de cumplimiento específico.
- Hacer un análisis de riesgos para comprobar que esas medidas son adecuadas y suficientes.
- Cerrar la Declaración de Aplicabilidad definitiva.
- Implantar el resto de las medidas que exige la categoría.
Tres consejos que salen de la propia norma:
- Acota el alcance. Lo que se certifica son sistemas, y los servicios que se apoyan en ellos aparecen enumerados en la certificación, según el CCN. El anexo II permite además separar los subsistemas que necesitan un nivel distinto del sistema principal, siempre que se puedan delimitar la información y los servicios afectados (apartado 2.2). Empieza por identificar qué sistemas sostienen el contrato público.
- Separa los roles. El responsable de la seguridad debe ser distinto del responsable del sistema y sin dependencia jerárquica entre ambos. Solo si faltan recursos de forma justificada pueden coincidir, y entonces hay que aplicar medidas compensatorias (art. 13.3). En una empresa pequeña, esto hay que pensarlo antes de la auditoría.
- Mira si hay un perfil de cumplimiento para ti. Los perfiles de cumplimiento específicos adaptan las medidas a una entidad o a un sector concreto, y los valida y publica el CCN (art. 30). Según sus preguntas frecuentes, hasta ahora los hay para entidades locales, universidades y servicios en la nube. Si vendes software como servicio al sector público, revisa el de la nube.
Otro alivio para los sistemas básicos: el CCN aclara que en esa categoría basta un análisis de riesgos informal.
¿Qué pasa si no cumples?
El CCN contesta en sus preguntas frecuentes que "El ENS no prevé sanciones por incumplimiento". Para un proveedor, lo que está en juego es el contrato: el pliego puede exigir la declaración o la certificación (art. 2.3) y la entidad pública puede pedirte los informes en cualquier momento. Y si una auditoría encuentra no conformidades mayores en un sistema certificado, el certificado queda en suspenso y puede acabar revocado.
¿Ha cambiado algo recientemente?
Poco en la norma, y conviene saber qué:
- El ENS actual es de 2022. El Real Decreto 311/2022 derogó el Real Decreto 3/2010. Los sistemas que ya existían, "incluidos aquellos de los que sean titulares los contratistas del sector privado", tuvieron veinticuatro meses para adaptarse (disposición transitoria única). En su página de entidades de certificación, el CCN recomendaba llegar al 5 de mayo de 2024 con un certificado del Real Decreto 311/2022 o en proceso de obtenerlo.
- Un solo cambio desde entonces. El Real Decreto 1125/2024, de 5 de noviembre, modificó la disposición adicional segunda para cambiar quién aprueba las instrucciones técnicas de seguridad: ahora, la persona titular del Ministerio para la Transformación Digital y de la Función Pública. Rige desde el 7 de noviembre de 2024 y es la última modificación que recoge el texto consolidado del BOE a fecha de octubre de 2026.
- Instrucciones técnicas pendientes de actualizar. Las de conformidad (2016) y auditoría (2018) se dictaron para el Real Decreto 3/2010. El BOE no las da por derogadas y el CCN las sigue citando, pero dice que la de conformidad está "en proceso de actualización" al Real Decreto 311/2022. Antes de ofertar, revisa el pliego y el portal del CCN por si hay una versión nueva.
Si necesitas revisar tus sistemas antes de la auditoría, en Quantum Nova lo hacemos nosotros, sin subcontratar, y con precio cerrado tras un diagnóstico gratuito: lo tienes en auditoría de seguridad y pentesting. Lo que no hacemos es certificar: la certificación la expide una entidad acreditada por ENAC.
Preguntas frecuentes
¿Es obligatorio el ENS para una empresa privada?
Solo si presta servicios o da soluciones, por contrato, a una entidad del sector público para que ejerza sus competencias (art. 2.3 del Real Decreto 311/2022), o si trata datos personales para una Administración por concesión, encomienda o contrato. Si solo trabajas con empresas y particulares, el ENS no te obliga.
¿Cada cuánto hay que renovar la certificación del ENS?
La auditoría de los sistemas de categoría media o alta se repite al menos cada dos años, y antes si hay cambios sustanciales. El CCN pide además una auditoría interna cada año. En categoría básica, la autoevaluación también se repite al menos cada dos años.
¿Puede certificarme la consultora que me ayuda a prepararme?
No es lo recomendable. La certificación la expide una entidad acreditada por ENAC, y la instrucción técnica de auditoría dice que, para asegurar su independencia, la auditoría no incluirá en ningún caso actividades de consultoría, como redactar los documentos del ENS o implantar aplicaciones. Lo prudente es que quien te prepara y quien te certifica sean entidades distintas.
¿Una empresa extranjera puede certificarse en el ENS?
Sí. El CCN dice que es preceptivo que los sistemas de cualquier entidad, española o no, tengan la certificación cuando presten estos servicios, y que en su lista de empresas certificadas hay varias que no son españolas y cuyos sistemas no están en España.
¿Dónde compruebo si un proveedor cumple el ENS?
El proveedor debe exhibir en su web el distintivo de conformidad enlazado a su declaración o certificación. Y el portal del ENS del CCN enlaza a la relación de entidades públicas y privadas cuyos sistemas están certificados.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (texto consolidado), arts. 1, 2, 12, 13, 28, 30, 31, 33, 38 y 41, anexos I, II y III, disposición adicional segunda, disposición transitoria única y disposición derogatoria única.
- Ley 40/2015, de Régimen Jurídico del Sector Público, arts. 2 y 156.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, disposición adicional primera.
- Resolución de 13 de octubre de 2016, Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad, apartados III, VI y VII.
- Resolución de 27 de marzo de 2018, Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información, apartados IV.2 y VI.
- Real Decreto 1125/2024, de 5 de noviembre, disposición final segunda.
- Centro Criptológico Nacional, portal del ENS: preguntas frecuentes.
- Centro Criptológico Nacional, portal del ENS: entidades de certificación.
- Centro Criptológico Nacional, portal del ENS: certificación.
Este artículo explica la norma y los criterios publicados a la fecha de actualización. No sustituye el consejo de un abogado para un caso concreto.