El marco que tu cliente público da por supuesto.
El Esquema Nacional de Seguridad (ENS) es el marco español obligatorio de seguridad de la información para el sector público y para las empresas privadas que le prestan servicios. Lo regula el Real Decreto 311/2022, de 3 de mayo, que derogó el anterior RD 3/2010 y alineó el esquema con el entorno cloud, la cadena de suministro y el marco europeo (NIS2, eIDAS, RGPD).
Aquí está el punto que a muchas empresas les cuesta digerir: si tratas información de una administración pública española, el ENS te aplica aunque seas una empresa privada y aunque no tengas sede en España. No es una certificación de escaparate, es un requisito habilitante. Cada vez más pliegos lo exigen como criterio de admisión, no como mejora puntuable.
El esquema se apoya en cinco dimensiones de seguridad —autenticidad, confidencialidad, integridad, disponibilidad y trazabilidad— y clasifica cada sistema de información en tres categorías según el impacto que tendría un incidente. Esa categoría determina qué medidas del catálogo tienes que implantar y con qué refuerzo.
Básica, Media y Alta. No elijas: se calcula.
Categoría BÁSICA
Categoría MEDIA
Categoría ALTA
La categoría no se negocia
73 medidas. Tres marcos.
Marco organizativo · 4 medidas
Política de seguridad, normativa, procedimientos y proceso de autorización. Es lo que da soporte formal a todo lo demás y lo primero que mira el auditor.
Marco operacional · 32 medidas
Planificación, control de acceso, explotación, protección de servicios externalizados, continuidad del servicio y monitorización del sistema. Aquí es donde se concentran las no conformidades.
Marco de protección · 37 medidas
Instalaciones, personal, equipos, comunicaciones, soportes de información, aplicaciones, información y servicios. Cada medida se calibra según la categoría del sistema.
Análisis de riesgos
Obligatorio y documentado. Herramientas como CCN-PILAR y la metodología MAGERIT dan trazabilidad medida a medida y son las que mejor entiende el auditor.
Declaración de Aplicabilidad
Documento clave del RD 311/2022: justifica qué medidas aplican, con qué refuerzo y por qué. Si está mal construida, arrastra hallazgos a toda la auditoría.
Perfiles de cumplimiento específicos
El esquema permite perfiles adaptados a tipologías de entidad (ayuntamientos pequeños, entidades locales, servicios cloud), que simplifican la adecuación sin bajar el listón.
¿Tienes un pliego encima de la mesa?
Dinos qué te pide el contrato y en una llamada de 30 minutos te decimos qué categoría te corresponde, qué te falta y cuánto tiempo necesitas hasta el certificado. Sin compromiso y sin presupuesto por sorpresa.
- Determinación de la categoría ENS con tu pliego delante
- Estimación realista de plazo hasta la auditoría
- Qué parte ya tienes cubierta con lo que hay implantado
Cada dos años, te toca otra vez.
Auditoría bienal
Auditoría extraordinaria
Entidad acreditada por ENAC
Planifícalo con meses
Tres marcos que se solapan mucho más de lo que parece.
Si tienes obligaciones múltiples, el error caro es implantar cada marco por separado. Se construye una vez y se declara tres veces.
ENS
ISO 27001
NIS2
Seis pasos. Sin sorpresas en la auditoría.
Categorización
Valoramos las cinco dimensiones sobre tus sistemas y determinamos la categoría real. Es la decisión que condiciona el coste de todo el proyecto.
Análisis de riesgos
Inventario de activos, amenazas, salvaguardas y riesgo residual con metodología reconocida. Documentado y defendible ante el auditor.
Análisis diferencial
Contrastamos las 73 medidas del Anexo II con lo que ya tienes. Casi siempre hay más implantado de lo que la empresa cree, solo que sin evidencia.
Adecuación y Declaración de Aplicabilidad
Política, normativa, procedimientos y evidencias. Construimos la DA justificando cada medida y cada refuerzo.
Auditoría interna
Auditamos con el mismo criterio que aplicará el certificador y cerramos hallazgos antes de que cuesten dinero.
Certificación y ciclo bienal
Te acompañamos en la auditoría con la entidad acreditada y te avisamos del siguiente vencimiento con margen real.
Qué te desbloquea de verdad.
- Admisión en licitaciones públicas donde el ENS es requisito habilitante, no criterio puntuable.
- Elegibilidad como subcontratista de grandes integradores que trasladan el ENS a toda su cadena.
- Base sólida para NIS2 y para ISO 27001: los controles se comparten y las auditorías se integran.
- Reducción real del riesgo: el análisis de riesgos del ENS obliga a mirar activos que nadie había inventariado.
- Trazabilidad ante incidentes, que es lo que te salva si algún día hay que rendir cuentas.
- Argumento de confianza ante clientes privados, que cada vez usan el ENS como referencia de madurez.
Elige la intensidad.
Relación, Implicación, Compromiso o Apoyo: el mismo equipo, cuatro niveles de servicio según cuánto quieras delegar. Todos incluyen Orbita.PMTools, la plataforma donde vive tu proyecto.
Ver niveles de servicioEsquema Nacional de Seguridad
¿El ENS me aplica si soy una empresa privada?+
¿Cómo sé qué categoría me corresponde?+
¿La categoría Básica necesita auditoría externa?+
¿Cada cuánto hay que renovar?+
¿Cuánto se tarda en certificarse en ENS?+
¿Me sirve mi ISO 27001 para el ENS?+
¿Qué es la Declaración de Aplicabilidad del ENS?+
¿Qué pasa si me caduca el certificado?+
¿Tienes un pliego encima de la mesa?
Dinos qué te pide el contrato y en una llamada de 30 minutos te decimos qué categoría te corresponde, qué te falta y cuánto tiempo necesitas hasta el certificado. Sin compromiso y sin presupuesto por sorpresa.
- Determinación de la categoría ENS con tu pliego delante
- Estimación realista de plazo hasta la auditoría
- Qué parte ya tienes cubierta con lo que hay implantado
Síguelo todo en Orbita.PMTools
Cada proyecto se gestiona en Orbita.PMTools, nuestra plataforma de gestión de proyectos: tareas y hitos, documentación compartida, indicadores y comunicación directa con tu consultor. Tú entras como cliente y lo ves todo en tiempo real.
- ◆ Tareas, hitos y plazos del proyecto
- ◆ Documentación siempre disponible
- ◆ Comunicación directa con tu equipo consultor
¿Te ayudamos con esto?
Un artículo diario sobre normas y Modelo EFQM. Sin spam, date de baja cuando quieras.
Hablemos de tu proyecto.
Cuéntanos qué necesita tu gestión y te proponemos el camino más simple para conseguirlo.