ENS · Proveedores de la Administración
ENS y NIS2 para proveedores de la Administración pública
El ENS obliga también a los proveedores privados del sector público. Así, si prestas servicios o vendes soluciones tecnológicas a la Administración, los pliegos te exigirán cumplir el Esquema Nacional de Seguridad en la categoría del sistema. Además, cada vez piden más medidas de la NIS2 a través de la cadena de suministro.
Las normas que más pesan en los proveedores públicos, con el ENS a la cabeza
El ENS alcanza a los proveedores privados
El Real Decreto 311/2022 (ENS) se aplica a todo el sector público y a los proveedores privados que le prestan servicios o le suministran soluciones. Además, el ENS clasifica los sistemas en categoría básica, media o alta según el impacto que tendría un incidente. De esa categoría dependen, a su vez, las medidas que aplicas y la forma de demostrar que cumples.
| Categoría | Cómo se acredita |
|---|---|
| Básica | Autoevaluación y declaración de conformidad. |
| Media | Auditoría de certificación por una entidad acreditada, al menos cada dos años. |
| Alta | Auditoría de certificación por una entidad acreditada, al menos cada dos años. |
NIS2 y la cadena de suministro
La administración pública está entre los sectores de la NIS2. Además, la directiva obliga a gestionar el riesgo de los proveedores. Aunque la ley española de transposición sigue pendiente, las administraciones ya trasladan estas exigencias a los contratos y a los pliegos. También lo detallamos en la comparativa ENS y NIS2.
El RGPD como encargado del tratamiento
Cuando tratas datos por cuenta de una administración, actúas como encargado del tratamiento. Por eso necesitas un contrato de encargo, un registro de actividades y medidas de seguridad (en el sector público, las del ENS). Además, debes comunicar sin demora cualquier brecha.
ENS e ISO 27001: no dupliques
El ENS y la ISO 27001 comparten buena parte de sus controles. Por eso, si eres uno de los proveedores del ENS y ya tienes la ISO 27001, una parte importante del trabajo está hecha. Aun así, el ENS tiene medidas y una certificación propias que hay que cubrir.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC a los proveedores con el ENS
- La categorización del sistema y, después, la declaración de aplicabilidad del ENS.
- Los controles del ENS relacionados con los de ISO 27001; así haces el trabajo una sola vez.
- También las evidencias ordenadas para la auditoría de certificación.
- Las cláusulas de seguridad que te exigen en cada contrato público, con sus plazos y avisos.
FAQ
Preguntas frecuentes
¿Una empresa privada tiene que cumplir el ENS?
Sí, cuando presta servicios o suministra soluciones a entidades del sector público, en la categoría del sistema afectado.
¿La ISO 27001 sustituye al ENS?
No. Comparten muchos controles y una buena ISO 27001 adelanta gran parte del trabajo, pero el ENS tiene medidas y una certificación propias.
¿Cada cuánto se audita el ENS?
En las categorías media y alta, al menos cada dos años, y también cuando hay cambios sustanciales en el sistema.
Otros sectores: Banca y fintechAseguradorasEnergía y servicios esencialesFabricantes de producto conectado
¿Lo vemos con tus propios servicios?
Te enseñamos la plataforma con un caso real de tu sector. Así lo ves sin compromiso y sin guion comercial.
