Categorías del ENS: básica, media y alta explicadas
Una de las primeras preguntas al enfrentarse al Esquema Nacional de Seguridad es «¿qué categoría me corresponde?». Y no es una duda menor: la categoría determina cuántas medidas de seguridad son obligatorias, cuánto cuesta la adecuación y si necesitas o no una auditoría externa. Esta guía explica las tres categorías del ENS y cómo se decide la tuya.
¿Cuáles son las categorías del ENS?
El ENS establece tres categorías de seguridad: Básica, Media y Alta. Cada una exige un conjunto creciente de medidas del Anexo II, de modo que a mayor categoría, mayor protección obligatoria y mayor coste de adecuación.
La categoría no es una elección comercial: se asigna según el impacto que tendría un incidente de seguridad sobre la información y los servicios que maneja tu sistema. Cuanto más grave sería ese impacto, más alta es la categoría.
Comparativa rápida de las tres categorías
| Básica | Media | Alta | |
|---|---|---|---|
| Impacto de un incidente | Limitado | Moderado | Grave o muy grave |
| Vía de acreditación | Declaración (autoevaluación) | Certificación (auditor ENAC) | Certificación (auditor ENAC) |
| Auditoría externa | No obligatoria | Obligatoria | Obligatoria |
| Perfil típico | Servicios de bajo impacto | Pyme SaaS proveedora de la administración | Infraestructuras críticas, salud, defensa |
| Volumen de medidas | Reducido | Ampliado | Catálogo completo |
¿Cómo se determina la categoría de un sistema?
La categoría se determina evaluando cinco dimensiones de seguridad (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad) y asignando a cada una un nivel de impacto bajo, medio o alto. La categoría del sistema es la correspondiente al nivel más alto que alcance cualquiera de las cinco dimensiones.
Es decir, basta con que una sola dimensión sea de nivel alto para que todo el sistema sea de categoría Alta. Por eso valorar bien cada dimensión, sin exagerar ni minimizar, es lo que evita sobredimensionar el proyecto. Este análisis es una de las fases clave de la adecuación al ENS.
¿Qué son las cinco dimensiones de seguridad?
Son los cinco aspectos que el ENS evalúa para medir el impacto de un incidente. La confidencialidad se refiere a que la información no llegue a quien no debe; la integridad, a que no se altere indebidamente; la trazabilidad, a poder saber quién hizo qué y cuándo; la autenticidad, a garantizar que las partes son quienes dicen ser; y la disponibilidad, a que el servicio esté accesible cuando se necesita.
Cada sistema pondera estas dimensiones de forma distinta, y esa ponderación es exactamente lo que hay que documentar en el proceso de categorización. Un servicio de consulta de información pública prioriza la disponibilidad, porque un ciudadano tiene que poder acceder a él cuando lo necesita; uno que maneja datos sensibles prioriza la confidencialidad, porque una filtración sería el escenario más dañino; y un sistema de trámites administrativos suele dar más peso a la trazabilidad, porque hay que poder demostrar quién hizo cada gestión.
Categoría Básica
La categoría Básica corresponde a sistemas cuyo incidente tendría un impacto limitado. Es la de menor exigencia: requiere el conjunto más reducido de medidas y puede acreditarse mediante una Declaración de Conformidad por autoevaluación, sin auditoría externa obligatoria.
Es la vía más económica y rápida, adecuada para servicios de bajo impacto. Un ejemplo típico es una web informativa de un pequeño ayuntamiento sin trámites sensibles, o una herramienta interna de gestión documental sin datos especialmente delicados.
Categoría Media
La categoría Media es la más habitual entre las empresas privadas que prestan servicios TIC a la administración. Exige un conjunto ampliado de medidas y, a diferencia de la Básica, requiere una Certificación de Conformidad emitida por una entidad acreditada por ENAC.
Es el escenario típico de una pyme SaaS proveedora del sector público, y donde se concentra la mayoría de los proyectos. Un ejemplo habitual es una plataforma de gestión de citas o expedientes que varios organismos usan como proveedor externo, o un servicio de correo electrónico corporativo contratado por una administración local.
Categoría Alta
La categoría Alta se reserva a sistemas críticos, cuyo incidente tendría un impacto muy grave: seguridad, servicios esenciales, grandes volúmenes de datos sensibles. Exige el conjunto completo de medidas del Anexo II y también certificación por entidad acreditada.
Es la menos frecuente en el sector privado y la que más multiplica el coste y el plazo de adecuación. Aparece en sistemas de control de infraestructuras energéticas, plataformas hospitalarias con datos clínicos masivos o sistemas vinculados a la seguridad del Estado.
El error más común al categorizar
El fallo más habitual no es sobrestimar la categoría, sino subestimarla: muchas empresas asumen que su sistema es de bajo impacto sin haber evaluado formalmente las cinco dimensiones, y descubren en la auditoría que alguna de ellas (normalmente la disponibilidad, si el servicio es crítico para el organismo que lo usa, o la confidencialidad, si maneja datos sensibles) los sitúa en una categoría superior a la esperada.
Esto no solo obliga a rehacer parte del trabajo, también retrasa el proyecto justo cuando puede haber una licitación con fecha límite de por medio. Por eso la categorización merece una evaluación formal y documentada desde el principio, no una estimación rápida basada en intuición.
¿Cómo afecta la categoría al coste?
De forma directa: cada salto de categoría añade medidas obligatorias y, en Media y Alta, el coste de la auditoría externa. Por eso categorizar con precisión es la decisión que más influye en el presupuesto de todo el proyecto.
Tienes el desglose de coste por categoría en cuánto cuesta el ENS, y el marco general en la guía del Esquema Nacional de Seguridad.
Evalúa tu categoría real con nosotros, no a ojo
Cuéntanos qué servicios prestas y qué información manejan. Evaluamos contigo las cinco dimensiones de seguridad y te decimos, con criterio documentado, qué categoría te corresponde antes de que lo decida un auditor a mitad de proyecto.
El ENS tiene tres categorías de seguridad: Básica, Media y Alta. Se asignan según el impacto que tendría un incidente sobre la información y los servicios del sistema.
La determina el responsable del sistema mediante el proceso de categorización, evaluando el impacto en las cinco dimensiones de seguridad. No es una elección libre: se basa en criterios definidos por el ENS.
La mayoría de empresas SaaS y proveedores TIC de la administración se sitúan en categoría Media, aunque servicios de bajo impacto pueden quedar en Básica. La categoría exacta depende de la información y los servicios concretos que manejes.
No de forma arbitraria: la categoría refleja el impacto real de un incidente. Lo que sí ayuda es acotar bien el alcance, de modo que solo entren en el ENS los sistemas que de verdad lo requieren.
Sí, es lo habitual: cada dimensión (confidencialidad, integridad, trazabilidad, autenticidad, disponibilidad) se valora por separado con su propio nivel de impacto. La categoría final del sistema es siempre la del nivel más alto alcanzado en cualquiera de ellas, aunque las demás sean más bajas.