¿Qué es el ENS (Esquema Nacional de Seguridad)?
El ENS (Esquema Nacional de Seguridad) es la normativa española obligatoria para el sector público y sus proveedores tecnológicos, que define categorías de seguridad (básica, media y alta) y un catálogo de medidas técnicas y organizativas.
El Esquema Nacional de Seguridad (ENS) es el marco español que fija las medidas de seguridad que deben cumplir los sistemas de información del sector público y, por extensión, los de las empresas privadas que le prestan servicio. Está regulado por el Real Decreto 311/2022, que actualizó el marco anterior.
Para un proveedor de infraestructura no es un sello decorativo: sin él no se entra en la contratación pública, y cada vez más licitaciones lo exigen explícitamente en el pliego.
Las tres categorías, y por qué importan
Un sistema se clasifica según el impacto que tendría un incidente sobre las dimensiones de seguridad —disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad—. De esa categoría depende cuántas medidas hay que aplicar:
| Categoría | Cuándo corresponde | Qué implica |
|---|---|---|
| Básica | El perjuicio de un incidente es limitado | Conjunto reducido de medidas; autoevaluación posible |
| Media | El perjuicio es grave | Más medidas y auditoría formal por entidad certificadora |
| Alta | El perjuicio es muy grave | El conjunto completo, con exigencias reforzadas de continuidad, trazabilidad y cifrado |
La categoría la determina el titular del sistema, no el proveedor, y de ella salen los requisitos que acaban en el pliego de contratación.
Qué cubre
Las medidas se agrupan en tres bloques: marco organizativo (políticas, normativa interna, procedimientos y proceso de autorización), marco operacional (planificación, control de accesos, explotación, servicios externos, continuidad y monitorización) y medidas de protección sobre instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios.
Para infraestructura, los puntos que más trabajo dan suelen ser la continuidad del servicio —con plan probado, no declarado—, la trazabilidad de los accesos y la gestión documentada de los servicios prestados por terceros.
Cómo se demuestra
Los sistemas de categoría media y alta requieren auditoría formal por una entidad de certificación acreditada, con revisión periódica; los de categoría básica admiten autoevaluación. La conformidad se publica y se puede comprobar, que es exactamente lo que hará el órgano de contratación.
Conviene distinguirlo de la ISO 27001, con la que se confunde a menudo: la ISO certifica que tienes un sistema de gestión de la seguridad; el ENS certifica que cumples un catálogo concreto de medidas exigido por la normativa española. Se solapan en parte, pero ninguna sustituye a la otra, y en una licitación pública española suelen pedirse las dos.
Preguntas frecuentes
¿Necesito el ENS si soy una empresa privada?
Directamente no, salvo que prestes servicio a la administración pública. En ese caso el requisito llega por el pliego: si tu servicio soporta un sistema de la administración, tienes que acreditar la conformidad en la categoría que corresponda. Cada vez más licitaciones lo exigen de forma explícita.
¿Qué diferencia hay entre el ENS y la ISO 27001?
La ISO 27001 certifica que tienes un sistema de gestión de la seguridad, con su ciclo de mejora; el ENS certifica que cumples un catálogo concreto de medidas fijado por la normativa española. Se apoyan en controles parecidos pero no se sustituyen, y en contratación pública española suelen pedirse las dos.
¿Quién decide la categoría de un sistema?
El titular del sistema, valorando el impacto que tendría un incidente sobre disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. El proveedor de infraestructura no la elige: la hereda del pliego y tiene que poder cumplir las medidas que esa categoría exige.
¿Hace falta auditoría externa?
Para categoría media y alta, sí: auditoría por entidad de certificación acreditada, con revisión periódica. La categoría básica admite autoevaluación. La conformidad resultante es pública y comprobable.
¿Qué parte del ENS cuesta más a un proveedor de infraestructura?
Casi siempre la continuidad y la trazabilidad. Continuidad porque exige un plan probado y documentado, no una declaración de intenciones; y trazabilidad porque obliga a registrar quién accede a qué y a conservar esos registros de forma que resistan una auditoría.
Servicios relacionados
Sigue leyendo
¿Lo aplicamos a tu caso?
Cuéntanos tu proyecto y un especialista te propone la arquitectura, los plazos y el presupuesto. Sin coste y sin compromiso.