Qué es el ENS: guía completa del Esquema Nacional de Seguridad

Qué es el Esquema Nacional de Seguridad

El Esquema Nacional de Seguridad (ENS) es el marco normativo que establece los principios y requisitos mínimos de seguridad para los sistemas de información de las Administraciones Públicas españolas y para las empresas privadas que les prestan servicios TIC. Su objetivo principal es garantizar que los sistemas que manejan datos o prestan servicios a ciudadanos y organismos públicos cuentan con un nivel adecuado de protección frente a amenazas cibernéticas.

En términos prácticos, el ENS define un catálogo de medidas de seguridad organizativas, operacionales y de protección que cualquier organización en su ámbito de aplicación debe implementar y mantener. Estas medidas abarcan desde la política de seguridad de la información y la gestión de riesgos hasta controles técnicos concretos como la autenticación, el cifrado y la gestión de incidentes.

El ENS no es una norma voluntaria ni una recomendación de buenas prácticas: es de obligado cumplimiento según el Real Decreto 311/2022, que derogó y sustituyó al anterior RD 3/2010. El incumplimiento tiene consecuencias directas: exclusión de licitaciones públicas, imposibilidad de renovar contratos con la Administración y, en algunos casos, responsabilidades legales.

Historia y evolución del ENS: del RD 3/2010 al RD 311/2022

El ENS nació con el Real Decreto 3/2010, de 8 de enero, fruto del mandato de la Ley 11/2007 de acceso electrónico de los ciudadanos a los Servicios Públicos. Esa versión inicial estableció los fundamentos del marco: principios de seguridad, categorización de sistemas y un primer catálogo de medidas. Fue un punto de partida sólido para su época, pero el panorama de amenazas evolucionó rápidamente.

En 2015, el RD 3/2010 fue modificado por el RD 951/2015, que introdujo ajustes relevantes en el procedimiento de auditoría y amplió el ámbito de aplicación. Sin embargo, la transformación digital de las AAPP, la proliferación del cloud computing, el teletrabajo y la aparición de amenazas más sofisticadas hicieron necesaria una revisión profunda.

El Real Decreto 311/2022, de 3 de mayo, publicado en el BOE con referencia BOE-A-2022-7191, derogó completamente el RD 3/2010 y estableció el ENS en su versión actual. Las novedades más significativas fueron:

• Extensión del ámbito a proveedores privados: cualquier empresa que preste servicios tecnológicos al sector público debe cumplir el ENS, no solo las propias administraciones.
• Actualización del catálogo de medidas: se incorporaron controles alineados con las últimas amenazas (ransomware, supply chain attacks, vulnerabilidades en entornos cloud).
• Nueva estructura de medidas: el Anexo II del RD 311/2022 organiza las medidas en tres familias — marco organizativo, marco operacional y medidas de protección — con niveles bajo, medio y alto según la categoría del sistema.
• Refuerzo de la seguridad en la cadena de suministro: los proveedores de los proveedores también pueden estar afectados si manejan datos o sistemas del sector público.
• Plazo de adecuación: el RD 311/2022 estableció un periodo transitorio de 24 meses para la adecuación, periodo que ya concluyó.

La Guía CCN-STIC-800, publicada y actualizada periódicamente por el Centro Criptológico Nacional (CCN), desarrolla los criterios de aplicación del ENS y es la referencia técnica fundamental para cualquier proceso de implantación.

Para quién es obligatorio el ENS

El artículo 2 del RD 311/2022 delimita el ámbito de aplicación. El ENS es obligatorio para:

• Las Administraciones Públicas en sentido amplio: Administración General del Estado, Administraciones autonómicas, Administraciones locales, organismos públicos y entidades vinculadas o dependientes.
• Las empresas privadas que presten servicios o soluciones de tecnología de la información y comunicación al sector público español, en la medida en que esos servicios afecten a la seguridad de los sistemas de información de la Administración.
• Los subcontratistas de primer y segundo nivel cuando el servicio principal exija cumplimiento ENS.

La clave práctica para una empresa privada es sencilla: si tu empresa licita o tiene contratos vigentes con organismos públicos en los que se gestionen, almacenen o transmitan datos de la Administración o se presten servicios TIC de cualquier tipo, el ENS te aplica. Esto incluye proveedores de software, integradores de sistemas, proveedores de servicios en la nube (IaaS, PaaS, SaaS), consultoras IT, empresas de telecomunicaciones y cualquier otro proveedor tecnológico.

Categorías del ENS: Básica, Media y Alta

Uno de los elementos más importantes del ENS es su sistema de categorización. No todos los sistemas de información tienen el mismo impacto potencial si se ven comprometidos. El ENS establece tres categorías basadas en la valoración del impacto que un incidente de seguridad tendría sobre las dimensiones de seguridad del sistema:

• Confidencialidad: ¿qué daño causaría que información no autorizada accediera a los datos?
• Integridad: ¿qué impacto tendría la modificación indebida de los datos?
• Trazabilidad: ¿qué consecuencias tendría no poder auditar quién accedió a qué?
• Autenticidad: ¿qué pasaría si no se pudiera verificar la identidad de los actores?
• Disponibilidad: ¿cuál sería el impacto de una interrupción del servicio?

La categoría del sistema determina el nivel de exigencia de las medidas de seguridad:

Categoría BÁSICA: aplica cuando el impacto de un incidente sería limitado. Es la categoría más frecuente entre pymes tecnológicas proveedoras de servicios auxiliares. Exige la implementación de aproximadamente 45 medidas de seguridad en sus niveles más básicos. Para esta categoría es posible emitir una Declaración de Conformidad sin necesidad de auditoría externa, aunque cada vez más pliegos exigen el certificado completo.

Categoría MEDIA: aplica cuando el impacto sería grave. Es la categoría más común para proveedores TIC de tamaño medio y empresas que gestionan datos sensibles de ciudadanos o sistemas que soportan servicios públicos esenciales. Exige aproximadamente 60 medidas con controles más estrictos: doble factor de autenticación obligatorio, análisis de vulnerabilidades periódico, monitorización de seguridad continua y planes de continuidad formalizados.

Categoría ALTA: aplica cuando el impacto sería muy grave o catastrófico. Típica de infraestructuras críticas, sistemas de defensa nacional, servicios esenciales del Estado o sistemas que manejan información clasificada. Exige las 73 medidas en sus niveles más exigentes, incluyendo controles avanzados de criptografía, segregación física de redes, respuesta a incidentes formalizada y auditorías de penetración regulares.

La determinación de la categoría es el primer paso crítico de cualquier proceso de implantación ENS. Herramientas como PILAR (desarrollada por el CCN) facilitan esta valoración mediante un análisis estructurado de activos y amenazas.

Qué medidas de seguridad exige el ENS

El Anexo II del RD 311/2022 recoge el catálogo de medidas de seguridad del ENS, organizado en tres marcos:

Marco Organizativo (org): establece los fundamentos de la gestión de la seguridad. Incluye la Política de Seguridad de la Información, la normativa de seguridad, los procedimientos de gestión de incidentes y la formación y concienciación del personal. Estas medidas deben estar documentadas y aprobadas al más alto nivel de la organización.

Marco Operacional (op): desarrolla los controles de gestión de la seguridad en el día a día. Se estructura en varias subfamilias: planificación (análisis de riesgos, arquitectura de seguridad, adquisición de nuevos componentes), control de acceso (identificación, autenticación, autorización), explotación (inventario de activos, configuración de seguridad, gestión de cambios, protección frente a código dañino, gestión de incidentes, continuidad del servicio) y servicios externos.

Medidas de Protección (mp): controles específicos para proteger categorías concretas de activos: instalaciones e infraestructura física, gestión del personal, protección de equipos, protección de comunicaciones (TLS/VPNs, segmentación de redes), protección de los soportes de información, protección de las aplicaciones informáticas y gestión de la información (clasificación, cifrado, copias de seguridad).

Cada medida se aplica con distinta intensidad según el nivel de seguridad requerido por la categoría del sistema: nivel bajo (L), medio (M) o alto (H). Para categoría Básica se aplican solo los niveles bajos; para Media, los niveles medios y bajos; para Alta, todos los niveles.

Diferencia entre Declaración de Conformidad y Certificado ENS

Esta es una de las dudas más frecuentes entre las empresas que empiezan a explorar el ENS. Hay dos formas de acreditar el cumplimiento:

Declaración de Conformidad (DDC): es un documento elaborado por la propia organización en el que se declara que los sistemas en alcance cumplen con las medidas del ENS en categoría Básica. No requiere auditoría externa. Es válida como mecanismo de acreditación para sistemas de categoría Básica, pero tiene una limitación importante: un número creciente de organismos públicos y pliegos de contratación ya no la aceptan y exigen el certificado completo.

Certificado ENS: es el documento expedido por una entidad de certificación acreditada por ENAC (Entidad Nacional de Acreditación) tras una auditoría de segunda parte. El proceso incluye una auditoría documental y una auditoría técnica in situ (o remota). Es obligatorio para categorías Media y Alta, y cada vez más requerido también para Básica. El certificado tiene una validez de 2 años, tras los cuales debe renovarse mediante una nueva auditoría.

La entidad auditora debe estar acreditada por ENAC bajo el esquema específico de certificación del ENS. El CCN publica en su web el listado actualizado de entidades acreditadas.

Cómo obtener el certificado ENS paso a paso

El proceso de certificación ENS tiene unas fases bien definidas:

1. Análisis GAP inicial: se evalúa el estado actual de los controles de seguridad de la organización frente a los requisitos ENS de la categoría aplicable. Este análisis identifica las brechas (gaps) existentes y cuantifica el esfuerzo necesario para cerrarlas.
2. Determinación de alcance y categoría: se definen qué sistemas y servicios quedan dentro del alcance de la certificación y se determina la categoría del sistema mediante la metodología de valoración de activos (habitualmente con la herramienta PILAR o metodologías compatibles).
3. Elaboración del Plan de Adecuación: con base en el análisis GAP, se diseña un plan detallado de implementación con actividades, responsables, plazos y recursos necesarios.
4. Implementación de controles: se ejecutan las acciones del Plan de Adecuación: elaboración de la Política de Seguridad, el Plan de Tratamiento de Riesgos (PTR), el documento de aplicabilidad, procedimientos operativos, formación al personal y despliegue de controles técnicos.
5. Auditoría interna previa: antes de la auditoría de certificación, se realiza una revisión interna exhaustiva para identificar y subsanar posibles desviaciones. Es la última oportunidad para detectar problemas.
6. Auditoría de certificación: una entidad acreditada por ENAC realiza la auditoría. Incluye revisión documental y comprobaciones técnicas. Si se detectan no conformidades, la organización dispone de un plazo para subsanarlas.
7. Emisión del certificado: una vez superada la auditoría sin no conformidades abiertas, la entidad emite el certificado ENS con una vigencia de 2 años.

Con el acompañamiento de una consultora especializada como Avson GRC, este proceso completo tarda entre 3 y 4 meses. El factor más determinante del plazo no es la documentación — que puede generarse con eficiencia usando herramientas especializadas — sino la implementación de controles técnicos y la disponibilidad del equipo interno para validar y proporcionar evidencias.

Preguntas frecuentes sobre el ENS