Si tu empresa trabaja con administraciones públicas españolas o participa en proyectos en los que se exigen determinados requisitos de seguridad, puede necesitar conocer el Esquema Nacional de Seguridad (ENS).
El ENS establece principios y requisitos de seguridad aplicables a determinados sistemas de información dentro de su ámbito. Para una empresa privada, puede ser especialmente relevante cuando desarrolla software, presta servicios tecnológicos, gestiona infraestructuras, proporciona servicios cloud o participa en contratos públicos con requisitos específicos de seguridad.
La aplicación del ENS depende del sistema, del servicio prestado, del alcance y de las condiciones establecidas en cada proyecto.
En esta página encontrarás qué es el ENS, cuándo puede afectar a una empresa privada, cómo se clasifican los sistemas, qué medidas pueden resultar aplicables y cómo puede estructurarse un proceso de adecuación.
¿Qué es el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad (ENS) es el marco español que establece principios y requisitos de seguridad para determinados sistemas de información dentro de su ámbito de aplicación.
Su regulación principal se encuentra en el Real Decreto 311/2022, de 3 de mayo.
El ENS no consiste simplemente en instalar herramientas de seguridad. Puede implicar diferentes áreas:
- gestión de riesgos;
- control de accesos;
- protección de sistemas;
- gestión de vulnerabilidades;
- gestión de incidentes;
- continuidad;
- seguridad de proveedores;
- documentación;
- supervisión y mejora continua.
Por eso, una empresa que necesite adaptarse al ENS debe analizar tanto sus sistemas como las medidas organizativas, técnicas y operativas relacionadas.
¿A quién se aplica el ENS?
El ENS está dirigido principalmente al sector público, aunque sus requisitos también pueden afectar a determinadas empresas privadas que prestan servicios o gestionan sistemas relacionados con organismos públicos.
Puede resultar relevante para empresas que:
- desarrollan software para administraciones;
- proporcionan servicios cloud;
- gestionan infraestructuras tecnológicas;
- mantienen aplicaciones utilizadas por organismos públicos;
- prestan servicios tecnológicos;
- proporcionan soporte o servicios gestionados;
- participan en proyectos de administración electrónica;
- gestionan determinados sistemas o información por cuenta de organismos públicos.
La aplicación concreta depende del servicio y de los requisitos establecidos para cada proyecto.
¿El ENS afecta a empresas privadas?
Sí, puede afectar a empresas privadas.
Esto ocurre especialmente cuando una organización presta servicios al sector público o gestiona sistemas incluidos dentro del ámbito correspondiente.
Sin embargo, trabajar con una administración no significa automáticamente que toda la empresa deba certificarse bajo el ENS.
El alcance puede limitarse a determinados:
- sistemas;
- aplicaciones;
- servicios;
- infraestructuras;
- datos;
- entornos tecnológicos.
Por eso, antes de iniciar un proceso de adecuación conviene revisar el contrato, pliego o requisito concreto.
ENS para empresas proveedoras del sector público
Las administraciones pueden exigir determinadas garantías de seguridad a sus proveedores.
Según el proyecto, pueden aparecer requisitos relacionados con:
- protección de la información;
- gestión de accesos;
- gestión de vulnerabilidades;
- copias de seguridad;
- continuidad;
- monitorización;
- gestión de incidentes;
- seguridad de terceros;
- auditorías;
- pruebas técnicas.
Para una empresa tecnológica, estos requisitos pueden tener importancia tanto desde el punto de vista de la seguridad como desde el punto de vista contractual.
¿Qué sistemas pueden estar dentro del alcance del ENS?
El ENS se aplica sobre sistemas de información concretos dentro de su ámbito.
Por ello, no siempre es necesario considerar toda la organización como un único sistema.
El alcance puede incluir:
- servidores;
- aplicaciones;
- redes;
- servicios cloud;
- bases de datos;
- sistemas de almacenamiento;
- plataformas digitales;
- sistemas de soporte.
Definir correctamente el alcance es fundamental porque determina qué elementos deben analizarse y qué medidas serán relevantes.
¿Qué categorías de seguridad contempla el ENS?
El ENS establece tres categorías de seguridad:
- BÁSICA
- MEDIA
- ALTA
La categoría se determina teniendo en cuenta el impacto que podría producir un incidente sobre las diferentes dimensiones de seguridad del sistema.
No todos los sistemas necesitan el mismo nivel de protección.
¿Qué dimensiones de seguridad contempla el ENS?
Para determinar el impacto de los incidentes se consideran diferentes dimensiones.
Confidencialidad
Se relaciona con la necesidad de impedir accesos no autorizados a la información.
Integridad
Se refiere a la protección frente a modificaciones no autorizadas o incorrectas.
Disponibilidad
Considera la importancia de que el sistema o servicio esté disponible cuando resulte necesario.
Autenticidad
Permite valorar la necesidad de verificar adecuadamente identidades, sistemas o información.
Trazabilidad
Permite registrar determinadas acciones y asociarlas con los usuarios o sistemas correspondientes.
Estas dimensiones intervienen en la categorización del sistema.
¿Cómo se determina la categoría ENS?
La categorización se realiza valorando el impacto que tendría un incidente sobre las dimensiones de seguridad.
De forma simplificada:
- un impacto ALTO en una dimensión puede llevar a categoría ALTA;
- determinados impactos MEDIOS pueden corresponder a categoría MEDIA;
- cuando los impactos son BAJOS, puede corresponder categoría BÁSICA.
La categorización debe quedar documentada dentro del proceso correspondiente.
No depende simplemente del tamaño de la empresa.
¿Qué medidas de seguridad contempla el ENS?
Las medidas aplicables dependen de la categoría, el sistema y el alcance.
Pueden abarcar diferentes áreas.
Organización
Definición de responsabilidades y estructura de seguridad.
Gestión de riesgos
Identificación y tratamiento de amenazas, vulnerabilidades e impactos.
Gestión de accesos
Control de cuentas, permisos y privilegios.
Protección de sistemas
Medidas para proteger aplicaciones, redes, servidores e información.
Gestión de incidentes
Procedimientos para detectar, comunicar y responder ante incidentes.
Continuidad
Medidas destinadas a mantener o recuperar servicios cuando se produce una interrupción.
Copias de seguridad
Protección y gestión adecuada de las copias y de los procesos de recuperación.
Monitorización
Registro y supervisión de determinados eventos de seguridad.
Gestión de vulnerabilidades
Identificación, análisis y tratamiento de vulnerabilidades.
Seguridad de proveedores
Gestión de determinados riesgos asociados a terceros y servicios externalizados.
¿Qué papel tiene el hardening dentro del ENS?
El hardening de sistemas puede formar parte de las medidas técnicas utilizadas para reforzar determinados sistemas.
Puede implicar la revisión de:
- servicios;
- permisos;
- cuentas;
- configuraciones;
- protocolos;
- accesos;
- sistemas operativos;
- componentes tecnológicos.
El hardening puede contribuir a reducir la superficie de exposición, pero no sustituye al resto de medidas necesarias dentro del ENS.
¿Qué papel tiene el análisis de vulnerabilidades?
La gestión de vulnerabilidades puede formar parte de la estrategia de seguridad de los sistemas incluidos.
Un análisis de vulnerabilidades puede ayudar a identificar determinadas debilidades conocidas.
Los resultados pueden utilizarse para:
- identificar problemas;
- valorar su importancia;
- priorizar acciones;
- aplicar correcciones;
- comprobar posteriormente los cambios cuando corresponda.
¿Es necesario realizar un pentesting para el ENS?
La necesidad de realizar pruebas técnicas depende del sistema, categoría, alcance, riesgos y requisitos aplicables.
No existe un único pentesting que deba realizarse de la misma manera sobre todas las organizaciones.
Cuando el proyecto requiera evaluar técnicamente una aplicación web u otro sistema, pueden plantearse pruebas específicas dentro del alcance autorizado.
¿Qué diferencia hay entre ENS e ISO 27001?
El ENS y ISO 27001 tienen relación con la seguridad de la información, pero no son equivalentes.
ISO 27001 se centra en un sistema de gestión de seguridad de la información basado en riesgos y mejora continua.
El ENS establece requisitos específicos dentro de su ámbito y categoriza los sistemas según el impacto de los incidentes.
Por tanto, una certificación ISO 27001 no implica automáticamente el cumplimiento de todos los requisitos aplicables del ENS.
Puedes consultar nuestra información sobre ISO 27001 y hacking ético.
¿Qué relación existe entre ENS y RGPD?
El ENS y el RGPD son marcos diferentes, aunque pueden coincidir en algunas medidas de seguridad.
El RGPD regula el tratamiento de datos personales.
El ENS establece requisitos de seguridad para determinados sistemas dentro de su ámbito.
Una organización puede estar sujeta simultáneamente a ambos marcos y tener que coordinar las medidas aplicables.
ENS y NIS2: ¿son lo mismo?
No.
La NIS2 establece un marco europeo de ciberseguridad para determinadas entidades y sectores.
El ENS es el marco español aplicable dentro de su ámbito específico.
Una organización puede encontrarse con requisitos derivados de ambos dependiendo de su actividad, sistemas y relaciones contractuales.
¿Cómo se prepara una empresa para el ENS?
El proceso debería comenzar definiendo exactamente qué sistema y qué servicio están afectados.
1. Definir el alcance
Determinar qué sistemas y servicios forman parte del proyecto.
2. Identificar los activos
Localizar servidores, aplicaciones, redes, servicios cloud y demás componentes relevantes.
3. Analizar los riesgos
Identificar amenazas, vulnerabilidades e impactos.
4. Categorizar el sistema
Determinar las dimensiones de seguridad y la categoría correspondiente.
5. Analizar las brechas
Comparar la situación actual con las medidas que resultan aplicables.
6. Elaborar un plan de adecuación
Definir acciones, responsables, prioridades y plazos.
7. Implantar las medidas
Aplicar las medidas organizativas, técnicas y operativas necesarias.
8. Mantener las evidencias
Conservar documentación y registros que permitan demostrar la aplicación de las medidas.
9. Realizar comprobaciones
Verificar internamente el estado de las medidas antes de la evaluación externa correspondiente.
10. Evaluación y certificación
Cuando corresponda, realizar el proceso de evaluación y certificación establecido.
¿Qué documentación puede necesitar una empresa?
La documentación depende del sistema y de la categoría correspondiente.
Puede incluir:
- política de seguridad;
- análisis de riesgos;
- inventario de activos;
- categorización del sistema;
- procedimientos;
- gestión de accesos;
- gestión de incidentes;
- continuidad;
- copias de seguridad;
- gestión de proveedores;
- gestión de vulnerabilidades;
- evidencias de controles;
- resultados de evaluaciones técnicas.
La documentación debe reflejar medidas que realmente se aplican.
¿Qué papel tienen los responsables de seguridad?
La organización debe establecer claramente las responsabilidades relacionadas con la seguridad.
Dependiendo del entorno pueden existir funciones relacionadas con:
- información;
- servicios;
- sistemas;
- seguridad;
- gestión;
- supervisión.
Lo importante es que exista una estructura que permita coordinar las medidas y mantener su seguimiento.
¿Cómo es una auditoría de conformidad ENS?
Una evaluación de conformidad analiza si el sistema cumple los requisitos que le resultan aplicables.
Puede incluir la revisión de:
- documentación;
- procedimientos;
- controles;
- configuraciones;
- evidencias;
- registros;
- gestión de riesgos;
- gestión de incidentes;
- continuidad;
- proveedores.
El objetivo es comprobar que las medidas requeridas están implantadas correctamente dentro del alcance.
¿Cuánto tarda una empresa en adaptarse al ENS?
No existe una duración universal.
El tiempo depende de:
- alcance;
- categoría;
- situación inicial;
- número de sistemas;
- medidas pendientes;
- documentación disponible;
- recursos;
- complejidad tecnológica.
Por eso, normalmente conviene realizar primero un diagnóstico y establecer un plan de adecuación realista.
¿Cuánto cuesta adaptarse al ENS?
No existe un precio único.
El presupuesto depende de factores como:
- número de sistemas;
- categoría;
- alcance;
- complejidad;
- medidas pendientes;
- documentación;
- pruebas técnicas;
- auditoría;
- certificación;
- mantenimiento posterior.
Antes de comparar presupuestos es importante comprobar exactamente qué actividades están incluidas.
¿Qué beneficios puede aportar el ENS a una empresa?
Para una empresa privada, uno de los posibles beneficios es poder cumplir determinados requisitos de seguridad exigidos en proyectos o contratos públicos.
Además, el proceso puede ayudar a mejorar:
- gestión de riesgos;
- control de accesos;
- protección de sistemas;
- continuidad;
- gestión de vulnerabilidades;
- seguridad de proveedores;
- documentación;
- gestión de incidentes.
ENS para PYMES
Una empresa pequeña también puede abordar un proceso de adecuación cuando el sistema y las condiciones del proyecto lo requieren.
El proceso puede comenzar por:
- identificar los sistemas incluidos;
- definir el alcance;
- revisar los requisitos aplicables;
- analizar las brechas;
- priorizar las medidas;
- implantar los controles;
- mantener las evidencias.
El proceso debe adaptarse al sistema real y no únicamente al tamaño de la empresa.
Puedes consultar nuestra página de ciberseguridad para PYMES en España.
¿Qué errores debería evitar una empresa?
No definir correctamente el alcance
Un alcance mal definido puede aumentar el trabajo o dejar fuera elementos relevantes.
Empezar por la documentación
Los documentos deben reflejar controles que realmente se aplican.
No categorizar correctamente el sistema
La categoría condiciona las medidas aplicables.
Ignorar a los proveedores
Los terceros pueden formar parte de la superficie de riesgo.
No mantener evidencias
La aplicación de las medidas debe poder demostrarse cuando corresponda.
No implicar a la dirección
La adecuación puede requerir recursos, decisiones y coordinación entre distintas áreas.
¿El ENS garantiza que un sistema sea seguro?
No.
Ningún marco puede garantizar que un sistema sea imposible de atacar.
El objetivo del ENS es establecer medidas para gestionar y reducir los riesgos dentro de su ámbito.
Incluso después de una evaluación o certificación, es necesario mantener los controles, revisar los riesgos y adaptar las medidas cuando cambie el entorno.
Preguntas frecuentes sobre el Esquema Nacional de Seguridad
¿Qué es el ENS?
El Esquema Nacional de Seguridad es el marco español que establece principios y requisitos de seguridad para determinados sistemas de información dentro de su ámbito de aplicación.
¿Una empresa privada tiene que cumplir el ENS?
Puede tener que cumplir determinados requisitos cuando presta servicios al sector público o cuando el contrato o pliego establece exigencias relacionadas con el ENS.
¿Todas las empresas que trabajan con la Administración necesitan certificación ENS?
No necesariamente. Depende del sistema, servicio, alcance y requisitos establecidos en cada caso.
¿Qué categorías existen?
Existen tres categorías: BÁSICA, MEDIA y ALTA.
¿Qué diferencia hay entre ENS e ISO 27001?
ISO 27001 se centra en un sistema de gestión de seguridad de la información, mientras que el ENS establece requisitos específicos dentro de su ámbito y según la categoría del sistema.
¿ENS y NIS2 son lo mismo?
No. Son marcos diferentes y su aplicación depende de las características de cada organización.
¿Es obligatorio realizar un pentesting?
La necesidad de realizar pruebas concretas depende del sistema, categoría, riesgos y requisitos aplicables.
¿Cuánto cuesta la adecuación al ENS?
Depende del alcance, categoría, situación inicial, medidas pendientes, documentación y proceso de evaluación correspondiente.
¿Cuánto tarda la adecuación?
Depende de la complejidad del sistema, el alcance y el nivel de preparación inicial.
¿Una PYME puede adaptarse al ENS?
Sí, cuando el ENS resulte aplicable al sistema o servicio correspondiente y se cumplan los requisitos establecidos.
¿El ENS garantiza que no habrá incidentes?
No. El ENS establece medidas para gestionar y reducir riesgos, pero no garantiza la ausencia de incidentes.
Solicita una evaluación relacionada con ENS
Si tu empresa trabaja con administraciones públicas y necesitas conocer qué requisitos de seguridad pueden afectar a tus sistemas, el primer paso es definir el alcance, el servicio y los sistemas implicados.
Cuéntanos qué sistema gestionas, qué servicio prestas y qué requisitos aparecen en el contrato o proyecto.
A partir de esa información podremos ayudarte a determinar el alcance técnico que conviene revisar.