1. Qué es el Esquema Nacional de Seguridad

El Esquema Nacional de Seguridad (ENS) es el marco que establece los principios básicos y requisitos mínimos de seguridad que deben cumplir:

  • Las administraciones públicas españolas.
  • Las entidades del sector público (organismos, entidades públicas empresariales, etc.).
  • Las empresas y proveedores que prestan servicios o soluciones a dichas administraciones.

El ENS busca garantizar que los sistemas de información que soportan los servicios públicos se gestionen con un nivel de seguridad adecuado, proporcional a los riesgos asumidos y a la criticidad de la información tratada.

2. El marco normativo: RD 311/2022 y guías CCN-STIC

El marco legal principal del ENS es el Real Decreto 311/2022, que actualiza y reemplaza al RD 3/2010. Este real decreto desarrolla el ENS previsto en la Ley 40/2015, de Régimen Jurídico del Sector Público.

Además del real decreto, el Centro Criptológico Nacional (CCN) publica la serie de guías CCN-STIC 800, donde se detalla de forma práctica cómo interpretar y aplicar las medidas del ENS: glosario, valoración de sistemas, catálogo de medidas, auditoría, etc. El punto central de referencia es el portal del ENS del CCN.

3. Categorías de seguridad: BÁSICA, MEDIA y ALTA

El ENS clasifica cada sistema de información en una categoría de seguridad: BÁSICA, MEDIA o ALTA (Anexo I del RD 311/2022). La categoría se determina valorando el impacto que tendría un incidente sobre cada dimensión de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—, a las que se asigna un nivel bajo, medio o alto; la categoría del sistema corresponde al nivel más alto alcanzado por cualquiera de sus dimensiones.

  • Categoría BÁSICA: impacto limitado, afectación localizada, servicios no críticos.
  • Categoría MEDIA: impacto significativo, servicios relevantes para la ciudadanía o para el funcionamiento de la organización.
  • Categoría ALTA: impacto muy grave, servicios críticos, información especialmente sensible o esencial para la continuidad del servicio público.

Determinar bien la categoría es clave porque condiciona la intensidad y número de medidas que deben implantarse (guía CCN-STIC 803), e incluso la forma de declarar la conformidad: en categoría BÁSICA cabe la autoevaluación; en MEDIA y ALTA se exige certificación por una entidad acreditada. ¿Quieres una orientación rápida para tu caso? Haz el diagnóstico gratuito.

4. Quién debe cumplir el ENS

De forma simplificada, el ENS aplica a:

  • Administraciones públicas, en todos los niveles (estatal, autonómico, local).
  • Organismos y entidades de derecho público vinculados o dependientes de la Administración.
  • Empresas privadas que prestan servicios a la Administración y cuyos sistemas están incluidos en el alcance de los servicios contratados.

Si eres proveedor TIC, desarrollas una plataforma cloud para un ayuntamiento, ofreces un SaaS para gestión interna de un organismo o alojas sistemas que soportan servicios públicos, es muy probable que el ENS forme parte de los requisitos de seguridad del contrato.

5. Qué implica “cumplir” con el ENS

Cumplir con el ENS no es solo “tener un informe” o una declaración de intenciones. En la práctica implica:

  • Realizar un análisis de contexto y valoración de los sistemas.
  • Implantar un conjunto de medidas organizativas, operacionales y técnicas.
  • Generar y mantener evidencias que demuestren el cumplimiento.
  • Someterse a procesos de auditoría periódica en determinados escenarios.

Dependiendo de la criticidad del sistema y de los requisitos contractuales, la organización puede optar por distintos niveles de formalización y certificación.

6. Por qué trabajar el ENS con acompañamiento especializado

El ENS se cruza con muchas otras piezas: RGPD, ISO 27001, contratos de servicios, gestión de proveedores, cloud pública, etc. Trabajar el ENS con acompañamiento ayuda a:

  • Evitar interpretaciones erróneas que llevan a “sobreimplantar” o a quedarse cortos.
  • Aprovechar controles de seguridad que ya tienes en marcha.
  • Plantear una hoja de ruta realista alineada con tus proyectos y recursos.

7. Cómo puede ayudarte ENSFácil

En ENSFácil te ayudamos a traducir el ENS a decisiones concretas. Empezamos por un diagnóstico y valoración de tu situación, definimos la categoría aplicable y diseñamos una hoja de ruta que puedas ejecutar sin bloquear tu día a día.

Si estás valorando un proyecto con la Administración o ya tienes requisitos ENS encima de la mesa, puede ser un buen momento para tener una primera conversación.