Inicio›Certificación ENS
Cumplimiento regulado · RD 311/2022Certificación ENS: Esquema Nacional de Seguridad
Si vendes al sector público español, el ENS no es opcional: es requisito de contrato. Te llevamos del punto de partida a la Certificación de Conformidad emitida por una entidad acreditada por ENAC — en la categoría que tu contrato exige, no en la que suena mejor.
Categorización, adecuación al Anexo II y auditoría con entidad acreditada. Alcance y calendario cerrados por escrito en el diagnóstico.
¿Te aplica el ENS?
La pregunta correcta no es «¿quiero certificarme?», sino «¿qué me exige el sistema y el contrato?». Esta es la línea:
Sí te aplica
Entidades del sector público — es su marco obligatorio de seguridad desde la Ley 40/2015 y el RD 311/2022.
Proveedores privados del sector público — si prestas servicios o tratas información de una Administración, el ENS te alcanza en el alcance del servicio.
Subcontratistas en la cadena — la obligación sigue a la prestación, no solo al adjudicatario principal.
Quien quiere licitar — cada vez más pliegos piden la conformidad como prerrequisito, no como mérito.
No lo necesitas (todavía)
Empresas 100% B2B privado sin contratos ni datos del sector público — tu marco natural es ISO 27001.
Quien busca «un sello de ciberseguridad» genérico — el ENS protege sistemas concretos con alcance definido, no reparte insignias.
Ojo: si mañana entras en una licitación, esta columna caduca. Muchos clientes llegan aquí con el pliego ya publicado y el reloj corriendo.
Qué exige el ENS, pieza a pieza
Todo sale del RD 311/2022. Cada fila es trabajo real que alguien tiene que hacer — y evidenciar.
| Requisito | Dónde vive | Qué significa en la práctica |
|---|---|---|
| Categorización del sistema | Anexo I | Valorar el impacto sobre las cinco dimensiones (autenticidad, confidencialidad, integridad, disponibilidad, trazabilidad) y fijar categoría básica, media o alta. Lo decide y firma el responsable — y condiciona todo lo demás. |
| Medidas de seguridad | Anexo II · 73 medidas | Marco organizativo, operacional y de protección, modulado por categoría. No se aplican las 73 a todo el mundo: se aplica lo que tu categoría exige, con evidencias. |
| Análisis de riesgos | Anexo III | Formal, con revisión y aprobación anual. En categoría media y alta, con metodología reconocida. |
| Medidas compensatorias | Artículo 28 | Se puede sustituir una medida por otra que proteja igual o mejor — justificándolo documentalmente. Es flexibilidad, no atajo. |
| Auditoría ordinaria | Artículo 31 | Al menos cada dos años, más extraordinaria si el sistema cambia sustancialmente. |
| Conformidad | Artículo 38 | Categoría básica: autoevaluación con Declaración de Conformidad. Media y alta: auditoría de certificación con entidad acreditada por ENAC. |
Del pliego al sello, en cuatro fases
Categorización
Delimitamos el alcance del sistema y fijamos la categoría con su justificación documental — la que exige tu contrato, defendible ante el auditor.
Adecuación
Aplicamos las medidas del Anexo II que tu categoría exige, con las compensatorias justificadas donde toque, y montamos las evidencias.
Auditoría interna
Revisamos el sistema con criterio de auditor antes de la auditoría que cuenta. Los hallazgos se corrigen cuando aún es barato.
Certificación
Coordinamos la auditoría con la entidad acreditada por ENAC y te acompañamos hasta el sello — y en su mantenimiento bienal.
El calendario, por escrito: el plazo real depende de tu categoría y de tu punto de partida — por eso se cierra en el diagnóstico, con fases y fechas, antes de empezar.
El método completo — con tu parte del trabajo contada y qué pasa si algo falla — está en el proceso de certificación; y por qué este certificado se puede verificar, en la cadena de acreditación.
Qué certificado obtienes — y qué no te contamos en letra pequeña
Una Certificación de Conformidad ENS emitida por una entidad acreditada por ENAC para este esquema, con vigencia de dos años. No un diploma de curso, no un sello de consultora.
El ENS se mantiene, no se cuelga
Auditoría al menos cada dos años, análisis de riesgos revisado cada año y auditoría extraordinaria si el sistema cambia. Presupuestar solo la certificación inicial es presupuestar la mitad del ENS.
La categoría manda sobre el precio
Una categoría alta no cuesta lo que una básica, y prometer lo contrario es engañar. El alcance, la categoría y lo que queda fuera se cierran por escrito en el diagnóstico — con las tasas de la entidad de certificación aparte y a la vista.
La declaración no siempre basta
Que la básica admita autoevaluación no significa que tu cliente la acepte: muchos pliegos exigen certificación auditada. Leemos tu contrato antes de recomendarte la vía barata — aunque nos cueste una venta.
ENS sin rodeos
¿Qué categoría ENS me corresponde: básica, media o alta?
La fija el responsable del sistema valorando el impacto de un incidente sobre cinco dimensiones: autenticidad, confidencialidad, integridad, disponibilidad y trazabilidad. La categoría no se elige por ambición ni por precio: se justifica documentalmente — y el pliego de tu cliente público puede exigir una concreta.
¿La categoría básica puede autoevaluarse?
Sí: el RD 311/2022 permite acreditar la conformidad de los sistemas de categoría básica con una autoevaluación y su Declaración de Conformidad. En la práctica, muchos pliegos y homologaciones piden igualmente la Certificación de Conformidad auditada — conviene leer el contrato antes de elegir la vía.
¿Cuánto dura un certificado ENS?
La Certificación de Conformidad tiene la vigencia habitual de dos años naturales, y la propia norma exige auditoría ordinaria al menos cada dos años — más una extraordinaria si el sistema cambia sustancialmente. El ENS no se consigue una vez: se mantiene.
¿Cuántas medidas de seguridad exige el Anexo II?
El Anexo II del RD 311/2022 recoge 73 medidas, moduladas según la categoría del sistema: no se aplican todas ni con la misma intensidad. Y el artículo 28 admite medidas compensatorias cuando una no encaja, siempre justificadas documentalmente.
Ya tengo ISO 27001: ¿me sirve para el ENS?
Ayuda mucho y acorta el trabajo — la correspondencia entre marcos es alta — pero no equivale: el ENS exige categorización formal, las medidas concretas del Anexo II y su propia conformidad. Buena parte del sistema se aprovecha; la conformidad hay que ganarla aparte.
Soy subcontratista de un adjudicatario público: ¿me alcanza el ENS?
Si tratas información o prestas servicios del sector público dentro del alcance del contrato, sí puede alcanzarte: la obligación sigue a la cadena de prestación, no solo al firmante del contrato principal. El alcance exacto se delimita en la categorización — es de las primeras cosas que resolvemos en el diagnóstico.
El ENS es la certificación con mejor retorno de España — para quien le toca
No porque sea fácil, sino porque abre un mercado entero: sin conformidad no hay contrato público, y la mayoría de tus competidores todavía no la tiene. El error habitual es el contrario al que temen los compradores: no es certificarse de más, es categorizar de menos para abaratar — y descubrir en la licitación que el pliego pedía media donde tú declaraste básica.
Nuestra posición: categoriza lo que el contrato exige, ni un nivel más ni uno menos, y certifica aunque la básica te permita declarar. El papel auditado gana licitaciones; la autoevaluación gana discusiones.
Madruga Consulting
Te decimos la categoría que te corresponde y qué te falta para llegar.
Diagnóstico con alcance, calendario y presupuesto por escrito antes de que decidas nada.
Madrid · Sevilla · Marbella · toda España en remoto