El ENS, y la llave para contratar con la Administración.
El Esquema Nacional de Seguridad (RD 311/2022) es el marco que la Administración exige a sus proveedores. Te explicamos qué es, qué categoría necesitas y cómo conseguir la Declaración o Certificación de Conformidad — sin tecnicismos.
Puntos clave del ENS
- El ENS está regulado por el Real Decreto 311/2022; su aplicación técnica la detallan las guías CCN-STIC del Centro Criptológico Nacional (CCN).
- Obliga al sector público y a sus proveedores: para contratar con la Administración debes acreditar la conformidad.
- Tres categorías —básica, media y alta— según el impacto sobre cinco dimensiones: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad.
- Declaración de Conformidad (categoría básica, autoevaluación) o Certificación de Conformidad (media y alta, por entidad acreditada por ENAC).
El marco de ciberseguridad del sector público español.
El Esquema Nacional de Seguridad (ENS) establece la política de seguridad para el uso de medios electrónicos por las Administraciones Públicas. Su objetivo: garantizar el acceso, la integridad, la disponibilidad, la autenticidad, la confidencialidad y la trazabilidad de los servicios e información públicos.
Está regulado por el Real Decreto 311/2022, que actualizó el marco anterior, y se desarrolla con las guías CCN-STIC del Centro Criptológico Nacional. No regula datos personales (eso es otra norma): es un estándar de ciberseguridad.
En una frase
«Si quieres trabajar con la Administración, el ENS no es opcional: es el requisito de seguridad que tienes que acreditar para entrar en sus licitaciones y mantenerte en ellas.»
¿Te aplica el ENS?
A más empresas de las que crees, por el efecto de la cadena de contratación pública.
Sector público
Toda la Administración General del Estado, autonómica y local, y sus organismos y entidades de derecho público.
Proveedores del sector público
Empresas privadas que prestan servicios a la Administración y tocan sus sistemas o información. Es la vía por la que el ENS alcanza al sector privado.
Básica, media o alta.
La categoría se determina por el impacto que tendría un incidente. A mayor categoría, más medidas y un proceso de conformidad más exigente.
| Categoría | Cuándo | Conformidad | Quién la otorga |
|---|---|---|---|
| Básica | Impacto limitado sobre los servicios o la información. | Declaración de Conformidad (autoevaluación). | La propia organización. |
| Media | Impacto grave (perjuicio serio a funciones o activos). | Certificación de Conformidad (auditoría). | Entidad de certificación acreditada (ENAC). |
| Alta | Impacto muy grave (perjuicio muy serio o catastrófico). | Certificación de Conformidad (auditoría). | Entidad de certificación acreditada (ENAC). |
Clasificación orientativa según el RD 311/2022. Te confirmamos tu categoría exacta en el diagnóstico.
Sobre qué se mide la seguridad.
El ENS evalúa cada servicio e información en cinco dimensiones. De ellas sale tu categoría.
Dos caminos para acreditar la conformidad.
Declaración de Conformidad
Autoevaluación de la propia organización. Más ágil; válida para sistemas de categoría básica. Se publica y permite acreditar el cumplimiento ante la Administración.
Certificación de Conformidad
La emite una entidad de certificación acreditada por ENAC tras una auditoría formal. Obligatoria para categorías media y alta. Es el nivel de garantía que piden los contratos más exigentes.
De cero a conforme con el ENS.
Te acompañamos en todo el proceso, traduciendo el RD 311/2022 a acciones concretas.
Proceso de adecuación al ENS
Categorización
Determinamos qué categoría te corresponde por impacto.
Análisis de brechas
Comparamos tu situación con las medidas del ENS.
Implantación
Medidas, políticas, SOC gestionado y evidencias.
Conformidad
Declaración o acompañamiento a la auditoría de certificación.
Preguntas sobre el ENS.
¿El ENS es obligatorio para mi empresa privada?
El ENS obliga al sector público, pero por extensión alcanza a sus proveedores: si prestas (o quieres prestar) servicios a la Administración que afecten a sus sistemas o información, te exigirán acreditar la conformidad con el ENS. Es la vía para entrar y mantenerte en la contratación pública.
¿Cuál es la diferencia entre Declaración y Certificación de Conformidad?
La Declaración de Conformidad es una autoevaluación, válida para sistemas de categoría BÁSICA. La Certificación de Conformidad la emite una entidad de certificación acreditada (vía ENAC) tras auditoría, y es obligatoria para categorías MEDIA y ALTA.
¿Qué categoría de ENS necesito?
Depende del impacto que tendría un incidente sobre tus servicios e información en las cinco dimensiones de seguridad. Se clasifica en básica, media o alta. Te ayudamos a determinar tu categoría en el diagnóstico.
¿El ENS y el RGPD son lo mismo?
No. El ENS regula la seguridad de los sistemas que tratan información del sector público; es un marco de ciberseguridad, no de protección de datos personales. Roburia trabaja el ENS como estándar de seguridad, no la LOPD/RGPD.
¿Cuánto se tarda en conseguir la conformidad?
Depende de tu punto de partida y de la categoría, pero la adecuación suele llevar varios meses (análisis, implantación de medidas, evidencias y, en su caso, auditoría). Conviene empezar con margen antes de una licitación.
Consigue la conformidad con el ENS.
Diagnóstico de categorización y brechas, sin compromiso. Te decimos qué categoría necesitas y qué te falta.
Solicitar diagnóstico ENS