Hay una forma muy concreta de descubrir que el Esquema Nacional de Seguridad existe: leyendo un pliego de licitación al que quieres presentarte y encontrarte con que exige conformidad con el ENS. A partir de ahí quedan tres semanas y muchas preguntas.
Esta guía responde a esas preguntas en el orden en el que suelen aparecer.
Qué es el ENS#
El Esquema Nacional de Seguridad es el marco de seguridad obligatorio para el sector público español, regulado por el Real Decreto 311/2022. Establece los principios básicos y los requisitos mínimos que deben cumplir los sistemas de información que tratan información de las administraciones públicas.
La clave para una empresa privada está en su alcance: el ENS no obliga solo a las administraciones, sino también a las organizaciones del sector privado que les prestan servicios o les suministran soluciones tecnológicas. Si su sistema toca datos o servicios de una administración, el ENS entra en juego.
El marco lo desarrolla y lo interpreta el Centro Criptológico Nacional (CCN), que publica las guías de la serie CCN-STIC. Esas guías son la referencia práctica: no son literatura opcional, son el detalle de cómo se implanta y cómo se audita cada control.
Cuándo se lo van a exigir#
En la práctica, aparece en tres situaciones:
- Licitaciones públicas. El pliego exige conformidad con el ENS como requisito de solvencia técnica o como condición de ejecución.
- Contratos ya en marcha. La administración cliente revisa su propia conformidad y traslada el requisito a sus proveedores.
- Subcontratación. Usted no vende directamente a lo público, pero sí a una empresa que sí lo hace, y esa empresa necesita acreditar su cadena de suministro.
La tercera vía es la que más crece y la que más pilla desprevenido, porque no aparece en ningún boletín: llega por correo electrónico de un cliente.
Las tres categorías: básica, media y alta#
El ENS clasifica los sistemas en tres categorías según el impacto que tendría un incidente sobre las dimensiones de seguridad (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad):
- Categoría BÁSICA: el perjuicio de un incidente sería limitado. Es la categoría habitual para servicios de bajo impacto.
- Categoría MEDIA: el perjuicio sería grave. Es donde acaba la mayoría de servicios reales prestados a la administración.
- Categoría ALTA: el perjuicio sería muy grave. Reservada a sistemas críticos.
La categoría determina cuántos controles aplican y con qué profundidad, y también cómo se acredita la conformidad: los sistemas de categoría básica pueden acreditarse mediante una declaración de conformidad, mientras que las categorías media y alta requieren certificación por una entidad acreditada, con auditoría formal.
Esta diferencia es la que más dinero mueve, así que conviene determinar la categoría antes de presupuestar nada. Es un error caro asumir "alta" por prudencia cuando el servicio real es "media".
Cómo es el proceso, de principio a fin#
El camino tiene una secuencia bastante estable:
- Delimitar el alcance. Qué sistemas, qué servicios y qué información entran. Un alcance mal definido es la causa número uno de sobrecostes: se acaba certificando media empresa cuando bastaba con una plataforma.
- Categorizar el sistema. Valoración de las cinco dimensiones de seguridad para determinar si es básica, media o alta.
- Análisis de riesgos. Obligatorio y proporcional a la categoría.
- Declaración de aplicabilidad. Qué controles del anexo II aplican, cuáles no y por qué.
- Implantación de las medidas. Es la fase larga: políticas, controles técnicos, registros, formación.
- Auditoría. Interna primero; después, la de certificación con entidad acreditada si la categoría lo exige.
- Mantenimiento. La conformidad no es un diploma perpetuo: hay revisiones periódicas y obligación de mantener el sistema al día.
Para una pyme que parte de cero y necesita categoría media, es razonable pensar en meses, no en semanas. Quien prometa una certificación exprés está vendiendo humo o vendiendo un alcance tan estrecho que no servirá para el pliego.
ENS y NIS2: no son lo mismo#
Se confunden a menudo porque comparten vocabulario y bastantes controles. La diferencia práctica:
- El ENS nace del ámbito público español y se activa por su relación con la administración. Se acredita con una certificación o declaración de conformidad.
- NIS2 es una directiva europea que se activa por su sector y tamaño, o por su papel en la cadena de suministro de una entidad obligada.
Una misma empresa puede estar sujeta a ambos. La buena noticia es que el trabajo se solapa: inventario, análisis de riesgos, control de accesos, gestión de incidentes y continuidad sirven para las dos. Vale la pena plantear el proyecto una sola vez y aprovecharlo dos veces, en lugar de contratar dos consultorías que no se hablan entre ellas.
Errores que salen caros#
- Definir el alcance al final. Se decide después de haber gastado; entonces ya no hay margen para reducirlo.
- Certificar por si acaso. Sin un pliego concreto sobre la mesa, el gasto puede no tener retorno. Primero el requisito, después el proyecto.
- Confundir declaración de conformidad con certificación. Presentar una declaración donde el pliego pide certificación es quedarse fuera.
- Tratarlo como papeleo. El auditor pide evidencias de funcionamiento real: registros, trazas, actas. Un manual impecable sin evidencias no aprueba.
En resumen#
- El ENS es el marco de seguridad obligatorio del sector público español (Real Decreto 311/2022) y alcanza a las empresas privadas que prestan servicios o suministran soluciones a las administraciones.
- Tiene tres categorías —básica, media y alta— según el impacto de un incidente; la categoría determina los controles y la forma de acreditación.
- Básica puede acreditarse por declaración de conformidad; media y alta exigen certificación por entidad acreditada.
- El proceso va de delimitar el alcance a mantener la conformidad, pasando por categorización, análisis de riesgos, declaración de aplicabilidad, implantación y auditoría.
- El desarrollo técnico está en las guías CCN-STIC del Centro Criptológico Nacional.
- Se solapa mucho con NIS2: conviene abordarlos como un único proyecto.
Si tiene un pliego con fecha y necesita saber qué categoría le corresponde y si llega a tiempo, ese diagnóstico se hace en días y evita presupuestar a ciegas.