ENS: cómo adecuarte al Esquema Nacional de Seguridad
La adecuación al ENS (Esquema Nacional de Seguridad) es obligatoria si eres una entidad del sector público o si tu empresa presta servicios o soluciones tecnológicas a la Administración. Esta guía explica qué exige el Real Decreto 311/2022 y cómo categorizar tus sistemas. Además, verás qué documentos necesitas y cómo obtener la declaración o la certificación de conformidad.
En 30 segundos: el ENS se aplica a todo el sector público y a sus proveedores privados. Primero categorizas cada sistema (BÁSICA, MEDIA o ALTA) según cinco dimensiones de seguridad. Después apruebas una política con cuatro roles y analizas los riesgos. Así, seleccionas las medidas del Anexo II en una Declaración de Aplicabilidad. Por último, cierras la adecuación al ENS acreditando la conformidad. En BÁSICA basta una autoevaluación. En cambio, MEDIA y ALTA exigen la certificación de una entidad acreditada por ENAC. Esa certificación se renueva al menos cada dos años.
Qué es el ENS y quién está obligado a la adecuación
El ENS vigente es el Real Decreto 311/2022, de 3 de mayo. Se publicó en el BOE de 4 de mayo de 2022 y entró en vigor al día siguiente. Sustituyó al Real Decreto 3/2010. Además, lo completan las instrucciones técnicas de seguridad (ITS) obligatorias y las guías CCN-STIC del Centro Criptológico Nacional (CCN).
Adecuación al ENS en el sector público y en los proveedores privados
Según su artículo 2, se aplica a todo el sector público y a los sistemas que tratan información clasificada. El apartado 3 lo extiende al sector privado. Alcanza a quien preste servicios o provea soluciones a entidades públicas, por contrato, para el ejercicio de sus competencias. Además, estas empresas deben tener su propia política de seguridad, aprobada por su máximo órgano ejecutivo. También los pliegos recogerán la exigencia de declaración o certificación ENS. Asimismo, esa exigencia puede alcanzar a la cadena de suministro si el análisis de riesgos lo justifica. Si vendes a la Administración, lo detallamos en nuestra página para proveedores de la administración pública.
Principios básicos y requisitos mínimos
El artículo 5 fija siete principios básicos: seguridad como proceso integral; gestión basada en los riesgos; prevención, detección, respuesta y conservación; líneas de defensa; vigilancia continua; reevaluación periódica, y diferenciación de responsabilidades. Además, el artículo 12 añade 15 requisitos mínimos. Entre ellos figuran la gestión de riesgos, el control de accesos y el mínimo privilegio. También la gestión de incidentes y la continuidad de la actividad. Todos son exigibles en proporción a los riesgos de cada sistema.
Cómo se categoriza un sistema
La categoría marca el esfuerzo de seguridad exigible (artículo 40 y Anexo I). Para fijarla, se valora el impacto que tendría un incidente en cinco dimensiones: confidencialidad [C], integridad [I], trazabilidad [T], autenticidad [A] y disponibilidad [D]. Así, cada una recibe un nivel BAJO, MEDIO o ALTO, y manda el más alto:
- ALTA: alguna dimensión alcanza el nivel ALTO.
- MEDIA: alguna alcanza el nivel MEDIO y ninguna el ALTO.
- BÁSICA: el nivel máximo es BAJO.
Valoran los responsables de la información y del servicio. Después, el responsable de la seguridad determina la categoría (artículo 41). Por eso, si eres proveedor, contrasta tu categoría con la del pliego antes de planificar la adecuación al ENS.
Pasos de la adecuación al ENS y entregables
El CCN describe el proceso de adecuación en tres bloques: plan de adecuación, implantación y conformidad. En la práctica, la adecuación al ENS sigue estos siete pasos:
| Paso | Qué haces | Entregable |
|---|---|---|
| 1. Alcance | Identificas sistemas, servicios e información afectados | Alcance e inventario de activos |
| 2. Política y roles | Apruebas la política y designas a los responsables de la información, del servicio, de la seguridad y del sistema (art. 13) | Política aprobada, nombramientos y comité de seguridad |
| 3. Categorización | Valoras C, I, T, A y D | Informe de valoración y categoría |
| 4. Análisis de riesgos | Usas una metodología reconocida (MAGERIT con PILAR es habitual, no obligatoria) | Informe de riesgos y plan de tratamiento |
| 5. Declaración de Aplicabilidad | Seleccionas las medidas del Anexo II y justificas exclusiones y medidas compensatorias | Declaración firmada por el responsable de la seguridad (art. 28) |
| 6. Plan de adecuación | Analizas la brecha y despliegas normativa, procedimientos y medidas técnicas | Plan de adecuación, procedimientos y evidencias |
| 7. Conformidad | Autoevaluación o auditoría y corrección de deficiencias | Informe, declaración o certificado y distintivo |
El responsable de la seguridad debe ser distinto del responsable del sistema, sin dependencia jerárquica entre ambos. Por su parte, el Anexo II reúne 73 medidas: marco organizativo (4), marco operacional (33) y medidas de protección (36). Prevé refuerzos según la categoría. También admite medidas compensatorias si se documenta que protegen igual o mejor (art. 28.3).
Declaración, certificación y distintivo de conformidad
El artículo 38 fija cómo se acredita el cumplimiento. Además, lo concreta la Instrucción Técnica de Seguridad de conformidad con el ENS (Resolución de 13 de octubre de 2016). El CCN indica que esa ITS está en revisión para adaptarla al RD 311/2022. Sin embargo, sigue siendo la referencia.
| Categoría | Procedimiento | Quién la emite | Resultado |
|---|---|---|---|
| BÁSICA | Autoevaluación (o auditoría de certificación, voluntaria) | La propia entidad | Declaración de Conformidad y su distintivo |
| MEDIA | Auditoría formal de certificación | Entidad de certificación acreditada por ENAC (UNE-EN ISO/IEC 17065) | Certificado de Conformidad y su distintivo |
| ALTA | Auditoría formal de certificación | Entidad de certificación acreditada por ENAC (UNE-EN ISO/IEC 17065) | Certificado de Conformidad y su distintivo |
El distintivo es un documento electrónico no editable que enlaza a la declaración o al certificado. Después, las entidades públicas lo publican en su sede electrónica. Los proveedores privados, en cambio, lo publican en su web, donde el documento debe seguir accesible.
Auditoría bienal, plazos y perfiles de cumplimiento
Los sistemas se auditan al menos cada dos años y, de forma extraordinaria, ante cambios sustanciales (art. 31). Los sistemas existentes al entrar en vigor el RD 311/2022 tuvieron 24 meses, hasta mayo de 2024, para adecuarse. En cambio, los nuevos deben cumplir desde su diseño. Para un proveedor, sin embargo, el plazo real de la adecuación al ENS lo marca cada licitación. Además, el artículo 30 permite perfiles de cumplimiento específicos (PCE). Se trata de conjuntos de medidas para un colectivo o una tecnología, validados por el CCN. Hoy los hay para entidades locales, universidades y servicios en la nube.
Guías CCN-STIC y herramientas del CCN para la adecuación al ENS
La serie 800 de guías CCN-STIC desarrolla el ENS. Para adecuarte, las más útiles son la 801 (roles y responsabilidades) y la 802 (auditoría). Les siguen la 803 (valoración de sistemas) y la 806 (plan de adecuación). También ayudan la 809 (declaración, certificación y distintivos) y la 819 (medidas compensatorias). Además, entre las herramientas del CCN destacan:
- PILAR: análisis de riesgos con la metodología MAGERIT.
- INES: informe del estado de la seguridad que deben remitir los organismos sujetos al ENS.
- AMPARO: plantillas para el plan de adecuación y su implantación.
- LUCIA: gestión de incidentes.
ENS, NIS2 e ISO 27001
NIS2. La Directiva (UE) 2022/2555 exige, en su artículo 21, medidas muy próximas a las del ENS. Por ejemplo, pide análisis de riesgos, gestión de incidentes, continuidad, cadena de suministro, control de accesos y criptografía. Sin embargo, España aún no ha publicado su ley de transposición en el BOE. Primero, el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. Después, en julio de 2026, la Comisión Europea llevó a España ante el TJUE por el retraso. Lo contamos en la transposición pendiente de NIS2 en España. Aun así, una buena adecuación al ENS cubre buena parte de lo que pedirá esa ley. Lo analizamos en ENS y NIS2.
ISO 27001. Es una norma internacional voluntaria, mientras que el ENS es obligatorio en su ámbito. Además, ambos comparten enfoque de riesgos, Declaración de Aplicabilidad y mejora continua. Sin embargo, un certificado ISO 27001 no sustituye a la certificación ENS. Esta tiene su propio esquema y verifica las medidas del Anexo II. Aun así, si ya tienes ISO 27001, tienes hecha gran parte de la adecuación al ENS. Lo explicamos en ISO 27001 como atajo para NIS2, RGPD y DORA. Además, un mapa de controles común te evita duplicar evidencias.
Preguntas frecuentes
¿Es obligatoria la adecuación al ENS para empresas privadas?
Sí, cuando por contrato prestan servicios o proveen soluciones a entidades públicas para que ejerzan sus competencias. Así lo dice el artículo 2.3 del RD 311/2022. Por eso, los pliegos exigirán la declaración o la certificación de conformidad.
¿Qué diferencia hay entre declaración y certificación de conformidad?
La declaración la emite la propia entidad tras una autoevaluación y solo vale para la categoría BÁSICA. En cambio, la certificación la expide una entidad acreditada por ENAC tras una auditoría formal. Es obligatoria en MEDIA y ALTA.
¿Cuánto dura la certificación ENS?
Dos años. La auditoría ordinaria se repite al menos cada dos años. Además, habrá una extraordinaria si el sistema cambia de forma sustancial.
¿Cuántas medidas de seguridad tiene el ENS?
El Anexo II recoge 73 medidas (4 organizativas, 33 operacionales y 36 de protección). Las aplicables dependen de la categoría y del análisis de riesgos. Después, se reflejan en la Declaración de Aplicabilidad.
¿Sirve la ISO 27001 para la adecuación al ENS?
Ayuda, pero no sustituye al ENS. Así, reutilizas riesgos, procedimientos y evidencias. Sin embargo, debes categorizar cada sistema y cubrir las medidas del Anexo II que falten. Después, tienes que superar la autoevaluación o la auditoría del ENS.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC en la adecuación al ENS
Atalaya GRC organiza la adecuación al ENS servicio por servicio. Así, registras la categoría de cada sistema, trabajas las medidas del Anexo II y vinculas cada una con sus evidencias. Con «un control, varias normas», esa evidencia sirve también para NIS2, ISO 27001 y RGPD. Además, el reloj regulatorio te avisa de la auditoría bienal. La plataforma también centraliza incidentes, notificaciones y el registro de terceros de tu cadena de suministro. Consulta la ficha del ENS o solicita una demo.
