ENS (Esquema Nacional de Seguridad): Requisitos y Certificación

El Esquema Nacional de Seguridad (ENS) es el marco de seguridad obligatorio para todas las Administraciones Públicas españolas y cualquier empresa privada que preste servicios o soluciones al sector público español. Si quieres hacer negocio con la Administración Pública, el ENS no es opcional — es el billete de entrada.

Actualizado en 2022 (Real Decreto 311/2022), el ENS se alinea con NIS2, ISO 27001 y otros estándares europeos, manteniendo requisitos específicos para el ecosistema del sector público español.

¿A Quién Afecta el ENS?

Alcance Directo

Todas las Administraciones Públicas españolas — Administración General del Estado, comunidades autónomas, entidades locales, universidades, servicios públicos de salud
Entidades del sector público — organismos, fundaciones y empresas públicas
Cualquier empresa privada que preste servicios electrónicos, sistemas o soluciones a las Administraciones Públicas

La Realidad del Sector Privado

Aquí es donde la mayoría de organizaciones se sorprenden. Si tu empresa:

Aloja o gestiona sistemas usados por Administraciones Públicas
Desarrolla software utilizado en servicios públicos
Proporciona servicios cloud a entidades gubernamentales
Gestiona datos en nombre de organizaciones públicas
Presta consultoría o servicios TI al sector público

…entonces necesitas cumplimiento ENS al nivel apropiado.

Tres Niveles de Certificación

Nivel	Se Aplica Cuando	Requisito de Auditoría
Básico	Sistemas que manejan información de bajo impacto	Autoevaluación
Medio	Sistemas con impacto moderado en servicios o datos	Auditoría externa obligatoria
Alto	Sistemas críticos para servicios públicos, seguridad nacional o datos sensibles	Auditoría externa por organismo acreditado

El nivel requerido depende de las dimensiones de impacto: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y los servicios.

Requisitos Clave

El ENS organiza las medidas de seguridad en tres categorías:

1. Medidas Organizativas

Política de seguridad — documentada, aprobada por la dirección, comunicada a todo el personal
Normativa y procedimientos de seguridad — guías operativas detalladas
Proceso de autorización — proceso formal para autorizar sistemas y cambios
Análisis de riesgos — identificación y evaluación sistemática de riesgos
Roles de seguridad — responsabilidades definidas: responsable de seguridad, administrador de sistemas, administrador de seguridad

2. Medidas Operacionales

Control de acceso — mecanismos de identificación, autenticación y autorización
Registro de actividad — pistas de auditoría para todas las actividades del sistema
Gestión de incidentes — procedimientos de detección, respuesta y recuperación
Continuidad de negocio — planes de backup, recuperación y disponibilidad
Gestión de configuración — configuraciones base y control de cambios
Mantenimiento — mantenimiento regular del sistema y parcheado de seguridad
Monitorización — monitorización continua de la seguridad del sistema

3. Medidas de Protección

Protección de instalaciones — seguridad física de centros de datos y áreas de trabajo
Protección de comunicaciones — cifrado, segmentación de red, seguridad perimetral
Protección de la información — clasificación, manejo y destrucción de datos
Protección de software — desarrollo seguro, pruebas de seguridad de aplicaciones
Protección criptográfica — estándares de cifrado para datos en reposo y en tránsito

Proceso de Cumplimiento

Categorizar tus sistemas según las dimensiones de impacto
Seleccionar las medidas de seguridad aplicables a tu nivel
Implementar las medidas
Evaluar el cumplimiento mediante auditoría interna o externa
Certificar (para niveles Medio y Alto) mediante organismos de certificación acreditados
Mantener el cumplimiento con auditorías periódicas (cada 2 años para Medio/Alto)

Por Qué el ENS Importa

Acceso al mercado: Sin ENS, no puedes licitar en la mayoría de contratos del sector público español. El mercado TI del sector público vale miles de millones anuales.
Alineación con NIS2: El ENS actualizado (2022) está diseñado para alinearse con los requisitos de NIS2.
Solapamiento con ISO 27001: Muchos controles ENS se mapean directamente a controles del Anexo A de ISO 27001. Conseguir ambos es eficiente.
Enforcement creciente: Las Administraciones Públicas exigen cada vez más certificación ENS en procesos de contratación, no solo como preferencia sino como requisito obligatorio.

Qué Pasa Sin ENS

El ENS no impone multas monetarias directas como el GDPR. Pero las consecuencias son significativas:

Un Escenario Que Cuesta Contratos

Este es un escenario ilustrativo basado en patrones comunes de contratación.

Una empresa tecnológica gana un contrato de 3 millones de euros para digitalizar los servicios ciudadanos de un gobierno autonómico. El proyecto es complejo: verificación de identidad digital, tramitación electrónica de permisos, pagos online y portal de comunicación ciudadana.

Seis meses después del inicio, la oficina de seguridad del gobierno realiza una revisión rutinaria de proveedores. Descubren que la empresa no tiene certificación ENS — ni siquiera nivel Básico. La empresa asumía que “ser segura” era suficiente.

Las consecuencias:

Suspensión del contrato — todo el trabajo paralizado pendiente de revisión de cumplimiento
Exigencia de remediación — la empresa debe obtener ENS Medio en 9 meses
Costes de certificación acelerada: 50.000–100.000 € en consultoría y auditoría
Penalizaciones por retraso (15.000 €/mes según contrato)
Un competidor — ya certificado ENS Medio — ofrece hacerse cargo del proyecto
El contrato se reasigna cuando pasa el plazo sin certificación

Pérdida total: contrato de 3M€ + 200K€ en penalizaciones y costes de certificación + daño reputacional en el mercado del sector público.

La lección: en el sector público español, el ENS no es opcional — es el billete de entrada. El momento de certificarse es antes de licitar, no después de ganar.

Cómo Empezar

1. Determina Tu Nivel Requerido

Evalúa qué nivel ENS aplica a tus sistemas según las dimensiones de impacto. La mayoría de empresas que prestan servicios a la Administración necesitan al menos nivel Medio.

2. Evaluación de Brechas

Compara tu postura de seguridad actual contra los requisitos ENS para tu nivel. Identifica medidas ausentes, procesos no documentados y brechas técnicas.

3. Implementa las Medidas Pendientes

Céntrate en las brechas de mayor prioridad primero: control de acceso, registro de actividad, gestión de incidentes y análisis de riesgos son típicamente donde las empresas fallan.

4. Documenta Todo

El ENS requiere documentación extensa: política de seguridad, procedimientos operativos, informes de análisis de riesgos y evidencia de auditoría. Empieza a documentar pronto.

5. Contrata un Organismo de Certificación

Para niveles Medio y Alto, contrata un organismo de certificación acreditado. La auditoría típicamente toma 2-4 semanas, y deberías permitir 3-6 meses de preparación.

El ENS es la forma que tiene España de asegurar que cuando los ciudadanos interactúan con los servicios públicos digitales, sus datos y su confianza están protegidos. Para las empresas, es la señal más clara de que estás preparado para el mercado del sector público. No esperes a que un contrato lo exija — prepárate antes de que llegue la oportunidad.