ENS para empresas privadas: cómo vender al sector público
Existe la idea de que el Esquema Nacional de Seguridad es cosa de organismos públicos. No lo es. Si tu empresa desarrolla software, opera un SaaS o presta cualquier servicio TIC a la administración, el ENS te aplica a ti, una empresa privada. Y cada vez más, es lo que decide si puedes presentarte a una licitación o no. Esta guía explica exactamente cuándo obliga, qué necesitas y cómo entrar en ese mercado.
¿Están obligadas las empresas privadas a cumplir el ENS?
Sí, cuando prestan servicios a la administración pública que implican sistemas de información. El Real Decreto 311/2022 extiende el ENS a los operadores del sector privado que manejan información o servicios públicos, de modo que la obligación se traslada por contrato desde el organismo a su proveedor.
En términos prácticos, no importa que seas una empresa privada: si alojas datos de un ayuntamiento, operas una plataforma que usa una consejería o firmas un contrato TIC con un ministerio, tienes que demostrar conformidad con el ENS. La administración no puede externalizar sus servicios a un proveedor que no cumpla su mismo nivel de seguridad.
¿Por qué el ENS es la llave del sector público?
Porque la conformidad con el ENS se ha convertido en un requisito de admisión en un número creciente de pliegos de licitación. Sin ella, tu oferta se queda fuera antes de que nadie valore su precio o su calidad técnica.
Esto cambia por completo la lógica de la inversión. El ENS no es un gasto de cumplimiento que se sopesa contra un ahorro: es la condición de entrada a un mercado (la contratación pública) que mueve miles de millones al año en España. Para una pyme tecnológica, la pregunta no es «cuánto me cuesta», sino «cuánto negocio dejo de poder tocar sin él».
¿Qué tipo de empresa privada necesita el ENS?
Conviene verlo con ejemplos, porque la definición legal es amplia y a veces cuesta reconocerse en ella. Una consultora de software que desarrolla la sede electrónica de un ayuntamiento la necesita. Un proveedor de hosting o cloud que aloja los sistemas de un organismo público, también. Una empresa de videovigilancia que da servicio a un hospital público, un despacho que gestiona nóminas de una universidad pública, o un SaaS de gestión de citas que vende su plataforma a varios centros de salud: todos entran dentro del ámbito del ENS por el mismo motivo, aunque su actividad principal no tenga nada que ver con la ciberseguridad.
Lo que decide si te aplica no es cómo te describes tú, sino si tu sistema entra en contacto con información o servicios de la administración. Muchas empresas SaaS que empezaron vendiendo solo al sector privado se encuentran con esta obligación cuando su primer cliente público firma el contrato, y ya es tarde para empezar de cero.
¿Cómo se acredita el ENS en una licitación concreta?
En la práctica, cuando te presentas a un concurso público, el pliego de condiciones especifica la categoría del ENS exigida (normalmente Media) y el tipo de distintivo que hay que aportar: la Certificación de Conformidad, emitida por una entidad acreditada por ENAC. Este documento se presenta como parte de la documentación técnica de tu oferta, junto con el resto de acreditaciones que pida el pliego.
No sirve una autoevaluación interna ni una carta de intenciones de que vas a certificarte: si el pliego pide Certificación de Conformidad, tienes que tenerla ya emitida en el momento de presentar la oferta, salvo que el propio pliego contemple expresamente un plazo de gracia (algo poco habitual y arriesgado de depender). Por eso el tiempo de preparación importa tanto: un proyecto de adecuación tarda meses, y no se puede improvisar cuando el concurso ya está publicado con fecha límite.
¿Qué categoría del ENS necesita una empresa SaaS?
La mayoría de empresas SaaS y proveedores TIC privados se sitúan en categoría Media, que exige certificación por una entidad acreditada por ENAC. Los servicios de bajo impacto pueden quedar en Básica, y solo los sistemas críticos alcanzan la categoría Alta.
La categoría no la eliges tú: se determina según el impacto que tendría un incidente sobre la información y los servicios que manejas, evaluado en cinco dimensiones de seguridad. Definir bien tu categoría y tu alcance es el paso que más influye en el coste, y lo explicamos en detalle en las categorías del ENS.
Errores frecuentes al enfocar el ENS como empresa privada
El más habitual es verlo como un gasto de cumplimiento en vez de como una inversión comercial, y por eso posponerlo hasta que ya hay una licitación concreta sobre la mesa que no se puede presentar. El segundo es certificar más alcance del necesario, incluyendo sistemas que no participan en el servicio al sector público, lo que encarece el proyecto sin ganar nada a cambio en las licitaciones.
El tercero es no leer bien el pliego antes de empezar el proyecto: cada concurso especifica su propia categoría exigida, y preparar una adecuación sin tener claro el objetivo comercial concreto lleva a veces a certificar en un nivel distinto del que realmente se necesitaba. Y el cuarto, ya mencionado, es subestimar el plazo: empezar a preparar el ENS cuando el concurso ya está publicado casi nunca llega a tiempo.
¿Cómo se certifica una empresa privada en el ENS?
El recorrido es el mismo que para cualquier organización: análisis diferencial, categorización, análisis de riesgos, implantación de las medidas del Anexo II y auditoría de certificación para categorías Media y Alta. Lo específico de una empresa privada es acotar el alcance a los servicios que presta a la administración, sin certificar de más.
Tienes el proceso completo, hito a hito, en la guía de adecuación al ENS paso a paso, y el marco general en la guía del Esquema Nacional de Seguridad.
¿Cuánto le cuesta a una pyme certificarse en el ENS?
Para una pyme tecnológica en categoría Media, la inversión típica del primer año se sitúa entre 12.000 y 30.000 euros, sumando consultoría y auditoría. La categoría Básica puede quedar por debajo de 10.000 euros y la Alta superar ampliamente los 35.000.
Un solo contrato público de tamaño medio suele amortizar con holgura esa inversión. Tienes el desglose por nivel y por partida en cuánto cuesta el ENS.
¿Y si yo subcontrato parte del servicio a otro proveedor?
La obligación no desaparece por subcontratar: si tu empresa presta un servicio a la administración y a su vez contrata a un tercero que participa en ese sistema de información (un proveedor de infraestructura cloud, por ejemplo), tienes que asegurarte de que ese tercero también cumple el nivel de seguridad exigido. La responsabilidad frente a la administración sigue siendo tuya como proveedor principal.
En la práctica, esto significa revisar los contratos con tus propios proveedores tecnológicos y exigirles garantías equivalentes, o elegir directamente proveedores que ya tengan su propia conformidad con el ENS. Es un punto que muchas empresas pasan por alto al planificar su adecuación, y que un auditor revisa: de poco sirve tener tus propios sistemas bien protegidos si dependes de un tercero que no cumple el mismo nivel de exigencia.
¿Cómo se reduce el coste y el plazo?
La palanca más eficaz es partir con deberes hechos. Si ya tienes ISO 27001, el solape de controles reduce el coste del ENS de forma notable. Y si acotas el alcance a lo que de verdad necesitas certificar para licitar, evitas pagar por proteger sistemas que no entran en juego.
El otro acelerador es empezar por un diagnóstico que mida tu situación real frente al ENS antes de implantar nada: cuanto mejor conozcas el punto de partida, menos horas a ciegas pagarás.
Revisa con nosotros el pliego que quieres presentar
Cuéntanos a qué concurso o cliente público quieres optar y qué tienes hoy en materia de seguridad. En una conversación de 30 minutos te decimos si con tu situación actual puedes presentarte, y si no, qué te falta y en cuánto tiempo puedes tenerlo listo.
No. Aplica también a las empresas privadas que prestan servicios a la administración cuando esos servicios implican sistemas de información. La obligación se traslada del organismo público a su proveedor a través del contrato.
Depende del pliego. Cada vez más licitaciones públicas de servicios TIC exigen la conformidad con el ENS como requisito de admisión, de modo que sin ella tu oferta queda excluida en muchos concursos.
Algunos pliegos permiten acreditar la conformidad en un plazo tras la adjudicación, pero es un riesgo. Lo habitual y más seguro es llegar al concurso ya con la adecuación resuelta o muy avanzada.
No sustituye al ENS en la contratación pública española, pero facilita mucho su adecuación por el solape de controles. Muchas empresas certifican ISO 27001 y apoyan el ENS sobre ese sistema.
Sí, y es recomendable. La categoría del ENS requerida suele figurar en el pliego de prescripciones técnicas o en el de cláusulas administrativas del concurso, junto con el resto de acreditaciones exigidas a los licitadores.