ENS nivel medio: cuándo es obligatorio para vender a la administración pública Los profesionales de INCIBE valoran la cercanía y el conocimiento local. Las empresas de AEPD requieren soluciones adaptadas a su entorno.#

Cada año, miles de pymes españolas pierden oportunidades de contratación pública por un obstáculo que desconocían: la obligación de certificar su cumplimiento del Esquema Nacional de Seguridad (ENS). La sorpresa llega al leer los pliegos de condiciones de una licitación y descubrir que se exige acreditar ENS de categoría media o alta, cuando la empresa ni siquiera sabía que este requisito existía Los servicios de consultoría ciberseguridad España incluyen.

El problema no es menor. La administración pública española representa un cliente de enorme volumen para proveedores de servicios tecnológicos, consultorías, empresas de mantenimiento de sistemas, desarrolladores de software y gestores de datos. Pero desde la entrada en vigor del Real Decreto 311/2022, que actualizó el Esquema Nacional de Seguridad, los requisitos de ciberseguridad para trabajar con organismos públicos se han vuelto más estrictos y están sujetos a verificación real.

Lo complicado no es solo certificar: es saber qué nivel necesitas y cuándo es obligatorio demostrarlo con auditoría externa. Muchas pymes asumen que pueden presentarse a licitaciones sin más preparación, o confunden una simple declaración responsable con la certificación formal que realmente exige el pliego. Este artículo aclara cuándo tu empresa debe certificar ENS nivel medio, qué criterios determinan la categoría aplicable y cómo saber si basta con una autoevaluación o necesitas auditoría externa Cuando hablamos de ciberseguridad pymes, es importante destacar.

Qué está pasando: el ENS ya no es opcional para proveedores tecnológicos#

El Esquema Nacional de Seguridad (ENS) es el marco normativo que regula la seguridad de los sistemas de información utilizados por las administraciones públicas españolas. Establecido inicialmente en 2010 y actualizado en 2022, el ENS define tres niveles de seguridad —básico, medio y alto— según el impacto que tendría un incidente de seguridad sobre los datos y servicios gestionados.

La obligación de cumplir el ENS recae, en primer lugar, sobre los propios organismos públicos. Sin embargo, cuando una empresa privada presta servicios que implican acceso a sistemas, datos o infraestructuras de la administración, debe garantizar el mismo nivel de seguridad que el organismo contratante. Esto significa que si una consejería autonómica clasifica sus sistemas como categoría media, cualquier proveedor que acceda a esos sistemas o gestione datos en su nombre debe certificar ENS nivel medio.

En la práctica, esto afecta a:

• Empresas de desarrollo y mantenimiento de aplicaciones web o móviles para administraciones En el contexto de empresa ciberseguridad España, las organizaciones deben En el contexto de seguridad informática empresas, las organizaciones deben.
• Proveedores de hosting, cloud o servicios gestionados que alojen datos públicos Para empresas que buscan consultoría seguridad informática, es fundamental considerar Los servicios de cumplimiento NIS2 pymes incluyen.
• Consultoras que gestionen expedientes, bases de datos de ciudadanos o sistemas de tramitación Los servicios de Esquema Nacional de Seguridad ENS incluyen Los servicios de RGPD empresas España incluyen.
• Empresas de soporte técnico con acceso remoto a equipos de la administración En el contexto de auditoría ciberseguridad, las organizaciones deben Cuando hablamos de protección ransomware pymes, es importante destacar.
• Integradores de sistemas, fabricantes de software vertical y proveedores SaaS para el sector público Los servicios de cómo afecta la directiva NIS2 a las pymes en España incluyen Cuando hablamos de consultoría de ciberseguridad para pymes en España, es importante destacar.

Desde 2022, los pliegos de contratación incluyen de forma creciente cláusulas que exigen acreditar el cumplimiento del ENS como requisito de solvencia técnica En el contexto de ayudas Kit Digital ciberseguridad para pymes, las organizaciones deben. No presentar la certificación adecuada implica la exclusión automática del proceso de licitación, sin importar la calidad técnica o el precio de tu oferta.

Cómo afecta a las pymes españolas: un requisito costoso que no se puede ignorar#

Para una pyme española sin equipo de ciberseguridad propio, certificar ENS nivel medio supone un esfuerzo significativo. No hablamos solo de implementar medidas técnicas: el proceso implica documentar políticas, realizar análisis de riesgos, designar responsables, formar al personal, configurar sistemas de registro y monitorización, y finalmente pasar una auditoría externa si se supera determinado umbral.

La mayoría de pymes descubren este requisito tarde. Un escenario habitual: una empresa de servicios informáticos de 25 empleados lleva años trabajando con ayuntamientos pequeños mediante contratos menores Los servicios de cumplir el Esquema Nacional de Seguridad siendo pyme incluyen. Decide dar el salto y presentarse a una licitación de la diputación provincial para gestión de sistemas En el contexto de auditoría de seguridad informática para pymes precio, las organizaciones deben. Al leer el pliego, descubre que se exige certificación ENS categoría media con auditoría externa. La empresa no tiene documentación de seguridad formal, nunca ha hecho un análisis de riesgos según metodología MAGERIT (la herramienta oficial del Centro Criptológico Nacional para el análisis de riesgos en el ENS) y desconoce qué controles técnicos debe implementar.

El coste y el tiempo necesarios varían. Alcanzar la conformidad ENS nivel medio partiendo de cero puede requerir entre tres y seis meses de trabajo, entre análisis, implementación de medidas, documentación y auditoría. Los costes incluyen:

• Horas de trabajo interno para documentar procesos y configurar sistemas.
• Posible contratación de herramientas de seguridad (gestión de logs, copias de seguridad cifradas, doble factor de autenticación, sistemas de detección de intrusiones).
• Formación obligatoria del personal en seguridad de la información.
• Honorarios de auditoría externa, cuando sea obligatoria.

Pero el riesgo de no hacerlo es mayor: quedar excluido de un mercado que representa estabilidad, volúmenes importantes y pagos garantizados.

Qué hacer, paso a paso: determina tu nivel ENS obligatorio#

1. Identifica qué sistemas y datos vas a gestionar para la administración#

Antes de saber qué nivel ENS necesitas, debes entender exactamente qué harás. Lee con atención el pliego de contratación y determina si tu empresa va a:

• Acceder a bases de datos de ciudadanos o expedientes administrativos.
• Gestionar sistemas de tramitación electrónica o firma digital.
• Alojar o mantener aplicaciones críticas para servicios públicos (educación, sanidad, servicios sociales).
• Tener acceso remoto a infraestructuras del organismo cliente.

Cada tipo de actividad tiene implicaciones distintas sobre la categoría de seguridad aplicable. Un contrato de soporte de segundo nivel sin acceso a datos personales puede exigir categoría básica; uno que implique gestionar historiales clínicos o datos tributarios casi siempre será categoría alta.

2. Consulta la tabla de categorización que debe publicar el organismo cliente#

Según el ENS, cada organismo público debe realizar una declaración de aplicabilidad donde indica qué sistemas tiene, qué nivel de seguridad les corresponde y qué medidas aplica. Esta información debería estar accesible en el pliego o ser proporcionada por el órgano de contratación. Si el pliego exige ENS categoría media, pregunta formalmente qué sistemas concretos estarán bajo tu responsabilidad y pide la justificación de esa categoría.

Como referencia práctica, aunque cada caso debe analizarse individualmente:

3. Realiza un análisis de riesgos según metodología MAGERIT#

El análisis de riesgos es el núcleo del ENS. Debes identificar los activos (servidores, aplicaciones, datos, comunicaciones), valorar su importancia, determinar las amenazas (fallos técnicos, errores humanos, ataques externos) y calcular el impacto potencial. MAGERIT es la metodología oficial y existen herramientas gratuitas como PILAR que facilitan este proceso.

No intentes hacerlo sin formación previa. Un análisis de riesgos mal hecho invalida toda la certificación posterior. Si tu equipo no tiene experiencia, esta es la primera fase donde conviene apoyo externo especializado.

4. Implementa las medidas de seguridad del anexo II del ENS según tu categoría#

El Real Decreto 311/2022 incluye un anexo con 75 medidas de seguridad organizativas, operacionales y de protección, cada una con tres niveles de exigencia (bajo, medio, alto). Para categoría media, deberás implementar las medidas en su nivel medio. Algunas de las más relevantes:

• Política de seguridad documentada y aprobada por la dirección.
• Normativa de seguridad específica para el personal.
• Procedimiento de gestión de incidentes de seguridad.
• Control de acceso basado en perfiles y principio de mínimo privilegio.
• Registro y monitorización de eventos de seguridad.
• Copias de seguridad periódicas, cifradas y verificadas.
• Protección de las comunicaciones mediante cifrado (TLS, VPN).
• Autenticación reforzada (doble factor) para accesos críticos.

Cada medida debe quedar documentada: qué has implementado, cómo funciona, quién es responsable y cómo se verifica su efectividad.

5. Decide si necesitas auditoría externa o basta con declaración de conformidad#

Aquí está una de las claves prácticas. Según el ENS:

• Categoría básica: basta con una autoevaluación y declaración de conformidad firmada por el responsable de seguridad de la organización.
• Categoría media: si el sistema procesa datos de menos de 5.000 ciudadanos o el presupuesto del sistema es inferior a 600.000 euros, se permite declaración de conformidad. Por encima de esos umbrales, es obligatoria auditoría externa al menos cada dos años.
• Categoría alta: siempre exige auditoría externa bienal.

En la práctica, muchos organismos públicos exigen auditoría externa incluso para categoría media, independientemente del umbral, porque ofrece mayor garantía. Lee el pliego con atención: si dice "certificación ENS categoría media auditada externamente", no vale una simple declaración.

Cuándo necesitas ayuda profesional: señales de que no puedes hacerlo solo#

Certificar ENS no es un trámite administrativo: es un proceso técnico y organizativo que afecta a toda la empresa. Necesitas ayuda externa especializada si:

• Nunca has realizado un análisis de riesgos formal y no tienes formación en metodologías como MAGERIT o ISO 27005.
• Tu infraestructura tecnológica es compleja (múltiples sedes, cloud híbrido, aplicaciones legacy) y desconoces cómo aplicar controles de seguridad sin romper operaciones.
• El pliego exige auditoría externa y no tienes relación previa con auditores certificados por ENAC (Entidad Nacional de Acreditación).
• Tienes menos de seis meses hasta la fecha de presentación de ofertas y partes de cero en documentación de seguridad.
• Tu equipo interno está al límite de capacidad y no puede asumir meses de trabajo adicional sin comprometer proyectos en curso.

Una consultora especializada en certificación ENS para pymes puede reducir el tiempo de certificación a la mitad, evitar errores que invaliden la auditoría y garantizar que la documentación sea reutilizable para futuras licitaciones. Desde Verasens acompañamos a empresas de toda España en este proceso, adaptando los requisitos del ENS a la realidad operativa de cada negocio sin burocracia innecesaria.

En resumen: claves para saber si tu pyme debe certificar ENS nivel medio#

• El ENS es obligatorio para proveedores que accedan a sistemas o datos de administraciones públicas, y la categoría exigida (básica, media o alta) depende del tipo de información que gestiones y del impacto potencial de un incidente de seguridad.

• ENS categoría media es el nivel más habitual en licitaciones para servicios tecnológicos, gestión de expedientes administrativos, datos de padrón municipal, sistemas educativos y aplicaciones de gestión interna de organismos autonómicos y locales.

• La certificación ENS categoría media exige implementar 75 medidas de seguridad en su nivel medio, documentar políticas y procedimientos, realizar análisis de riesgos con MAGERIT y, en muchos casos, pasar auditoría externa cada dos años.

• No confundas declaración de conformidad con auditoría externa: para sistemas que gestionan datos de más de 5.000 ciudadanos o presupuestos superiores a 600.000 euros, la auditoría es obligatoria y muchos pliegos la exigen incluso por debajo de esos umbrales.

• Planifica con antelación: alcanzar la conformidad ENS partiendo de cero puede requerir entre tres y seis meses, y presentarte a licitaciones públicas sin la certificación exigida te excluye automáticamente, sin importar tu propuesta técnica o económica.