ENS: qué es, quién debe cumplirlo y cómo certificarte
El Esquema Nacional de Seguridad (ENS) es el requisito que separa a las empresas tecnológicas que pueden trabajar con la administración pública española de las que se quedan fuera. Si desarrollas software, ofreces un SaaS o prestas servicios TIC y quieres entrar en licitaciones públicas, tarde o temprano te lo van a pedir. Esta guía te explica qué es, a quién obliga, qué categorías existen, cuánto cuesta y cómo se certifica, con el foco puesto en pymes tecnológicas y empresas SaaS.
¿Qué es el ENS?
El ENS es el marco legal que fija los requisitos mínimos de seguridad para los sistemas de información del sector público español y de las empresas que le prestan servicios. Está regulado por el Real Decreto 311/2022 y su objetivo es garantizar que la información y los servicios manejados por la administración estén protegidos de forma homogénea y verificable.
En la práctica, el ENS traduce un principio simple: quien maneja información pública tiene que demostrar, con evidencias auditables, que la protege. No es un sello decorativo, es la condición para acceder a un mercado. Por eso lo supervisa el Centro Criptológico Nacional (CCN), que publica además las guías CCN-STIC con el detalle técnico de aplicación.
¿A quién obliga el ENS?
El ENS obliga a todas las administraciones públicas y, por extensión, a las empresas privadas que les prestan servicios cuando esos servicios implican sistemas de información. Si tu empresa aloja datos de un organismo público, opera una plataforma que usa la administración o participa en un contrato TIC, el ENS te aplica.
La consecuencia comercial es directa: cada vez más pliegos de licitación incluyen la conformidad con el ENS como requisito de admisión. No tenerlo no significa una multa; significa no poder presentarte. Para una empresa que quiere vender al sector público, el ENS es la llave de entrada. Lo desarrollamos en detalle en la guía de ENS para empresas privadas que venden a la administración.
¿Qué tipo de empresas necesitan el ENS en la práctica?
El patrón común no es «vender un producto de seguridad», sino que un sistema de información tuyo entra en contacto con datos o servicios de la administración: un SaaS que usa un ayuntamiento, un proveedor que aloja datos de un organismo público, una plataforma que integra un hospital público. Da igual cómo se llame tu empresa a sí misma.
Si tu empresa es privada y quiere entender exactamente cuándo le aplica y cómo entrar en licitaciones públicas, lo desarrollamos con casos concretos en la guía de ENS para empresas privadas que quieren vender al sector público.
¿Cuáles son las categorías del ENS: básica, media y alta?
El ENS clasifica cada sistema en tres categorías (Básica, Media o Alta) según el impacto que tendría un incidente de seguridad. La categoría se determina evaluando cinco dimensiones (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad) y se asigna la categoría correspondiente al nivel más alto que alcance cualquiera de ellas.
A mayor categoría, más medidas de seguridad obligatorias y mayor coste de adecuación. La mayoría de pymes tecnológicas proveedoras de la administración se sitúan en categoría Media. Si quieres saber cuál te corresponde, lo explicamos paso a paso en las categorías del ENS y cómo se clasifica tu sistema.
¿Cómo es el proceso de adecuación al ENS?
La adecuación al ENS sigue un recorrido definido: análisis diferencial de la situación de partida, categorización del sistema, Declaración de Aplicabilidad, análisis de riesgos (formal con MAGERIT y PILAR en categoría Alta), implantación de las medidas del Anexo II y, para las categorías Media y Alta, una auditoría de certificación por una entidad acreditada por ENAC.
Un proyecto típico en una pyme dura entre 4 y 9 meses, dependiendo del punto de partida. Tienes el recorrido completo, hito a hito, en la guía de cómo es el proceso de adecuación al ENS paso a paso.
¿Qué exigen realmente las medidas de seguridad del ENS?
El Anexo II del ENS, que es donde viven las medidas obligatorias, se organiza en tres bloques que conviene entender antes de empezar cualquier proyecto, porque marcan en qué se va a ir el trabajo real.
El marco organizativo cubre la política de seguridad, la normativa interna y los procedimientos: quién es responsable de qué, cómo se toman las decisiones de seguridad y cómo se documenta todo. Es la parte menos técnica y más de gestión, y suele sorprender por su peso: en una pyme, buena parte del proyecto de adecuación es esto.
El marco operacional cubre cómo se planifica y opera la seguridad en el día a día: control de acceso, explotación de sistemas, gestión de incidentes, continuidad de servicio y monitorización. Aquí es donde entran los procedimientos que el equipo técnico tiene que ejecutar de forma habitual, no solo documentar una vez.
Las medidas de protección son las más técnicas: protección de las instalaciones, del personal, de los equipos, de las comunicaciones, de los soportes de información y de las aplicaciones. Cifrado, copias de seguridad, gestión de vulnerabilidades y registros de actividad entran aquí.
El número exacto de medidas obligatorias dentro de estos tres bloques depende de tu categoría: en Básica se aplica un subconjunto reducido, y en Alta se exige prácticamente el catálogo completo. Por eso categorizar bien al principio del proyecto, como vimos más arriba, condiciona directamente cuánto trabajo hay por delante.
¿Qué diferencia hay entre declaración y certificación de conformidad?
La categoría Básica se puede acreditar mediante una Declaración de Conformidad basada en autoevaluación, sin auditoría externa obligatoria. Las categorías Media y Alta requieren una Certificación de Conformidad emitida por una entidad independiente acreditada por ENAC.
Esta distinción es importante porque cambia el coste, el plazo y el nivel de garantía que puedes ofrecer a la administración. La analizamos en detalle en declaración vs certificación de conformidad ENS.
¿Quién puede auditar y certificar el ENS?
Para las categorías Media y Alta, la auditoría la tiene que realizar una entidad de certificación acreditada específicamente por ENAC (la Entidad Nacional de Acreditación) para el esquema del ENS. No vale cualquier auditor de seguridad ni el mismo consultor que te ha ayudado a implantar las medidas: la norma exige separar a quien te acompaña en la implantación de quien verifica de forma independiente que el trabajo está bien hecho.
Esta independencia es la que le da valor al distintivo ante la administración: cuando un pliego de licitación pide conformidad con el ENS, lo que da garantías no es que tu empresa lo declare, sino que un tercero acreditado lo haya comprobado. Por eso, al elegir consultora y auditora, conviene asegurarse de que sean entidades distintas, aunque trabajen coordinadas durante el proyecto.
¿Cuánto cuesta certificarse en el ENS?
El coste depende de la categoría, el alcance y tu punto de partida. De forma orientativa va desde unos 4.000 euros para una categoría Básica sencilla hasta más de 100.000 euros para una categoría Alta compleja, situándose la mayoría de pymes tech en una horquilla de 12.000 a 30.000 euros el primer año.
Tienes el desglose completo por nivel y por partida, más cómo reducir la inversión, en la guía de cuánto cuesta el ENS.
Errores frecuentes al abordar el ENS
Hay patrones que se repiten en los proyectos que se complican, y conocerlos de antemano ahorra tiempo y dinero. El más común es definir mal el alcance: certificar de más, incluyendo sistemas que no participan realmente en el servicio a la administración, dispara el coste y el plazo sin aportar ningún valor comercial adicional.
El segundo es tratar la adecuación como un proyecto con fecha de fin, en vez de como un estado que hay que mantener. La certificación exige auditorías de seguimiento anuales; una empresa que se descuida entre auditorías llega a la siguiente con no conformidades acumuladas, lo que encarece la renovación y pone en riesgo la validez del distintivo.
El tercero es empezar por la implantación sin haber hecho antes un análisis diferencial serio. Sin saber de verdad qué falta, es fácil invertir en medidas que ya estaban cubiertas y dejar sin resolver las que de verdad importaban para el auditor.
Y el cuarto, más comercial que técnico, es esperar a tener la licitación encima para empezar. Un proyecto de adecuación necesita meses; si se arranca cuando el pliego ya está publicado, casi nunca da tiempo a llegar a la fecha de presentación de ofertas.
¿Cómo se relaciona el ENS con NIS2?
El ENS y la Directiva NIS2 comparten objetivo (elevar el nivel de seguridad de servicios que la sociedad necesita) pero se aplican por vías distintas. El ENS regula específicamente al sector público y a sus proveedores; NIS2 amplía el foco a sectores esenciales e importantes de la economía, con independencia de si trabajan o no con la administración, incluyendo energía, transporte, salud, infraestructuras digitales y otros.
En la práctica, muchas empresas que ya cumplen el ENS por vender al sector público se van a encontrar también dentro del ámbito de NIS2 si operan en alguno de esos sectores. La buena noticia es que el trabajo no se duplica desde cero: los controles de gestión de riesgos, continuidad e incidentes que exige el ENS son una base sólida sobre la que construir el cumplimiento de NIS2. Iremos ampliando esta guía con el detalle de NIS2 a medida que su desarrollo normativo en España avance.
¿ENS o ISO 27001? ¿En qué se diferencian?
El ENS es una obligación legal española orientada al sector público; ISO 27001 es un estándar internacional voluntario orientado al mercado privado y global. Comparten en torno a un 60-70 % de controles, de modo que tener uno reduce mucho el coste del otro.
Si vendes al sector público español, el ENS es el que abre la puerta. Si además tienes clientes privados exigentes, ISO 27001 suma. La comparación completa, con tabla de diferencias, está en ENS vs ISO 27001, y los costes de la certificación ISO en cuánto cuesta ISO 27001.
¿Qué documentación exige el ENS?
Más allá de las medidas técnicas, el ENS pide un conjunto de documentos que el auditor va a revisar uno por uno, y conviene tenerlos claros desde el inicio del proyecto. La política de seguridad es el documento marco, aprobado por la dirección, que fija el compromiso de la organización. La Declaración de Aplicabilidad detalla, medida a medida, cuáles aplican y cómo se cumplen. El análisis de riesgos justifica las decisiones tomadas. Y el conjunto de procedimientos operativos (gestión de incidentes, control de accesos, copias de seguridad, entre otros) demuestra que las medidas no solo están escritas, sino que se ejecutan.
A esto se suman los registros: evidencias de que los procedimientos se aplican en el día a día, como registros de accesos, de incidentes gestionados o de revisiones periódicas. Es precisamente aquí donde muchos proyectos flaquean: la documentación inicial se redacta bien, pero los registros que demuestran su uso continuado se descuidan con el tiempo, y es lo primero que un auditor de seguimiento revisa.
Cómo lo hacemos en Novaciber
Acompañamos a pymes tecnológicas y empresas SaaS en todo el recorrido del ENS: desde el diagnóstico inicial que determina tu categoría y tus brechas, hasta la implantación de las medidas y la superación de la auditoría de certificación. Trabajamos con foco en que el proyecto sea proporcionado a tu tamaño y orientado a un objetivo concreto: que puedas licitar.
Eso se traduce en decisiones prácticas: acotamos el alcance a lo que de verdad participa en el servicio al sector público, priorizamos las medidas que más impacto tienen sobre el resultado de la auditoría, y dejamos montado el sistema de mantenimiento para que la certificación no se degrade entre una auditoría de seguimiento y la siguiente. Si tu empresa ya tiene ISO 27001, partimos de ese trabajo en vez de empezar de cero.
El ENS no habla de cumplimiento por cumplir. Habla de confianza demostrable, la que te permite sentarte a la mesa con la administración en igualdad de condiciones.
¿Por dónde empiezo con el ENS en mi empresa?
Empieza por una conversación de 30 minutos, sin coste ni compromiso. Revisamos juntos qué servicios prestas, qué categoría te aplica y dónde están tus principales brechas, para que salgas con un plan de trabajo realista en vez de una lista de dudas.
El ENS es obligatorio para las administraciones públicas y para las empresas privadas que les prestan servicios cuando hay sistemas de información implicados. En la práctica, se exige como requisito en un número creciente de licitaciones públicas para proveedores TIC.
El ENS está regulado por el Real Decreto 311/2022, que actualizó el marco anterior. Su desarrollo técnico se recoge en las guías CCN-STIC que publica el Centro Criptológico Nacional (CCN).
Un proyecto de adecuación al ENS suele durar entre 4 y 9 meses en una pyme con un punto de partida razonable, y hasta 12 meses si se parte de cero en materia de seguridad.
La certificación de conformidad ENS tiene una validez de dos años, con una auditoría de seguimiento anual obligatoria, tras la cual debe renovarse.
No sustituye al ENS, pero facilita mucho su adecuación. Al solaparse en torno a un 60-70 % de los controles, una empresa con ISO 27001 implantada reduce de forma notable el coste y el plazo de la certificación ENS.
Solo una entidad de certificación acreditada específicamente por ENAC para el esquema del ENS, y debe ser independiente de la consultora que ayudó a implantar las medidas. Esa separación es la que da garantías a la administración.
No. El ENS regula al sector público y sus proveedores en España; NIS2 amplía el foco a sectores esenciales de la economía europea, con o sin relación con la administración. Muchas empresas se encuentran dentro de ambos marcos a la vez, y el trabajo hecho para el ENS sirve de base para NIS2.