Qué es el Esquema Nacional de Seguridad y a quién aplica
El Esquema Nacional de Seguridad (ENS) es el marco normativo que regula las condiciones de seguridad que deben cumplir los sistemas de información de las administraciones públicas españolas y las empresas privadas que prestan servicios o desarrollan soluciones para ellas. Su cumplimiento no es opcional para las entidades en su ámbito de aplicación — es un requisito legal establecido por el Real Decreto 311/2022. Si tu empresa trabaja con el sector público y necesitas orientación técnica, somos un equipo de hacking ético certificado en España con experiencia en adecuación al ENS.
Entidades obligadas
- Administraciones públicas: estatal, autonómica y local.
- Empresas privadas que prestan servicios tecnológicos a administraciones públicas.
- Proveedores de soluciones software o infraestructura para el sector público.
- Entidades del sector privado que manejan datos de titularidad pública.
Categorías del ENS: básica, media y alta
El ENS clasifica los sistemas en tres categorías según el impacto que tendría un incidente de seguridad sobre los servicios prestados y la información manejada.
Categoría básica
Sistemas cuyo compromiso tendría un impacto limitado. Se aplican medidas de seguridad proporcionales al riesgo. Es la categoría más habitual en sistemas de información internos sin datos sensibles o servicios de baja criticidad.
Categoría media
Sistemas cuyo compromiso causaría un daño significativo en las operaciones o en los ciudadanos. Requiere controles más exhaustivos y una gestión formal del riesgo.
Categoría alta
Sistemas críticos cuyo compromiso tendría consecuencias graves o muy graves. Exige las medidas de seguridad más estrictas del marco y una auditoría de certificación obligatoria cada dos años.
Cómo se estructura el ENS: dominios y medidas de seguridad
El ENS organiza sus controles en cinco dominios principales:
- Marco organizativo: políticas de seguridad, roles y responsabilidades, gestión de riesgos.
- Marco operacional: planificación, control de acceso, explotación y continuidad.
- Medidas de protección: instalaciones, sistemas, comunicaciones, soportes y aplicaciones. El hardening de sistemas es una de las medidas técnicas más relevantes dentro de este dominio.
- Gestión de incidentes: detección, respuesta y recuperación ante incidentes de seguridad — incluyendo ataques de ransomware o campañas de phishing dirigido.
- Auditoría y cumplimiento: verificación periódica del nivel de seguridad implantado.
El papel del hacking ético en la adecuación al ENS
El ENS exige que los sistemas se sometan a auditorías de seguridad periódicas para verificar que los controles implantados son efectivos y no solo documentales. Una auditoría de seguridad informática mediante hacking ético permite cumplir este requisito de forma rigurosa y demostrable.
Qué verifica una auditoría ENS
- Que los controles de seguridad están correctamente implantados y son efectivos.
- Que no existen vulnerabilidades explotables en los sistemas en alcance — un análisis de vulnerabilidades previo ayuda a identificarlas antes de la auditoría formal.
- Que la gestión de accesos, la segmentación de red y la protección de datos cumplen los requisitos del marco.
- Que existe un plan de continuidad y procedimientos de respuesta ante incidentes.
Frecuencia de auditoría según categoría
- Categoría básica: auditoría interna anual o autoevaluación.
- Categoría media: auditoría formal cada dos años, puede ser interna.
- Categoría alta: auditoría formal cada dos años realizada por entidad independiente acreditada.
ENS y otras normativas: cómo se relacionan
El ENS no opera de forma aislada — se solapa y complementa con otras normativas que las organizaciones deben considerar:
- ISO 27001: el ENS toma como referencia este estándar internacional. Una organización certificada en ISO 27001 tiene una base sólida para la adecuación al ENS, aunque los marcos no son equivalentes.
- Directiva NIS2: amplía las obligaciones de ciberseguridad a sectores críticos. Una empresa puede estar sujeta simultáneamente al ENS y a NIS2.
- RGPD: el ENS y el Reglamento General de Protección de Datos son complementarios cuando los sistemas manejan datos personales. Una brecha causada por malware no detectado puede derivar en sanciones simultáneas bajo ambos marcos.
Proceso de certificación ENS paso a paso
- Determinación de la categoría: análisis de los sistemas y clasificación según su criticidad.
- Análisis de riesgos: identificación de amenazas, vulnerabilidades e impacto potencial.
- Plan de adecuación: definición de las medidas de seguridad a implantar y el calendario.
- Implantación de controles: aplicación técnica y organizativa de las medidas requeridas.
- Auditoría de certificación: verificación por entidad independiente acreditada (categoría alta) o auditoría interna (categorías básica y media).
- Declaración de conformidad: documento formal que acredita el cumplimiento del ENS.
- Mantenimiento y revisión: auditorías periódicas y actualización de controles ante cambios en el entorno.
Preguntas frecuentes sobre el ENS
¿El ENS aplica a empresas privadas sin relación con el sector público?
No directamente. El ENS aplica a las administraciones públicas y a las empresas privadas que prestan servicios o soluciones tecnológicas para ellas. Una empresa privada sin relación con el sector público no está obligada por el ENS, aunque puede adoptar sus controles como referencia de buenas prácticas.
¿Cuánto tiempo lleva el proceso de adecuación al ENS?
Depende del tamaño de la organización, la complejidad de sus sistemas y el estado de partida. Un proceso completo para un sistema de categoría media puede llevar entre tres y doce meses. La fase de auditoría en sí suele durar entre dos y seis semanas.
¿Qué pasa si no se cumple el ENS?
Las consecuencias van desde la pérdida de contratos con el sector público hasta sanciones administrativas. Para los proveedores tecnológicos, el incumplimiento puede implicar la exclusión de licitaciones y concursos públicos.
¿Una empresa certificada en ISO 27001 está automáticamente adecuada al ENS?
No. Aunque los marcos comparten muchos controles, el ENS tiene requisitos específicos que no están cubiertos por ISO 27001. La certificación ISO 27001 es un punto de partida sólido pero no equivale a la conformidad con el ENS.
¿Qué diferencia hay entre adecuación y certificación ENS?
La adecuación es el proceso de implantar los controles requeridos. La certificación es el reconocimiento formal de que esos controles están correctamente implantados y son efectivos, emitido tras una auditoría. Para categoría alta, la certificación es obligatoria y debe realizarla una entidad acreditada por ENAC.
Solicita una consulta sobre adecuación al ENS
Te orientamos sobre el proceso, el alcance y el coste estimado para tu organización — sin compromiso.
Más de 8 años auditando infraestructuras y aplicaciones para empresas en España. Certificado OSCP (Offensive Security Certified Professional) y CEH (Certified Ethical Hacker). Especializado en pentesting web, análisis de vulnerabilidades y cumplimiento de NIS2, ENS e ISO 27001. Colaborador activo en divulgación de ciberseguridad siguiendo las directrices del INCIBE.