Qué es el ENS (RD 311/2022), quién está obligado, categorías básica, media y alta y cómo se certifica. Guía 2026 de un Lead Auditor ISO 27001.
El Esquema Nacional de Seguridad (ENS) es la norma española que fija las medidas de seguridad obligatorias para los sistemas de información del sector público —y para los de las empresas privadas que, por contrato, le prestan servicios—. Está regulado por el Real Decreto 311/2022, de 3 de mayo, y a diferencia de NIS2 en España no está pendiente de nada: está plenamente en vigor y los plazos de adecuación ya vencieron. El ENS clasifica cada sistema en una de tres categorías —básica, media o alta— según el impacto que tendría un incidente sobre cinco dimensiones de seguridad, y a cada categoría le corresponde un subconjunto de las medidas del anexo II. La categoría básica se acredita con una autoevaluación; la media y la alta exigen auditoría y certificación por una entidad acreditada por ENAC. En esta guía explico qué exige de verdad, quién está obligado sin saberlo, cómo se acredita la conformidad y cómo se aprovecha un SGSI ISO 27001 para no hacer el trabajo dos veces. La escribo desde el sitio del auditor que después tiene que encontrar la evidencia.
El Esquema Nacional de Seguridad nació con la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos y se desarrolló por primera vez en el Real Decreto 3/2010. La versión vigente es el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022 y en vigor desde el día siguiente.
Su lógica de fondo es sencilla y, francamente, sensata: la Administración digital funciona sobre confianza. Si el ciudadano tiene que hacerlo todo por sede electrónica, alguien tiene que garantizar que esos sistemas están protegidos con un mínimo homogéneo, y que ese mínimo no depende de lo espabilado que sea el responsable de informática de cada ayuntamiento. El ENS es ese mínimo, escrito y auditable.
Tres cosas que conviene tener claras desde el principio:
Esta es la sección que más gente busca y peor se explica.
El sector público entero. Administración General del Estado, comunidades autónomas, entidades locales, entidades de derecho público vinculadas o dependientes, y las universidades públicas. Sin matices.
Y el sector privado, por la puerta del contrato. El artículo 2.3 del RD 311/2022 extiende la aplicación a los sistemas de información de las entidades del sector privado cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. Ojo al «o provean soluciones»: no hace falta prestar un servicio continuado, basta con proveer la solución. Y el propio artículo obliga a los órganos de contratación a trasladar la exigencia a los pliegos y, según el análisis de riesgos, a la cadena de suministro del proveedor.
El matiz importa mucho más de lo que parece, y en las dos direcciones:
La vía real por la que la mayoría lo descubre es el pliego. Los órganos de contratación exigen cada vez más la conformidad con el ENS como requisito de solvencia técnica para licitar, y en categorías media y alta la piden acreditada con certificado. He visto a más de una empresa descubrir el ENS con el pliego ya publicado y quince días de plazo para presentar oferta. Ese no es el momento de descubrirlo: la adecuación no se improvisa y el certificado no se compra en una semana. Si trabajas desde el norte, lo aterrizo con datos locales en la página de ciberseguridad y compliance para empresas de Asturias.
El ENS no clasifica empresas: clasifica sistemas. Y lo hace en dos pasos.
Para cada sistema se valora el perjuicio que causaría un incidente en cada una de estas cinco dimensiones, en tres niveles (bajo, medio, alto):
| Dimensión | Qué protege | Pregunta que hay que responder |
|---|---|---|
| Confidencialidad | Que la información no la vea quien no debe | ¿Qué daño causa que esto se filtre? |
| Integridad | Que la información no se altere indebidamente | ¿Qué daño causa que esto se modifique sin que nadie lo note? |
| Trazabilidad | Que se sepa quién hizo qué y cuándo | ¿Podríamos reconstruir lo ocurrido ante una reclamación? |
| Autenticidad | Que quien dice ser el origen lo sea | ¿Qué daño causa que alguien suplante a un emisor legítimo? |
| Disponibilidad | Que el servicio esté cuando se necesita | ¿Qué daño causa que esto esté caído tres días? |
Las dos últimas —trazabilidad y autenticidad— son las que más se descuidan en los análisis que reviso, y son precisamente las que sostienen la validez jurídica de un procedimiento administrativo electrónico.
La categoría del sistema es la que corresponde al nivel más alto alcanzado por cualquiera de las cinco dimensiones. En corto:
| Categoría | Cuándo | Qué implica |
|---|---|---|
| Básica | Ninguna dimensión supera el nivel bajo | Subconjunto reducido de medidas. Conformidad acreditable por autoevaluación |
| Media | Alguna dimensión alcanza nivel medio y ninguna el alto | Más medidas y refuerzos. Exige auditoría y certificación |
| Alta | Alguna dimensión alcanza nivel alto | El conjunto más exigente. Exige auditoría y certificación |
Una sola dimensión en alto sube todo el sistema a categoría alta. De ahí que la valoración inicial sea la decisión de diseño más cara del proyecto: hacerla por exceso, «por si acaso», multiplica el trabajo durante años. Hacerla por defecto para ahorrar te descalifica en el momento en que el órgano de contratación revise el pliego.
El anexo II del RD 311/2022 contiene el catálogo de medidas de seguridad, agrupadas en tres marcos:
El recuento habitual es de 73 medidas (4 organizativas, 33 operacionales y 36 de protección). Encontrarás fuentes que citan 75 según cómo se contabilicen algunas submedidas; a efectos prácticos el número da igual, porque lo que decide tu trabajo no es cuántas hay sino cuáles te aplican por tu categoría y con qué refuerzos.
Y ahí está el mecanismo que hace que el ENS sea proporcional en vez de aplastante: cada medida se aplica con distinta exigencia según la categoría, y algunas llevan refuerzos que se activan en niveles superiores, incluidos refuerzos flexibles en los que se puede elegir entre varias opciones equivalentes. No es un checklist plano: es una escalera.
Si eres una organización pequeña, esto te interesa más que ninguna otra sección del artículo.
El RD 311/2022 prevé los perfiles de cumplimiento específicos: conjuntos de medidas adaptados a un colectivo o sector concreto y a una categoría determinada, aprobados por el Centro Criptológico Nacional (CCN), que permiten alcanzar la conformidad con un esfuerzo proporcional al riesgo real de ese colectivo.
El más relevante para pymes y entidades locales pequeñas es el perfil de requisitos fundamentales de seguridad, desarrollado en la guía CCN-STIC 890: a través de un subconjunto de 38 medidas facilita alcanzar la conformidad en categoría básica a entidades con dificultades para abordar la adecuación estándar, usando la metodología µCeENS (diagnóstico, gobernanza, plan de adecuación, implantación y auditoría de conformidad).
Traducción práctica: si eres un proveedor pequeño con un sistema de categoría básica y alguien te está presupuestando una adecuación de setenta y tres medidas con refuerzos, pídele que te explique por qué no aplica el perfil específico. La respuesta es informativa en un sentido o en otro.
Este es el matiz que descalifica ofertas, así que va con el artículo delante. El artículo 38 del RD 311/2022 separa los dos caminos:
| Aspecto | Categoría BÁSICA | Categorías MEDIA y ALTA |
|---|---|---|
| Mecanismo | Autoevaluación | Auditoría de certificación |
| Documento resultante | Declaración de Conformidad | Certificación de Conformidad |
| Quién lo emite | La propia entidad | Entidad de certificación acreditada por ENAC |
| ¿Puede optarse al otro? | Sí: la básica puede certificarse voluntariamente | No: media y alta no admiten autoevaluación |
A esto se suma la auditoría de la seguridad del artículo 31: los sistemas deben someterse a una auditoría ordinaria al menos cada dos años —plazo prorrogable un máximo de tres meses por causas de fuerza mayor ajenas a la entidad—, más auditorías extraordinarias cuando se produzcan modificaciones sustanciales que puedan afectar a las medidas de seguridad. Y el propio artículo 38 permite que esa auditoría del 31 sirva simultáneamente para la certificación, lo que evita duplicar el ejercicio.
El procedimiento concreto —criterios, modelos de declaración, comunicación de las certificaciones al CCN, publicación y distintivos de cumplimiento— está en la guía CCN-STIC 809, que en sus versiones recientes incorpora también la figura de la aprobación provisional de conformidad, pensada para entidades en proceso de adecuación. El órgano que supervisa la certificación en el ámbito del ENS es el COCENS (Consejo de Certificación del ENS).
El error que veo repetirse: presentar una declaración de conformidad de categoría básica a un pliego que exige certificación de categoría media. No puntúa. No es un matiz burocrático: son dos cosas distintas, emitidas por sujetos distintos, con valor probatorio distinto. Léelo dos veces antes de ofertar.
Y una precisión sobre mi propio papel, porque en este terreno se confunde a menudo: yo no certifico a nadie. La certificación del ENS la emite una entidad de certificación acreditada por ENAC. Lo que sí hago es el trabajo previo —categorización, análisis de diferencias, plan de adecuación, auditoría interna— y acompañar hasta la auditoría de certificación. Son sillas distintas y no me siento en las dos con el mismo cliente. El detalle de cada línea de trabajo está en la página de servicios.
La pregunta llega en todas las reuniones: «tenemos la ISO 27001, ¿nos vale para el ENS?». Respuesta honesta: ayuda mucho, pero no es automático.
El CCN publica una guía dedicada exactamente a esto, la CCN-STIC 825, que explica cómo usar una certificación ISO/IEC 27001 como apoyo para la conformidad con el ENS: determina qué controles de la ISO/IEC 27002 cubren cada medida del anexo II y qué elementos adicionales hacen falta. El propio CCN advierte que la compatibilidad entre ambos marcos no debe interpretarse como una equivalencia aritmética, sino como una lectura conjunta de los contenidos de ambas normas.
Lo que en la práctica significa:
Mi forma de plantearlo con clientes, y es la misma que explico en la guía de certificación ISO 27001: un solo sistema, con la ISO 27001 como columna vertebral, y el ENS como capa española encima. No tres carpetas con tres análisis de riesgos que se contradicen. Se implementa una vez y se responde a los dos —tres, si además te alcanza NIS2, que es el escenario habitual en cuanto la empresa crece: lo desarrollo en la comparativa de NIS2, ENS e ISO 27001—. Que ese método aguanta el examen no lo digo solo yo: está documentado en el caso de la auditoría ISO 27001 de 2026 cerrada con cero no conformidades.
Sin plazos mágicos y sin proyecto faraónico. El orden es este y saltárselo sale caro:
Quién sostiene todo esto el resto del año es otra pregunta legítima. Para una empresa mediana rara vez la respuesta es contratar a alguien a jornada completa: es el modelo de CISO externo o vCISO, con mandato de dirección y responsabilidad definida.
Es el marco español que fija las medidas de seguridad obligatorias para los sistemas de información del sector público y para los de las empresas privadas que le prestan servicios por contrato. Está regulado por el Real Decreto 311/2022, de 3 de mayo.
Sí, pero solo en un supuesto concreto: cuando prestan servicios o proveen soluciones al sector público, en virtud de una relación contractual, para que este ejerza sus competencias y potestades administrativas (artículo 2.3). Y obliga respecto de los sistemas concretos con los que se presta ese servicio, no respecto de toda la empresa.
Básica, media y alta. Se valora cada sistema en cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— en tres niveles, y la categoría del sistema es la correspondiente al nivel más alto alcanzado por cualquiera de ellas.
La categoría básica admite autoevaluación, que se plasma en una Declaración de Conformidad emitida por la propia entidad. Las categorías media y alta exigen auditoría y una Certificación de Conformidad emitida por una entidad de certificación acreditada por ENAC. Una básica puede certificarse voluntariamente; una media o alta no puede autoevaluarse.
El artículo 31 del RD 311/2022 exige una auditoría ordinaria al menos cada dos años, más auditorías extraordinarias cuando haya modificaciones sustanciales que puedan repercutir en las medidas de seguridad.
Ayuda mucho y ahorra la mayor parte del trabajo, pero no equivale. La guía CCN-STIC 825 explica cómo apoyarse en una certificación ISO 27001 para la conformidad con el ENS y qué elementos adicionales hay que incorporar. El propio CCN advierte de que la compatibilidad no es una equivalencia aritmética.
No. La disposición transitoria del RD 311/2022 concedió veinticuatro meses a los sistemas preexistentes; ese plazo terminó en mayo de 2024. Hoy la exigencia es plena.
Sí: los perfiles de cumplimiento específicos aprobados por el CCN. El perfil de requisitos fundamentales de seguridad (guía CCN-STIC 890) permite alcanzar la conformidad en categoría básica a través de un subconjunto de 38 medidas, pensado para entidades con dificultades para abordar la adecuación estándar.
El ENS tiene mala fama de burocracia y en parte se la ha ganado, pero su lógica es buena: valorar el daño real, aplicar medidas proporcionales a ese daño y poder demostrarlo. Cuando se hace bien, un sistema conforme al ENS no es una carpeta: es una empresa que sabe qué protege, por qué y con qué evidencia.
Y hay una razón comercial que no conviene disimular: en España, la conformidad con el ENS es cada vez más el requisito que separa a quien puede licitar de quien no. No es un gasto de cumplimiento; es una licencia para competir en un mercado concreto.
Si tienes un pliego encima de la mesa o lo ves venir, agenda una llamada de 30 minutos: en media hora se ve con bastante claridad qué categoría te corresponde y cuánto trabajo real hay por delante. Y si prefieres empezar solo, descarga la Checklist NIS2 —16 dominios, 149 controles— para hacerte una foto de madurez antes de hablar con nadie.
Estado normativo verificado a 26 de julio de 2026. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE de 4 de mayo de 2022, texto consolidado): artículo 2 sobre ámbito de aplicación, artículo 31 sobre auditoría de la seguridad, artículo 38 sobre declaración y certificación de la conformidad, anexo I sobre categorías y dimensiones y anexo II sobre medidas de seguridad. Guías del Centro Criptológico Nacional CCN-STIC 809 (declaración, certificación y aprobación provisional de conformidad y distintivos de cumplimiento), CCN-STIC 825 (Esquema Nacional de Seguridad y certificación ISO/IEC 27001) y CCN-STIC 890 (perfil de cumplimiento específico de requisitos fundamentales de seguridad, 38 medidas, categoría básica, metodología µCeENS). ENAC como Entidad Nacional de Acreditación de las entidades de certificación que emiten la Certificación de Conformidad en categorías media y alta, y COCENS como Consejo de Certificación del ENS. Para la comparativa, Directiva (UE) 2022/2555 (NIS2) e ISO/IEC 27001:2022.