El requisito para vender a lo público
El Esquema Nacional de Seguridad (ENS, RD 311/2022) es el marco de seguridad para la administración electrónica española. Ya está vigente y es un requisito habitual para proveedores privados que prestan servicios al sector público.
Esta guía resume el esquema en lenguaje simple y no reemplaza asesoría legal. Verifica siempre el texto oficial antes de tomar decisiones.
Qué es el ENS
Aplica a organismos públicos españoles y a cualquier empresa privada que preste servicios a la Administración, y se sostiene sobre tres pilares. En la práctica se aplica con las guías del Centro Criptológico Nacional (CCN), que detallan cómo implantar cada medida. Para algunos tipos de entidad o servicio, el CCN aprueba además perfiles de cumplimiento específicos que adaptan las medidas a su caso.
Tres categorías
Básica, Media o Alta, según el impacto que tendría un incidente sobre la información y los servicios que manejas.
75 medidas de seguridad
Organizadas en marco organizativo, operacional y medidas de protección, proporcionales a la categoría de cada sistema.
Declaración o certificación
Categoría Básica requiere autoevaluación; Media y Alta requieren auditoría por una entidad acreditada cada dos años.
De 2010 a hoy
01 / 2010
Nace el ENS
El Real Decreto 3/2010 crea el Esquema Nacional de Seguridad para la administración electrónica española.
02 / 2022
Actualización del ENS
El Real Decreto 311/2022 actualiza el esquema, alineándolo con amenazas y tecnologías actuales.
03 / Hoy
Ya exigido en licitaciones
El ENS ya está vigente y es un requisito habitual en contratos y licitaciones con la Administración española.
75
Medidas de seguridad
3
Categorías (Básica/Media/Alta)
2 años
Ciclo de auditoría (Media/Alta)
2022
Última actualización
Consecuencias de no cumplir
El ENS no impone multas comerciales como el GDPR — es un requisito de elegibilidad para trabajar con la Administración.
| Quién | Consecuencia | Detalle |
|---|---|---|
| Proveedores privados | Pérdida de elegibilidad para contratos públicos | Sin declaración o certificación ENS, no puedes optar a licitaciones públicas que la exijan como requisito. |
| Sector público | Responsabilidad disciplinaria conforme a la normativa de función pública | El incumplimiento por parte de un organismo público puede derivar en responsabilidad administrativa de sus responsables. |
Qué te aporta ISO 27001 para el ENS
ISO 27001 es una buena base para el ENS: muchas de sus medidas de seguridad te sirven también aquí. Pero no lo cubre entero: el ENS tiene requisitos propios, como la categorización del sistema y la declaración de conformidad, que hay que cubrir aparte.
Qué significa para tu pyme
Si vendes software o servicios a cualquier administración pública española, es probable que te pidan una declaración o certificación ENS como parte del contrato o la licitación.
La categoría exigida (Básica, Media o Alta) depende del servicio que prestas, no del tamaño de tu empresa.
La certificación de categoría Media o Alta caduca a los dos años y hay que volver a auditarla. Con Kardu cada evidencia queda fechada y con su caducidad, así que sabes qué renovar antes de que llegue el auditor.
6 elementos mínimos
- Categorización de tus sistemas (Básica, Media o Alta)
- Análisis de riesgos con una metodología reconocida (en el sector público lo habitual es MAGERIT, con la herramienta PILAR del CCN)
- Política de seguridad de la información
- Plan de continuidad de servicio
- Declaración de conformidad (Básica) o auditoría (Media/Alta)
- Roles de seguridad asignados: el responsable de seguridad tiene que ser distinto del responsable del sistema; los de la información y del servicio pueden coincidir
Fuentes oficiales
Esta guía es un resumen. Para el detalle legal, consulta directamente el texto del real decreto; para la implantación, las guías del CCN.
Texto oficial del ENS en el BOE →Portal del ENS del CCN →ISO 27001 como base, ENS incluido
Kardu organiza tu evidencia de cumplimiento sobre ISO 27001 y la mapea al ENS y al resto de frameworks que te apliquen, para que no dupliques trabajo entre normativas.