Qué es el ENS 2022 (RD 311/2022), qué cambió frente al de 2010, a quién obliga, sus categorías y cómo se certifica. Guía de un Lead Auditor ISO 27001.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
El Esquema Nacional de Seguridad (ENS) es la norma española que fija las medidas de seguridad obligatorias para los sistemas de información del sector público —y para los de las empresas privadas que, por contrato, le prestan servicios—. Está regulado por el Real Decreto 311/2022, de 3 de mayo —de ahí que se le llame «ENS 2022»—, y a diferencia de NIS2 en España no está pendiente de nada: está plenamente en vigor y los plazos de adecuación ya vencieron. El ENS clasifica cada sistema en una de tres categorías —básica, media o alta— según el impacto que tendría un incidente sobre cinco dimensiones de seguridad, y a cada categoría le corresponde un subconjunto de las medidas del anexo II. La categoría básica se acredita con una autoevaluación; la media y la alta exigen auditoría y certificación por una entidad acreditada por ENAC. En esta guía explico qué exige de verdad, quién está obligado sin saberlo, cómo se acredita la conformidad y cómo se aprovecha un SGSI ISO 27001 para no hacer el trabajo dos veces. La escribo desde el sitio del auditor que después tiene que encontrar la evidencia.
El Esquema Nacional de Seguridad nació con la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos y se desarrolló por primera vez en el Real Decreto 3/2010. La versión vigente es el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022 y en vigor desde el día siguiente.
Su lógica de fondo es sencilla y, francamente, sensata: la Administración digital funciona sobre confianza. Si el ciudadano tiene que hacerlo todo por sede electrónica, alguien tiene que garantizar que esos sistemas están protegidos con un mínimo homogéneo, y que ese mínimo no depende de lo espabilado que sea el responsable de informática de cada ayuntamiento. El ENS es ese mínimo, escrito y auditable.
Tres cosas que conviene tener claras desde el principio:
Hoy el ENS lo establece el artículo 156.2 de la Ley 40/2015, de Régimen Jurídico del Sector Público, y lo regula el Real Decreto 311/2022 (artículo 1). El texto consolidado está en el BOE, con la referencia BOE-A-2022-7191. Tiene 41 artículos en siete capítulos, ocho disposiciones y cuatro anexos:
| Parte | Qué regula |
|---|---|
| Capítulo I (arts. 1 a 4) | Objeto, ámbito de aplicación (el 2.3 es el de las empresas privadas), sistemas que tratan datos personales y definiciones |
| Capítulo II (arts. 5 a 11) | Los principios básicos |
| Capítulo III (arts. 12 a 30) | La política de seguridad y los requisitos mínimos, con los perfiles de cumplimiento específicos (art. 30) |
| Capítulo IV (arts. 31 a 34) | La auditoría de la seguridad, el informe del estado de la seguridad y la respuesta a incidentes |
| Capítulo V (arts. 35 a 38) | Las normas de conformidad, con los procedimientos para acreditarla (art. 38) |
| Capítulo VI (art. 39) | La actualización del ENS |
| Capítulo VII (arts. 40 y 41) | Las categorías de seguridad y quién decide la de cada sistema |
| Disposiciones (ocho) | Tres adicionales (una prevé las instrucciones técnicas de seguridad y las guías CCN-STIC), la transitoria de los veinticuatro meses, la derogatoria del Real Decreto 3/2010 y tres finales |
| Anexo I | Cómo se determina la categoría de un sistema |
| Anexo II | Las medidas de seguridad |
| Anexo III | La auditoría de la seguridad |
| Anexo IV | Glosario |
No hace falta leerlo entero. Si prestas servicios o provees soluciones a la Administración, empieza por cinco piezas: el artículo 2.3 (si estás dentro), el artículo 12 (la política de seguridad, que en tu empresa aprueba el órgano con las máximas competencias ejecutivas), el anexo I (tu categoría), el anexo II (tus medidas) y el artículo 38 (cómo acreditas la conformidad).
Quien busca «ENS 2022» suele querer saber qué cambia el Real Decreto 311/2022 frente al Real Decreto 3/2010, al que deroga. Comparados los dos textos del BOE, estos son los cambios que se notan en una adecuación o en una auditoría:
| Aspecto | ENS 2010 (RD 3/2010) | ENS 2022 (RD 311/2022) |
|---|---|---|
| Ámbito | Las administraciones públicas (el ámbito de la Ley 11/2007) | Todo el sector público y, de forma expresa, los sistemas de las empresas privadas que le prestan servicios o le proveen soluciones (artículo 2.3) |
| Medidas del anexo II | 75 | 73 (4 organizativas, 33 operacionales y 36 de protección), con requisitos base y refuerzos que se suman según la categoría |
| Medidas nuevas | — | Protección de servicios en la nube (op.nub.1), vigilancia (op.mon.3), protección de la cadena de suministro (op.ext.3) y protección de la navegación web (mp.s.3), entre otras |
| Principios básicos | Seis | Siete: entra la vigilancia continua, y «prevención, reacción y recuperación» pasa a ser «prevención, detección, respuesta y conservación» |
| Servicios externalizados | Sin una figura propia | Salvo causa justificada, el prestador designa un POC (punto o persona de contacto) para la seguridad del servicio (artículo 13) |
| Perfiles de cumplimiento específicos | No existían | Los regula el artículo 30: medidas adaptadas a un sector o tipo de entidad y a una categoría, que valida y publica el CCN |
En la práctica: un sistema que se adecuó al ENS de 2010 y no se ha revisado desde entonces no está adecuado al de 2022. El periodo transitorio de veinticuatro meses, que alcanzaba también a los sistemas de los contratistas privados, terminó en mayo de 2024. Hoy la declaración de aplicabilidad se hace contra las 73 medidas vigentes, y conviene empezar por las nuevas: son las que no estaban en el plan de quien se adecuó en 2010.
Esta es la sección que más gente busca y peor se explica.
El sector público entero. Administración General del Estado, comunidades autónomas, entidades locales, entidades de derecho público vinculadas o dependientes, y las universidades públicas. Sin matices.
Y el sector privado, por la puerta del contrato. El artículo 2.3 del RD 311/2022 extiende la aplicación a los sistemas de información de las entidades del sector privado cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. Ojo al «o provean soluciones»: no hace falta prestar un servicio continuado, basta con proveer la solución. Y el propio artículo obliga a los órganos de contratación a trasladar la exigencia a los pliegos y, según el análisis de riesgos, a la cadena de suministro del proveedor.
El matiz importa mucho más de lo que parece, y en las dos direcciones:
La vía real por la que la mayoría lo descubre es el pliego. Los órganos de contratación exigen cada vez más la conformidad con el ENS como requisito de solvencia técnica para licitar, y en categorías media y alta la piden acreditada con certificado. He visto a más de una empresa descubrir el ENS con el pliego ya publicado y quince días de plazo para presentar oferta. Ese no es el momento de descubrirlo: la adecuación no se improvisa y el certificado no se compra en una semana. Si trabajas desde el norte, lo aterrizo con datos locales en la página de ciberseguridad y compliance para empresas de Asturias.
El ENS no clasifica empresas: clasifica sistemas. Y lo hace en dos pasos.
Para cada sistema se valora el perjuicio que causaría un incidente en cada una de estas cinco dimensiones, en tres niveles (bajo, medio, alto):
| Dimensión | Qué protege | Pregunta que hay que responder |
|---|---|---|
| Confidencialidad | Que la información no la vea quien no debe | ¿Qué daño causa que esto se filtre? |
| Integridad | Que la información no se altere indebidamente | ¿Qué daño causa que esto se modifique sin que nadie lo note? |
| Trazabilidad | Que se sepa quién hizo qué y cuándo | ¿Podríamos reconstruir lo ocurrido ante una reclamación? |
| Autenticidad | Que quien dice ser el origen lo sea | ¿Qué daño causa que alguien suplante a un emisor legítimo? |
| Disponibilidad | Que el servicio esté cuando se necesita | ¿Qué daño causa que esto esté caído tres días? |
Las dos últimas —trazabilidad y autenticidad— son las que más se descuidan en los análisis que reviso, y son precisamente las que sostienen la validez jurídica de un procedimiento administrativo electrónico.
La categoría del sistema es la que corresponde al nivel más alto alcanzado por cualquiera de las cinco dimensiones. En corto:
| Categoría | Cuándo | Qué implica |
|---|---|---|
| Básica | Ninguna dimensión supera el nivel bajo | Subconjunto reducido de medidas. Conformidad acreditable por autoevaluación |
| Media | Alguna dimensión alcanza nivel medio y ninguna el alto | Más medidas y refuerzos. Exige auditoría y certificación |
| Alta | Alguna dimensión alcanza nivel alto | El conjunto más exigente. Exige auditoría y certificación |
Una sola dimensión en alto sube todo el sistema a categoría alta. De ahí que la valoración inicial sea la decisión de diseño más cara del proyecto: hacerla por exceso, «por si acaso», multiplica el trabajo durante años. Hacerla por defecto para ahorrar te descalifica en el momento en que el órgano de contratación revise el pliego.
El anexo II del RD 311/2022 contiene el catálogo de medidas de seguridad, agrupadas en tres marcos:
Son 73 medidas (4 organizativas, 33 operacionales y 36 de protección). Si ves citadas 75, son las del ENS de 2010. A efectos prácticos el número da igual, porque lo que decide tu trabajo no es cuántas hay sino cuáles te aplican por tu categoría y con qué refuerzos.
Y ahí está el mecanismo que hace que el ENS sea proporcional en vez de aplastante: cada medida se aplica con distinta exigencia según la categoría, y algunas llevan refuerzos que se activan en niveles superiores, incluidos refuerzos flexibles en los que se puede elegir entre varias opciones equivalentes. No es un checklist plano: es una escalera.
Si eres una organización pequeña, esto te interesa más que ninguna otra sección del artículo.
El RD 311/2022 prevé los perfiles de cumplimiento específicos: conjuntos de medidas adaptados a un colectivo o sector concreto y a una categoría determinada, aprobados por el Centro Criptológico Nacional (CCN), que permiten alcanzar la conformidad con un esfuerzo proporcional al riesgo real de ese colectivo.
El más relevante para organizaciones pequeñas es el perfil de requisitos fundamentales de seguridad, desarrollado en la guía CCN-STIC 890: a través de un subconjunto de 38 medidas facilita alcanzar la conformidad en categoría básica a entidades con dificultades para abordar la adecuación estándar, usando la metodología µCeENS (diagnóstico, gobernanza, plan de adecuación, implantación y auditoría de conformidad). Un matiz que casi nadie cuenta: desde su actualización de julio de 2025 el CCN le da carácter transitorio y exige asumir el riesgo derivado de usarlo. Es una vía de entrada, no un sitio donde quedarse.
Traducción práctica: si eres un proveedor pequeño con un sistema de categoría básica y alguien te está presupuestando una adecuación de setenta y tres medidas con refuerzos, pídele que te explique por qué no aplica el perfil específico. La respuesta es informativa en un sentido o en otro.
Este es el matiz que descalifica ofertas, así que va con el artículo delante. El artículo 38 del RD 311/2022 separa los dos caminos:
| Aspecto | Categoría BÁSICA | Categorías MEDIA y ALTA |
|---|---|---|
| Mecanismo | Autoevaluación | Auditoría de certificación |
| Documento resultante | Declaración de Conformidad | Certificación de Conformidad |
| Quién lo emite | La propia entidad | Entidad de certificación acreditada por ENAC |
| ¿Puede optarse al otro? | Sí: la básica puede certificarse voluntariamente | No: media y alta no admiten autoevaluación |
A esto se suma la auditoría de la seguridad del artículo 31: los sistemas deben someterse a una auditoría ordinaria al menos cada dos años —plazo prorrogable un máximo de tres meses por causas de fuerza mayor ajenas a la entidad—, más auditorías extraordinarias cuando se produzcan modificaciones sustanciales que puedan afectar a las medidas de seguridad. Y el propio artículo 38 permite que esa auditoría del 31 sirva simultáneamente para la certificación, lo que evita duplicar el ejercicio. Quién puede hacer esa auditoría, cuáles son sus fases y qué evidencia pide lo cuento en la guía de la auditoría del ENS.
El procedimiento concreto —criterios, modelos de declaración, comunicación de las certificaciones al CCN, publicación y distintivos de cumplimiento— está en la guía CCN-STIC 809, que en sus versiones recientes incorpora también la figura de la aprobación provisional de conformidad, pensada para entidades en proceso de adecuación. El órgano que supervisa la certificación en el ámbito del ENS es el COCENS (Consejo de Certificación del ENS).
El error que veo repetirse: presentar una declaración de conformidad de categoría básica a un pliego que exige certificación de categoría media. No puntúa. No es un matiz burocrático: son dos cosas distintas, emitidas por sujetos distintos, con valor probatorio distinto. Léelo dos veces antes de ofertar.
Cómo se comprueba lo que dice un proveedor. El artículo 38.2 obliga a publicar las declaraciones y las certificaciones de conformidad en la web o en la sede electrónica del responsable del sistema. Las certificaciones, además, se pueden consultar en la relación de entidades públicas y privadas con sistemas certificados en el ENS que publica el CCN, con un apartado de empresas: en el detalle de cada una se ve el último certificado, con su fecha y la de renovación.
Con el documento delante, comprueba cuatro cosas: la categoría, el sistema o servicio que cubre, sus fechas y, si es un certificado, que quien lo firma figura en la lista de entidades de certificación del CCN. Lo que se acredita es un sistema, no la empresa: un proveedor puede tener el ENS en un servicio y no en el que te vende. Un sello en la web no basta si no enlaza con el documento que lo respalda. Y los distintivos oficiales dicen si son de declaración o de certificación, la categoría y el real decreto: uno con «RD 3/2010» corresponde al ENS de 2010, ya derogado.
Y una precisión sobre mi propio papel, porque en este terreno se confunde a menudo: yo no certifico a nadie. La certificación del ENS la emite una entidad de certificación acreditada por ENAC. Lo que sí hago es el trabajo previo (categorización, análisis de diferencias y plan de adecuación) y acompañar hasta la auditoría de certificación. La auditoría interna también la hago, pero solo si no te he implantado yo el sistema. Son sillas distintas y no me siento en las dos con el mismo cliente. El detalle de cada línea de trabajo está en la página de servicios.
La pregunta llega en todas las reuniones: «tenemos la ISO 27001, ¿nos vale para el ENS?». Respuesta honesta: ayuda mucho, pero no es automático.
El CCN publica una guía dedicada exactamente a esto, la CCN-STIC 825, que explica cómo usar una certificación ISO/IEC 27001 como apoyo para la conformidad con el ENS: determina qué controles de la ISO/IEC 27002 cubren cada medida del anexo II y qué elementos adicionales hacen falta. El propio CCN advierte que la compatibilidad entre ambos marcos no debe interpretarse como una equivalencia aritmética, sino como una lectura conjunta de los contenidos de ambas normas.
Lo que en la práctica significa:
Mi forma de plantearlo con clientes, y es la misma que explico en la guía de certificación ISO 27001: un solo sistema, con la ISO 27001 como columna vertebral, y el ENS como capa española encima. No tres carpetas con tres análisis de riesgos que se contradicen. Se implementa una vez y se responde a los dos —tres, si además te alcanza NIS2, que es el escenario habitual en cuanto la empresa crece: lo desarrollo en la guía de NIS2 para pymes—. Que ese método aguanta el examen no lo digo solo yo: está documentado en el caso de la auditoría ISO 27001 de 2026 cerrada con cero no conformidades.
Sin plazos mágicos y sin proyecto faraónico. El orden es este y saltárselo sale caro:
Quién sostiene todo esto el resto del año es otra pregunta legítima. Para una empresa mediana rara vez la respuesta es contratar a alguien a jornada completa: es el modelo de CISO externo o vCISO, con mandato de dirección y responsabilidad definida.
Es el marco español que fija las medidas de seguridad obligatorias para los sistemas de información del sector público y para los de las empresas privadas que le prestan servicios por contrato. Está regulado por el Real Decreto 311/2022, de 3 de mayo.
Es el Esquema Nacional de Seguridad vigente: el del Real Decreto 311/2022, de 3 de mayo, que derogó el Real Decreto 3/2010. Frente al de 2010, nombra de forma expresa a las empresas privadas que prestan servicios al sector público, pasa de 75 a 73 medidas con refuerzos por categoría e introduce los perfiles de cumplimiento específicos y el principio de vigilancia continua.
Sí, pero solo en un supuesto concreto: cuando prestan servicios o proveen soluciones al sector público, en virtud de una relación contractual, para que este ejerza sus competencias y potestades administrativas (artículo 2.3). Y obliga respecto de los sistemas concretos con los que se presta ese servicio, no respecto de toda la empresa.
Básica, media y alta. Se valora cada sistema en cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— en tres niveles, y la categoría del sistema es la correspondiente al nivel más alto alcanzado por cualquiera de ellas.
La categoría básica admite autoevaluación, que se plasma en una Declaración de Conformidad emitida por la propia entidad. Las categorías media y alta exigen auditoría y una Certificación de Conformidad emitida por una entidad de certificación acreditada por ENAC. Una básica puede certificarse voluntariamente; una media o alta no puede autoevaluarse.
El artículo 31 del RD 311/2022 exige una auditoría ordinaria al menos cada dos años, más auditorías extraordinarias cuando haya modificaciones sustanciales que puedan repercutir en las medidas de seguridad.
Ayuda mucho y ahorra la mayor parte del trabajo, pero no equivale. La guía CCN-STIC 825 explica cómo apoyarse en una certificación ISO 27001 para la conformidad con el ENS y qué elementos adicionales hay que incorporar. El propio CCN advierte de que la compatibilidad no es una equivalencia aritmética.
No. La disposición transitoria del RD 311/2022 concedió veinticuatro meses a los sistemas preexistentes; ese plazo terminó en mayo de 2024. Hoy la exigencia es plena.
Sí: los perfiles de cumplimiento específicos aprobados por el CCN. El perfil de requisitos fundamentales de seguridad (guía CCN-STIC 890) permite alcanzar la conformidad en categoría básica a través de un subconjunto de 38 medidas, pensado para entidades con dificultades para abordar la adecuación estándar. Desde la actualización de julio de 2025 tiene carácter transitorio y exige asumir el riesgo derivado de su uso.
El ENS tiene mala fama de burocracia y en parte se la ha ganado, pero su lógica es buena: valorar el daño real, aplicar medidas proporcionales a ese daño y poder demostrarlo. Cuando se hace bien, un sistema conforme al ENS no es una carpeta: es una empresa que sabe qué protege, por qué y con qué evidencia.
Y hay una razón comercial que no conviene disimular: en España, la conformidad con el ENS es cada vez más el requisito que separa a quien puede licitar de quien no. No es un gasto de cumplimiento; es una licencia para competir en un mercado concreto.
Si tienes un pliego encima de la mesa o lo ves venir, agenda una llamada de 30 minutos: en media hora se ve con bastante claridad qué categoría te corresponde y cuánto trabajo real hay por delante. Y si prefieres empezar solo, descarga la Checklist NIS2 —16 dominios, 149 controles— para hacerte una foto de madurez antes de hablar con nadie.
Estado normativo verificado a 26 de julio de 2026. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE de 4 de mayo de 2022, texto consolidado): artículo 2 sobre ámbito de aplicación, artículo 31 sobre auditoría de la seguridad, artículo 38 sobre declaración y certificación de la conformidad, anexo I sobre categorías y dimensiones y anexo II sobre medidas de seguridad. La comparación con el ENS de 2010 se hizo el 7 de octubre de 2026 sobre los textos consolidados del BOE: del Real Decreto 311/2022, los artículos 2, 5, 13 y 30, la disposición transitoria única y el anexo II (73 medidas); del Real Decreto 3/2010, de 8 de enero (BOE-A-2010-1330), los artículos 3 y 4 y el anexo II (75 medidas). Guías del Centro Criptológico Nacional CCN-STIC 809 (declaración, certificación y aprobación provisional de conformidad y distintivos de cumplimiento), CCN-STIC 825 (Esquema Nacional de Seguridad y certificación ISO/IEC 27001) y CCN-STIC 890 (perfil de cumplimiento específico de requisitos fundamentales de seguridad, 38 medidas, categoría básica, metodología µCeENS). ENAC como Entidad Nacional de Acreditación de las entidades de certificación que emiten la Certificación de Conformidad en categorías media y alta, y COCENS como Consejo de Certificación del ENS. Para la comparativa, Directiva (UE) 2022/2555 (NIS2) e ISO/IEC 27001:2022. La estructura del Real Decreto 311/2022 (capítulos, artículos, disposiciones y anexos) y sus artículos 1, 2.3, 12, 38.2, 40 y 41 se comprobaron el 8 de octubre de 2026 en el texto consolidado del BOE, junto con el artículo 156.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Ese mismo día se consultaron en los portales del CCN la relación de entidades con sistemas certificados en el ENS, la lista de entidades de certificación y los distintivos de conformidad, y en el BOE la Instrucción Técnica de Seguridad de conformidad con el ENS (Resolución de 13 de octubre de 2016), que exige que el distintivo enlace con su declaración o su certificación.