El Esquema Nacional de Seguridad fija la seguridad mínima de los sistemas del sector público. Lo regula el Real Decreto 311/2022, de 3 de mayo, y su artículo 2.3 lo extiende a las empresas privadas que prestan servicios a una Administración. Si vendes software, alojas datos o das soporte a un organismo público, el Esquema Nacional de Seguridad te obliga aunque tu empresa sea privada.
Lo esencial
- La norma vigente es el Real Decreto 311/2022, que sustituyó al RD 3/2010.
- Obliga a todo el sector público y, por el artículo 2.3, a los proveedores privados que prestan servicios a la Administración.
- Los sistemas se clasifican en categoría BÁSICA, MEDIA o ALTA según el impacto en cinco dimensiones de seguridad.
- La categoría BÁSICA se acredita por autoevaluación; MEDIA y ALTA exigen certificación con auditoría externa.
- La auditoría ordinaria se repite al menos cada dos años, conforme al artículo 31.
¿Qué es el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad es el marco reglamentario que establece los principios y requisitos mínimos de seguridad para los sistemas de información del sector público español. Su objetivo es que la ciudadanía pueda relacionarse por vía electrónica con la Administración con garantías equivalentes, sea cual sea el organismo con el que trate.
A diferencia de una norma voluntaria, el ENS no se elige: se cumple. El Real Decreto 311/2022 actualizó el marco anterior de 2010 para alinearlo con el contexto de amenazas actual, reforzar la cadena de suministro e introducir los perfiles de cumplimiento específicos, que son conjuntos de medidas ajustados a tipologías concretas de entidad y evitan que un ayuntamiento pequeño tenga que recorrer el mismo camino que un ministerio.
¿A quién obliga el Esquema Nacional de Seguridad?
Obliga a todo el sector público en los términos del artículo 2 de la Ley 40/2015, y también a las entidades privadas cuando prestan servicios a una Administración. El artículo 2.3 del RD 311/2022 es explícito: los pliegos deben incluir los requisitos de conformidad con el ENS y tener en cuenta la cadena de suministro.
En la práctica, esto arrastra a un volumen de empresas privadas muy superior al que se suele suponer. Los casos más frecuentes son estos:
- Proveedores de software de gestión, expediente electrónico o sede electrónica.
- Empresas de alojamiento, nube o centro de datos que soportan servicios públicos.
- Prestadores de soporte, mantenimiento o desarrollo con acceso a sistemas de la Administración.
- Servicios de digitalización, custodia documental o gestión de identidades.
- Subcontratistas de cualquiera de los anteriores, por efecto de la cadena de suministro.
Por ejemplo: una empresa de 40 empleados que aloja el gestor documental de tres ayuntamientos no es sector público, pero su sistema entra en el ámbito del ENS por el servicio que presta, y esa conformidad se la van a pedir en la siguiente licitación.
Hay dos obligaciones de proveedor que se descubren tarde. La primera: la conformidad debe mantenerse en vigor durante toda la vigencia del contrato, y la pérdida o suspensión del distintivo se comunica sin demora al órgano contratante, que además puede pedirte los informes de autoevaluación o de auditoría para verificar lo declarado. La segunda: las empresas privadas certificadas aparecen en el listado público del CCN, así que tu cliente puede comprobar tu conformidad antes de adjudicarte nada y sin preguntártelo.
¿Cuáles son las categorías del ENS y cómo se decide la tuya?
El artículo 40 y el Anexo I del RD 311/2022 establecen tres categorías: BÁSICA, MEDIA y ALTA. La categoría no la elige la empresa: resulta de valorar el impacto que tendría un incidente sobre cinco dimensiones de seguridad, y el sistema recibe la categoría más alta que alcance cualquiera de ellas.
| Dimensión | Qué protege | Ejemplo de impacto |
|---|---|---|
| Disponibilidad | Que el servicio esté accesible cuando se necesita | La sede electrónica cae en plazo de presentación de solicitudes |
| Integridad | Que la información no se altere sin autorización | Se modifica un expediente sin dejar rastro |
| Confidencialidad | Que solo accedan los autorizados | Se filtran datos de un padrón municipal |
| Autenticidad | Que el origen de la información sea el declarado | Se suplanta la firma de un responsable |
| Trazabilidad | Que quede constancia de quién hizo qué y cuándo | No se puede reconstruir quién consultó un dato sensible |
La consecuencia operativa importa más que la etiqueta: la categoría determina qué medidas del Anexo II son exigibles y, sobre todo, cómo se acredita la conformidad. BÁSICA admite autoevaluación, mientras que MEDIA y ALTA exigen auditoría de certificación por una entidad acreditada.
¿Qué medidas de seguridad exige el Anexo II?
El Anexo II agrupa las medidas en tres bloques: marco organizativo, marco operacional y medidas de protección. El artículo 28 establece que se aplican de forma proporcional a la categoría del sistema, de manera que un sistema BÁSICA implanta un subconjunto y uno ALTA despliega el bloque completo con refuerzos.
- Marco organizativo: política de seguridad, normativa, procedimientos y proceso de autorización.
- Marco operacional: planificación, control de acceso, explotación, servicios externos, continuidad y monitorización del sistema.
- Medidas de protección: instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios.
En total el Anexo II recoge 73 medidas: 4 en el marco organizativo, 33 en el marco operacional y 36 en medidas de protección. No se aplican todas en todos los casos. El artículo 28 obliga a desplegarlas de forma proporcional, de modo que un sistema de categoría BÁSICA trabaja con un subconjunto y uno de categoría ALTA despliega el catálogo completo con refuerzos adicionales. Si vienes del mundo ISO, el marco organizativo te sonará mucho: es casi el mismo territorio que cubren las normas ISO aplicadas al compliance.
Buena parte de este contenido se solapa con lo que ya exige un sistema de gestión certificado, lo que abre una vía de ahorro real si el orden de los proyectos se elige bien.
¿Cómo adecuarse al Esquema Nacional de Seguridad paso a paso?
La adecuación tiene seis pasos y el primero es el que más condiciona el coste total, porque delimita cuánto sistema entra en el perímetro.
- Delimitar el alcance: qué servicios y sistemas prestan el servicio a la Administración, y cuáles quedan fuera con justificación.
- Categorizar: valorar las cinco dimensiones conforme al Anexo I y fijar la categoría resultante.
- Analizar riesgos: identificar amenazas sobre los activos del alcance y decidir el tratamiento de cada una.
- Declarar aplicabilidad: seleccionar las medidas del Anexo II exigibles y documentar el estado de cada una.
- Implantar y cerrar brechas: ejecutar el plan de adecuación y generar las evidencias que lo acreditan.
- Auditar y declarar o certificar: autoevaluación en BÁSICA, auditoría de certificación en MEDIA y ALTA.
El plazo habitual va de seis a doce meses con un alcance acotado y algo de madurez previa en seguridad. La disposición transitoria única del RD 311/2022 concedió veinticuatro meses a los sistemas preexistentes para alcanzar la plena adecuación, así que a estas alturas ese margen ya está agotado y lo que queda es la exigencia ordinaria.
¿Qué diferencia hay entre declaración y certificación de conformidad?
La declaración de conformidad es una autoevaluación que la propia entidad emite y publica, y solo está permitida para los sistemas de categoría BÁSICA. La certificación exige una auditoría realizada por una entidad de certificación acreditada y es obligatoria para las categorías MEDIA y ALTA.
La diferencia práctica aparece en las licitaciones. Un pliego que exige conformidad al ENS de categoría MEDIA no se satisface con una autoevaluación, por bien hecha que esté. Antes de presupuestar la adecuación conviene leer qué categoría pide el pliego, porque de esa línea depende si necesitas auditor externo o no.
| Criterio | Declaración de conformidad | Certificación de conformidad |
|---|---|---|
| Categorías admitidas | Solo BÁSICA | BÁSICA, MEDIA y ALTA |
| Quién la emite | La propia entidad, tras autoevaluación | Entidad de certificación acreditada |
| Base de evidencia | Autoevaluación documentada | Auditoría formal de certificación |
| Ciclo de renovación | Autoevaluación al menos cada dos años | Validez habitual de dos años naturales |
| Valor en licitaciones | Válido cuando el pliego admite categoría BÁSICA | Exigible y necesario en MEDIA y ALTA |
Fuente: artículo 38 y anexo III del Real Decreto 311/2022 y preguntas frecuentes del ENS del Centro Criptológico Nacional, que fija la validez habitual de dos años naturales para las certificaciones emitidas conforme al RD 311/2022. Consultado el 20 de octubre de 2026.
¿Se puede aprovechar la ISO 27001 para el ENS?
Sí en buena medida, pero no sustituye al ENS. Ambas parten de un análisis de riesgos y comparten controles de acceso, continuidad, registro y gestión de incidentes, de modo que una empresa con un SGSI certificado llega a la adecuación con parte del trabajo hecho. Lo que no cubre la ISO 27001 es la categorización por dimensiones ni el catálogo concreto del Anexo II, que son propios del ENS.
| Aspecto | ENS (RD 311/2022) | ISO 27001:2022 |
|---|---|---|
| Naturaleza | Obligatoria por reglamento | Voluntaria y certificable |
| Ámbito | Sector público y sus proveedores (art. 2.3) | Cualquier organización, alcance libre |
| Cómo se dimensiona | Categoría BÁSICA, MEDIA o ALTA (art. 40) | Análisis de riesgos y SoA |
| Catálogo de medidas | Anexo II, tres bloques | Anexo A, 93 controles en cuatro temas |
| Periodicidad de auditoría | Al menos cada dos años (art. 31) | Seguimiento anual, recertificación a los 3 años |
| Quién acredita | Autoevaluación o entidad de certificación | Entidad acreditada por ENAC |
Si vendes a la Administración, el orden eficiente es ENS primero, porque es exigible hoy y aparece en el pliego, y después la certificación ISO 27001, que reaprovecha el análisis de riesgos y buena parte de las evidencias. Conviene además seguir de cerca la transposición de la NIS2, que a 29 de septiembre de 2026 sigue pendiente: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y sigue en tramitación, de modo que entretanto continúa vigente el Real Decreto-ley 12/2018. El mapa completo de obligaciones está en la guía de ciberseguridad para empresas.
¿En qué se diferencia el ENS del RGPD?
Protegen cosas distintas. El ENS protege el sistema de información y el servicio público que presta, con independencia de qué datos circulen por él. El RGPD protege a las personas cuyos datos se tratan, y se aplica aunque el sistema no tenga nada que ver con la Administración.
Se tocan en el artículo 32 del RGPD, que exige medidas técnicas y organizativas apropiadas sin decir cuáles. Ahí el Anexo II del ENS funciona muy bien como catálogo concreto con el que acreditar esas medidas ante la autoridad de control. Lo que no cubre el ENS son las obligaciones propiamente de protección de datos: base legal del tratamiento, registro de actividades, derechos de las personas, evaluaciones de impacto o el plazo de notificación de brechas.
En la práctica una empresa que presta servicios a la Administración y trata datos personales tiene las dos obligaciones a la vez, y conviene no confundir los calendarios: la auditoría del ENS es bienal, mientras que la notificación de una brecha al amparo del RGPD se cuenta en 72 horas.
¿Qué errores retrasan más una adecuación al ENS?
- Alcance sin delimitar: se mete toda la empresa en el perímetro y el proyecto se multiplica sin necesidad.
- Categorizar a ojo: fijar MEDIA «por si acaso» dispara medidas y obliga a auditoría externa que quizá no tocaba.
- Olvidar la cadena de suministro: el subcontratista que aloja el servicio también queda dentro y nadie lo ha evaluado.
- Documentar sin evidencia: el auditor pide registros de aplicación, no procedimientos recién firmados.
- Dejar la gestión de vulnerabilidades sin proceso: es de las primeras cosas que el auditor pide demostrar con datos.
Mantener viva la conformidad entre auditorías es un problema de trazabilidad más que de tecnología. Centralizar política, riesgos, medidas, incidentes y evidencias en el software de cumplimiento normativo de Laworatory evita reconstruir dos años de registros la semana previa a la auditoría.
Preguntas frecuentes sobre el ENS
¿Es obligatorio el Esquema Nacional de Seguridad para una empresa privada?
Sí, cuando presta servicios a una Administración pública. El artículo 2.3 del RD 311/2022 extiende el ENS a las entidades del sector privado que celebran contratos para prestar servicios administrativos, y obliga a incluir esos requisitos en los pliegos.
¿Cada cuánto hay que auditar el ENS?
El artículo 31 exige una auditoría ordinaria al menos cada dos años, y auditorías extraordinarias siempre que se produzcan modificaciones sustanciales en el sistema que puedan afectar a las medidas de seguridad. El propio artículo 31.2 modula esa exigencia según la categoría: los sistemas de categoría BÁSICA la acreditan mediante autoevaluación, mientras que MEDIA y ALTA requieren auditoría formal.
Por encima de ese ciclo hay tres detalles que conviene tener en calendario. La auditoría extraordinaria por modificación sustancial reinicia el cómputo de los dos años, y ese plazo solo admite una ampliación de tres meses por causa de fuerza mayor no imputable al titular (artículo 31.1). El análisis de riesgos se revisa y aprueba cada año. Y los sistemas de categoría MEDIA y ALTA suman una auditoría interna de cumplimiento anual, independiente de la auditoría de certificación bienal (FAQ oficial del CCN, consultada el 20 de octubre de 2026).
¿Qué categoría del ENS me corresponde?
La que resulte de valorar el impacto de un incidente sobre las cinco dimensiones (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad), conforme al Anexo I. El sistema recibe la categoría más alta alcanzada por cualquiera de ellas.
¿Qué pasa si no me adecúo al ENS?
El efecto inmediato no es sancionador sino contractual: quedas fuera de las licitaciones que exigen conformidad y puedes perder contratos en vigor cuando el organismo revise su cadena de suministro. Además, un incidente en un sistema no adecuado agrava la posición de la empresa frente a la Administración y, si hay datos personales, frente a la obligación de notificar la brecha.
¿Quién emite la certificación de conformidad con el ENS?
Una entidad de certificación acreditada para ello, no la propia empresa ni la Administración cliente. La autoevaluación de la categoría BÁSICA sí la emite y publica la propia entidad, pero para MEDIA y ALTA hace falta auditor externo acreditado. Conviene confirmar la acreditación de la entidad antes de contratar, porque un certificado sin ella no le sirve al órgano de contratación.
¿La certificación ENS sirve para toda la empresa?
No necesariamente. La conformidad se emite sobre un alcance concreto de sistemas y servicios, igual que en la ISO 27001. Si más adelante añades un servicio nuevo a la Administración, hay que revisar si entra en el alcance certificado o requiere ampliarlo.
Por dónde empezar
Si tienes una licitación a la vista, el primer paso no es contratar auditoría: es leer qué categoría exige el pliego y delimitar qué sistemas prestan realmente ese servicio. Con la categoría fijada y el alcance cerrado, el plan de adecuación deja de ser una estimación y pasa a tener fechas y coste. Si tienes dudas sobre qué categoría te toca o hasta dónde llega tu alcance, cuéntanos tu caso y lo revisamos.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Última actualización: 29 de septiembre de 2026.
