Esquema Nacional de Seguridad: qué es el ENS, a quién obliga y cómo se certifica

01Los datos, antes que nada

Todo lo que afirma esta guía se apoya en la tabla siguiente. Cada dato lleva su fuente primaria y la fecha en que lo comprobamos.

02¿Qué es el ENS?

El ENS es la política de seguridad que se aplica al uso de medios electrónicos en el sector público. Lo regula hoy el Real Decreto 311/2022, de 3 de mayo, que derogó el Real Decreto 3/2010 y entró en vigor el 5 de mayo de 2022. Su lógica es sencilla de enunciar: que la información y los servicios que maneja la Administración estén protegidos con un mismo criterio, de forma proporcional al riesgo, y que sus proveedores no sean el eslabón débil.

Se construye en tres capas. Arriba, siete principios básicos que enumera el artículo 5:

• Seguridad como proceso integral, no como una acción puntual.
• Gestión de la seguridad basada en los riesgos.
• Prevención, detección, respuesta y conservación.
• Existencia de líneas de defensa.
• Vigilancia continua.
• Reevaluación periódica.
• Diferenciación de responsabilidades.

Debajo, los requisitos mínimos del artículo 12, que la política de seguridad de cada organización tiene que desarrollar: organización e implantación del proceso de seguridad; análisis y gestión de los riesgos; gestión de personal; profesionalidad; autorización y control de los accesos; protección de las instalaciones; adquisición de productos de seguridad y contratación de servicios de seguridad; mínimo privilegio; integridad y actualización del sistema; protección de la información almacenada y en tránsito; prevención ante otros sistemas de información interconectados; registro de la actividad y detección de código dañino; incidentes de seguridad; continuidad de la actividad, y mejora continua del proceso de seguridad.

Y en la base, las medidas de seguridad del anexo II, que son las que se implantan, se auditan y se evidencian. El Centro Criptológico Nacional (CCN) desarrolla el esquema con Instrucciones Técnicas de Seguridad y con las guías CCN-STIC de la serie 800, y puede validar perfiles de cumplimiento específicos para determinadas entidades o sectores (art. 30).

03¿A quién obliga el Esquema Nacional de Seguridad?

Según el artículo 2, el ENS se aplica a todo el sector público, en los términos en que lo define el artículo 2 de la Ley 40/2015: la Administración General del Estado, las comunidades autónomas, las entidades locales, las universidades públicas y el sector público institucional. También a los sistemas que tratan información clasificada, con las particularidades de su propia normativa.

Y a un tercer grupo, el que más dudas genera fuera de la Administración: los sistemas de información de las entidades del sector privado que trabajan para ella. Lo vemos en la sección siguiente, porque es probablemente el motivo por el que estás leyendo esto.

04¿Cuándo alcanza el ENS a una empresa privada?

El artículo 2.3 lo dice así: el ENS se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad, «cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas».

Tres consecuencias prácticas de esa frase:

• Lo que entra es el sistema, no la empresa entera. Te afecta en la medida en que tus sistemas intervienen en el servicio que prestas a la Administración: el software que le desarrollas, la plataforma que le operas, el soporte que le das. Delimitarlo bien es la primera tarea.
• No toda venta a la Administración lo implica. Hace falta una relación contractual para prestar servicios o soluciones que la Administración usa en el ejercicio de sus competencias y potestades administrativas.
• El pliego concreta. El mismo artículo 2.3 obliga a que los pliegos recojan los requisitos para asegurar la conformidad con el ENS de los sistemas del contratista, como presentar la declaración o la certificación, y a extender esa cautela a su cadena de suministro cuando el análisis de riesgos lo pida. Si el pliego la pide y no la tienes, puedes quedarte fuera.

Si es tu caso, en ciberseguridad para el sector público → contamos cómo trabajamos con administraciones y con las empresas que les venden.

05¿Qué diferencia hay entre categoría Básica, Media y Alta?

La categoría de un sistema equilibra la importancia de la información y de los servicios con el esfuerzo de seguridad, bajo el principio de proporcionalidad (art. 40). Se determina valorando el impacto que tendría un incidente en cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cada dimensión se valora con tres niveles (anexo I):

Y la categoría del sistema la marca la dimensión con el nivel más alto:

La lectura práctica: basta una dimensión en nivel ALTO para que todo el sistema sea de categoría ALTA. Por eso la valoración se justifica dimensión a dimensión, y por eso separar bien los sistemas que entran en el alcance cambia el proyecto. En el registro público del CCN, el grupo más numeroso es el de categoría MEDIA: 1.862 de 4.011. Ese registro publica certificados, así que casi no aparecen las declaraciones de categoría BÁSICA que no han pasado por una entidad de certificación.

06¿Qué te exige exactamente el ENS?

Lo que vas a tener que demostrar, en el orden en que suele aparecer en un proyecto:

• Una política de seguridad aprobada, que identifique a los responsables y sus funciones. El artículo 2.3 la menciona expresamente para el sector privado: la obligación de contar con ella también te alcanza.
• Responsabilidades separadas. La política diferencia los responsables de la información, de los servicios y de la seguridad, y el artículo 13 añade una regla que obliga a reorganizar a muchas empresas: el responsable de la seguridad será distinto del responsable del sistema, sin dependencia jerárquica entre ambos.
• Un análisis de riesgos del sistema, que justifica qué medidas aplicas y con qué intensidad.
• La Declaración de Aplicabilidad: las medidas del anexo II que te corresponden por categoría y por riesgo. Son mínimos exigibles; pueden sustituirse por medidas compensatorias si se justifica por escrito que protegen igual o mejor (art. 28).
• Las medidas del anexo II, en tres grupos: marco organizativo [org], marco operacional [op] y medidas de protección [mp].
• Auditoría y conformidad: la declaración o certificación de conformidad, publicada, y una revisión al menos cada dos años: auditoría en MEDIA y ALTA, autoevaluación en BÁSICA (art. 31 y 38 y anexo III).

Nada de esto exige comprar una tecnología concreta: el ENS pide medidas proporcionadas y evidencias de que funcionan.

07¿Cómo se certifica el ENS? Declaración y certificación de conformidad

Todo sistema dentro del ámbito del ENS pasa por un proceso para determinar su conformidad (art. 38). Hay dos caminos, según la categoría: en BÁSICA basta una autoevaluación y una declaración que firma tu organización; en MEDIA y ALTA hace falta una auditoría de certificación, a cargo de una entidad acreditada por ENAC según la Instrucción Técnica de Seguridad de conformidad. El CCN publica la relación de entidades de certificación.

En los dos casos hay que dar publicidad a la declaración o al certificado, y la conformidad hay que mantenerla. En MEDIA y ALTA, el artículo 31 exige una auditoría ordinaria al menos cada dos años, y otra extraordinaria si el sistema cambia de forma sustancial; en BÁSICA, esa revisión puede ser una autoevaluación (anexo III).

Un apunte para no confundirse: la consultora que te ayuda a adecuarte no es la que te certifica. Quien implanta no puede auditar su propio trabajo.

08¿A quién se notifican los incidentes?

El ENS organiza la respuesta a incidentes en torno al CCN-CERT (art. 33). Las entidades del sector público notifican al CCN los incidentes con impacto significativo, según la Instrucción Técnica de Seguridad de notificación de incidentes.

Para la empresa privada, la regla está en el artículo 33.7: las organizaciones del sector privado que presten servicios a las entidades públicas notifican al INCIBE-CERT los incidentes que les afecten, y el INCIBE-CERT lo pone inmediatamente en conocimiento del CCN-CERT. Qué incidentes se notifican lo concreta la Instrucción Técnica de notificación de incidentes, que clasifica su impacto con la guía CCN-STIC 817; no cada avería. Conviene tenerlo escrito en tu procedimiento antes de necesitarlo, junto con lo que te pida el contrato. Si te ocurre ahora, en respuesta a incidentes → te ayudamos.

09¿Qué relación tiene el ENS con la ISO 27001 y con NIS2?

ENS e ISO 27001. La ISO/IEC 27001 es una norma internacional voluntaria que certifica un sistema de gestión; el ENS es una obligación legal española con su propio catálogo de medidas, sus categorías y sus dimensiones, como la trazabilidad y la autenticidad. Comparten buena parte del trabajo —análisis de riesgos, políticas, evidencias—, pero una no sustituye a la otra. Si te piden las dos, se abordan juntas: lo contamos en consultoría ISO 27001 →

ENS y NIS2. Responden a preguntas distintas. El ENS se aplica por trabajar con el sector público; NIS2 se aplica, como regla general, por el sector de actividad y el tamaño de la empresa, y sus obligaciones concretas llegan a través de la ley nacional de transposición. Una misma empresa puede estar en los dos marcos, y el trabajo de uno aprovecha al otro. Explicamos NIS2 —y en qué punto está su transposición en España— en su propia guía →

10¿Cómo se adecúa una empresa al ENS, paso a paso?

El CCN describe un proceso de adecuación que empieza por el alcance y termina en la mejora continua. Es el orden que seguimos con nuestros clientes, y puedes recorrerlo por tu cuenta:

1. 1Delimita el alcance. Qué sistemas intervienen en el servicio que prestas a la Administración. Es la decisión que más condiciona el esfuerzo: un alcance bien acotado evita llevar al ENS lo que no lo necesita.
2. 2Categoriza el sistema valorando el impacto en las cinco dimensiones, y deja escrita la justificación.
3. 3Analiza los riesgos y prepara la Declaración de Aplicabilidad: primero provisional, después definitiva.
4. 4Aprueba la política de seguridad y nombra los responsables, con la separación que pide el artículo 13.
5. 5Implanta las medidas con una hoja de ruta y el marco normativo interno (normas y procedimientos).
6. 6Declara o certifica la conformidad según tu categoría, publícala y mantén las evidencias: después vienen la vigilancia y la mejora continua.

Si aún no tienes un diagnóstico de partida, el Análisis de Madurez CIS18 → te da la foto real antes del análisis GAP. Y si prefieres recorrer el camino acompañado, del alcance a la declaración o el certificado, es lo que hacemos en la certificación ENS →. Un ejemplo publicado: llevamos a Grupo EUN al ENS categoría Media y a la ISO 27001 a la vez.