ENS Básico: la guía completa para pymes que quieren licitar con la Administración.

Qué es el ENS Básico y por qué es el punto de entrada para las pymes

El ENS Básico —o categoría Básica del Esquema Nacional de Seguridad— es el nivel de certificación ENS que aplica a los sistemas de información cuyo compromiso tendría un impacto limitado sobre los servicios o los ciudadanos. Es el nivel de entrada del ENS, el menos exigente de los tres (Básico, Medio y Alto), y es el que aplica a la mayoría de las pequeñas y medianas empresas que trabajan con la Administración Pública española en servicios tecnológicos de apoyo.

Para una pyme tecnológica que se plantea por primera vez vender servicios al sector público, el ENS Básico es habitualmente la primera certificación que necesita. Si tu empresa desarrolla software para la administración local, presta servicios de soporte IT a entidades públicas, ofrece soluciones en la nube para organismos públicos o gestiona datos de la Administración con carácter auxiliar, es probable que la categoría Básica sea la que te aplica.

El ENS Básico no es un requisito menor: exige implementar un conjunto significativo de controles de seguridad organizativos y técnicos, documentarlos correctamente y demostrar en una auditoría que funcionan en la práctica. La diferencia respecto a las categorías superiores está en el nivel de exigencia de cada control, no en la ausencia de controles. Una empresa con el ENS Básico ha demostrado a sus clientes públicos que tiene una gestión de la seguridad de la información seria y sistemática.

¿Tu empresa necesita ENS Básico o una categoría superior? Cómo saberlo

La categoría ENS que te aplica depende del impacto que tendría un incidente de seguridad en los sistemas de información que van a estar en el alcance de la certificación. El proceso formal es un análisis de valoración de activos en cinco dimensiones (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). El resultado determina la categoría.

Como guía orientativa —no sustituta del análisis formal— la categoría Básica suele aplicar cuando:

• Tu empresa procesa datos de la Administración que no son especialmente sensibles (datos de gestión administrativa, información pública, datos estadísticos anonimizados).
• Una interrupción de tu servicio no afectaría a la prestación de servicios esenciales a ciudadanos (son servicios de apoyo interno, no servicios de cara al ciudadano).
• Tu empresa actúa como proveedor auxiliar de una entidad pública, no como proveedor de infraestructura crítica.
• Los datos personales que procesas no son de categorías especiales (salud, ideología, datos biométricos).

Si alguna de estas condiciones no se cumple, es posible que necesites la categoría Media. La categoría Alta queda reservada para sistemas de infraestructura crítica, defensa nacional y servicios esenciales del Estado.

Lo más prudente es no asumir la categoría sin un análisis: hay pymes que asumen Básico cuando la categoría correcta es Media (lo que puede provocar que la auditoría rechace el alcance) y empresas que asumen Media cuando Básico sería suficiente (desperdiciando recursos en controles innecesarios).

Requisitos del ENS Básico: los controles que debe implementar tu empresa

El Anexo II del RD 311/2022 define el catálogo de medidas de seguridad del ENS. Para la categoría Básica, las medidas se aplican en su nivel bajo (L), que es el menos exigente de los tres niveles (L, M, H). Aun así, el conjunto de controles requerido es sustancial:

Marco organizativo

La organización debe tener una Política de Seguridad de la Información aprobada por la dirección, una normativa de seguridad interna (conjunto de normas que regulan el uso de los sistemas por parte del personal), y un conjunto de procedimientos de seguridad que desarrollen la política: procedimiento de gestión de incidentes, procedimiento de copias de seguridad, procedimiento de control de accesos, etc. La política debe estar firmada por el máximo responsable de la organización y revisada al menos una vez al año.

Análisis de riesgos

El ENS Básico exige un análisis de riesgos formal que identifique los activos en alcance, las amenazas que les afectan, la probabilidad e impacto de cada amenaza y las medidas de tratamiento aplicadas. La metodología más utilizada en España es MAGERIT (desarrollada por el Ministerio de Hacienda), aunque se aceptan otras metodologías compatibles como ISO 27005. El resultado del análisis de riesgos alimenta el Plan de Tratamiento de Riesgos (PTR) y la Declaración de Aplicabilidad.

Controles técnicos principales

• Control de accesos: autenticación de todos los usuarios (contraseñas con política de complejidad mínima), gestión de cuentas (altas, bajas y modificaciones formalizadas), principio de mínimo privilegio (cada usuario solo tiene acceso a lo que necesita).
• Gestión de parches y vulnerabilidades: proceso formal de actualización de sistemas operativos y aplicaciones, con plazos máximos para parches críticos.
• Protección frente a código dañino: antimalware actualizado en todos los equipos, control de dispositivos extraíbles.
• Copias de seguridad: política de backup con frecuencia mínima definida, almacenamiento en ubicación separada, procedimiento y registros de pruebas periódicas de restauración.
• Registro de actividad (logs): los sistemas deben generar logs de acceso y actividad que sean conservados durante el tiempo mínimo establecido.
• Continuidad del servicio: plan básico de continuidad que establezca los tiempos máximos de recuperación (RTO) y los puntos de recuperación (RPO) para los servicios en alcance.
• Protección de las comunicaciones: cifrado de las comunicaciones externas (HTTPS/TLS), protección de las redes mediante firewall.
• Formación y concienciación: el personal con acceso a los sistemas debe recibir formación en seguridad de la información al menos una vez al año, con registro de asistencia.

Proceso paso a paso para obtener el ENS Básico

1. Análisis GAP inicial (semanas 1-2): evaluación del estado actual de los controles frente a los requisitos ENS Básico. Identificación de brechas y estimación del esfuerzo de adecuación.
2. Definición de alcance y categoría (semana 2): identificación de los sistemas en alcance, valoración de activos y confirmación de la categoría Básica mediante análisis de riesgo.
3. Plan de Adecuación (semana 3): elaboración del plan de trabajo detallado con acciones, responsables, plazos y recursos. Es el roadmap del proyecto.
4. Implantación de controles (semanas 4-10): ejecución del plan de adecuación. Elaboración de la documentación (política, procedimientos, análisis de riesgos, declaración de aplicabilidad) e implementación de los controles técnicos pendientes.
5. Formación del personal (semana 10-11): sesión de formación en seguridad de la información para todo el personal con acceso a los sistemas en alcance. Registro de asistencia y material formativo.
6. Auditoría interna previa (semana 11-12): revisión exhaustiva del estado de todos los controles, verificación de que la documentación está completa y coherente, comprobación técnica de las configuraciones. Subsanación de cualquier desviación detectada.
7. Auditoría de certificación (semana 13-14): auditoría por entidad acreditada por ENAC. Revisión documental y comprobación técnica.
8. Obtención del certificado (semana 15-16): resolución de eventuales no conformidades menores y emisión del certificado ENS Básico con vigencia de 2 años.

Cuánto cuesta el ENS Básico para una pyme

El coste total del proceso de certificación ENS Básico para una pyme tiene dos componentes: los honorarios de la consultora de implantación y el coste de la auditoría de la entidad certificadora.

Los honorarios de consultoría dependen de la madurez de partida (cuántos controles ya están implementados), la complejidad del entorno (número de sistemas en alcance, arquitectura tecnológica) y el tamaño de la organización. Como referencia orientativa para una pyme de entre 5 y 30 empleados con un entorno tecnológico estándar, los honorarios de implantación suelen situarse entre 4.000 y 10.000 euros. Las empresas con controles de seguridad ya maduros (por ejemplo, las que ya tienen certificación ISO 27001 o que aplican buenas prácticas de desarrollo seguro) pueden estar en el extremo inferior del rango.

El coste de la auditoría externa con una entidad acreditada por ENAC para ENS Básico en una pyme se sitúa habitualmente entre 3.000 y 6.000 euros, dependiendo de la entidad elegida y el alcance de la auditoría.

El coste total del proceso —consultoría más auditoría— para una pyme estándar se sitúa por tanto entre 7.000 y 16.000 euros. Hay que contextualizar este coste: el valor del primer contrato público que la certificación ENS permite ganar o mantener es habitualmente muy superior a esta inversión. El coste de no tener el ENS cuando lo exige el pliego es perder la licitación.

Cuánto tiempo lleva: cronograma realista de 3-4 meses

Con el acompañamiento de una consultora especializada, el proceso completo desde el inicio del proyecto hasta la recepción del certificado ENS Básico dura entre 3 y 4 meses para una pyme estándar. Este es el plazo más habitual en nuestros proyectos en Avson GRC.

Los factores que pueden acortar el plazo: que la empresa ya tenga documentación de seguridad existente (aunque sea incompleta), que el equipo interno tenga disponibilidad alta para las tareas del proyecto, y que el entorno tecnológico sea sencillo (pocos sistemas, infraestructura cloud estándar).

Los factores que pueden alargarlo: entorno tecnológico complejo o heredado que requiere actualizaciones técnicas significativas (cambio de sistemas de autenticación, implementación de backup en cloud, despliegue de herramientas de monitorización), alta rotación de personal durante el proyecto, o disponibilidad limitada del equipo interno para participar en las sesiones de trabajo.

Sin consultoría especializada, el plazo habitual se extiende a 9-12 meses, principalmente por la curva de aprendizaje en la interpretación de los controles del RD 311/2022 y los errores en la elaboración de la documentación que deben corregirse antes de la auditoría.

ENS Básico: declaración de conformidad vs certificado

En el ENS Básico existe la posibilidad teórica de emitir una declaración de conformidad —un documento autodeclarado de cumplimiento— en lugar de obtener el certificado de una entidad acreditada. Sin embargo, en la práctica esta opción es cada vez menos viable para empresas que quieren licitar activamente con la Administración.

La razón es sencilla: la mayoría de los pliegos de contratación pública de organismos con cualquier nivel de sofisticación digital ya exigen el certificado de entidad acreditada, no la declaración de conformidad. Incluso para categoría Básica. Presentar la declaración cuando el pliego pide el certificado equivale a la exclusión directa de la licitación.

La declaración de conformidad tiene sentido en casos muy concretos: contratos con administraciones muy pequeñas que la aceptan explícitamente, o como paso transitorio mientras se tramita la auditoría de certificación. Para cualquier empresa con ambición real de crecer en el mercado público, el certificado es la inversión correcta.

Los 5 errores más comunes de las pymes al buscar el ENS Básico

1. Asumir la categoría sin análisis formal. Muchas pymes asumen que les corresponde la categoría Básica sin hacer un análisis de valoración de activos. Esto puede llevar a que la auditoría rechace el alcance o que los auditores determinen que la categoría correcta es Media, invalidando todo el trabajo previo.
2. Documentar sin implementar. Elaborar una Política de Seguridad brillante y un análisis de riesgos impecable, pero sin que los controles técnicos estén realmente activos en los sistemas. Los auditores comprueban la implementación real, no solo los documentos.
3. Olvidar la prueba de restauración de copias de seguridad. Es el hallazgo más frecuente en las auditorías ENS. Puede existir el backup, pero si nunca se ha probado que funciona (restaurando datos reales), el auditor lo marcará como no conformidad.
4. Incluir demasiados sistemas en el alcance. Por intentar cubrir toda la empresa, se incluye en el alcance más sistemas de los necesarios, lo que aumenta el trabajo y la complejidad de la auditoría. Un alcance bien definido y justificado es más eficiente y más fácil de certificar.
5. Infravalorar la disponibilidad interna necesaria. El proyecto ENS requiere tiempo del equipo interno: reuniones, revisión de documentación, implementación de controles, respuesta a preguntas de auditores. Las empresas que no reservan ese tiempo en la agenda del equipo acaban retrasando el proyecto o llegando a la auditoría sin estar preparadas.

Preguntas frecuentes sobre el ENS Básico para pymes