ENS: qué exige y cómo cumplir sin perderte

¿Qué es el ENS?

Regulado por el Real Decreto 311/2022, el ENS establece los principios y requisitos de seguridad para los sistemas de información del sector público. Además, comparte buena parte de su lógica con ISO 27001, así que si ya trabajas con esa norma partes con ventaja.

¿A quién obliga el ENS?

A todas las administraciones públicas y, por extensión, a las empresas privadas que prestan servicios al sector público. Por ejemplo, alcanza a proveedores tecnológicos, integradores y SaaS contratados por la Administración.

Certificación ENS paso a paso

La conformidad con el ENS se demuestra de dos formas, y la que te toca depende de la categoría de tus sistemas. Además, si eres proveedor de la Administración, es lo primero que te pedirán en los pliegos.

¿Declaración o certificación de conformidad?

• Declaración de Conformidad: solo vale para sistemas de categoría básica. Se obtiene con una autoevaluación, que puede hacer tu propio equipo, y se repite al menos cada dos años.
• Certificación de Conformidad: es la vía obligatoria en categoría media y alta, y voluntaria en básica. Exige una auditoría formal, al menos cada dos años, a cargo de una entidad de certificación acreditada.

¿Quién certifica el ENS?

Las entidades de certificación deben estar acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065, o estar en proceso de acreditación. El CCN publica la lista de entidades de certificación y, además, el listado de entidades certificadas. Por eso, antes de contratar la auditoría, comprueba que la entidad aparece en esa lista.

El proceso de adecuación, en cinco pasos

1. Categoriza cada sistema según la información que trata y los servicios que presta.
2. Prepara la Declaración de Aplicabilidad inicial con las medidas del Anexo II que corresponden a esa categoría.
3. Haz el análisis de riesgos para confirmar que esas medidas son suficientes.
4. Aprueba la Declaración de Aplicabilidad definitiva e implanta las medidas que faltan.
5. Pasa la autoevaluación (básica) o la auditoría de certificación (media y alta).

¿Cada cuánto se renueva?

Tanto la declaración como la certificación se revisan, con carácter ordinario, al menos cada dos años. Además, en categoría media y alta el CCN espera una auditoría interna de cumplimiento cada año para seguir las desviaciones. Y no olvides publicar el distintivo de conformidad en tu web, enlazado al certificado o a la declaración.

¿De qué depende el coste de la certificación ENS?

No hay una tarifa oficial: cada entidad de certificación fija su precio. En la práctica, el coste depende sobre todo de cuántos sistemas y servicios entran en el alcance, de su categoría y de tu punto de partida. Si ya trabajas con ISO 27001, reutilizas buena parte de los controles y evidencias, y eso reduce el esfuerzo de adecuación.

Qué te piden en una licitación pública

Los pliegos suelen exigir la certificación para la categoría del sistema (o la declaración, si es básica), con un alcance que cubra al menos el objeto del contrato. Además, tienes que mantenerla vigente durante todo el contrato y avisar si la pierdes. Si vendes a la Administración, mira también la guía para proveedores del sector público.

Fuentes: Real Decreto 311/2022 (artículo 38) y preguntas frecuentes del portal ENS del CCN. La Instrucción Técnica de Seguridad de conformidad vigente es la de 2016, en revisión para adaptarla al Real Decreto 311/2022.

Mejora continua y seguimiento

La adecuación no es un trámite puntual. Al contrario, exige mejora continua y seguimiento del estado de seguridad de tus sistemas. Así mantienes la conformidad a lo largo del tiempo y puedes demostrarla cuando la Administración lo pida. Si empiezas ahora, tienes los pasos en cómo adecuarte al Esquema Nacional de Seguridad; además, si también te aplica la NIS2, mira qué comparte con la NIS2.