L'Esquema Nacional de Seguretat (ENS) és la norma, regulada pel Reial decret 311/2022, que estableix els requisits de seguretat dels sistemes d'informació del sector públic espanyol i de les empreses privades que li presten serveis. Si la vostra empresa factura a un ministeri, a la Generalitat, a un ajuntament, a una diputació o a una universitat, i els vostres sistemes sostenen aquest servei, l'adequació a l'ENS us afecta i, en categoria mitjana o alta, necessitareu la certificació ENS. El registre oficial del Centre Criptològic Nacional recull 3.644 certificats de conformitat (consulta del 2 de novembre de 2026), i el 80 % són de categoria mitjana o alta (CCN, Gobernanza de la Ciberseguridad Nacional). Aquesta guia de l'ENS per a proveïdors respon quatre preguntes: quan us obliga, com s'obté el certificat, quant costa l'auditoria segons preus públics adjudicats i com reutilitzar el que ja tingueu d'ISO 27001 o NIS2.
Dades consultades el 2 de novembre de 2026. Les que canvien amb el temps (registre del CCN, transposició de la NIS2, preus) porten, a més, la data de consulta al costat de la font.
En resum
- A qui s'aplica: a tot el sector públic i a les empreses privades que, per contracte, prestin serveis o proveeixin solucions a l'Administració, inclosa la seva cadena de subministrament (art. 2.3 del RD 311/2022).
- Com s'acredita: la categoria bàsica, amb una autoavaluació i una declaració de conformitat; les categories mitjana i alta, amb una auditoria de certificació (art. 38).
- Qui certifica: només entitats acreditades per l'Entitat Nacional d'Acreditació (ENAC) segons la norma UNE-EN ISO/IEC 17065 (ITS de conformitat, BOE-A-2016-10109).
- Quant costa només l'auditoria: en l'acord marc de l'Agència Digital d'Andalusia, l'entitat adjudicatària va oferir 2.835 € (bàsica), 4.253 € (mitjana) i 6.615 € (alta) per auditoria d'un sistema, sense IVA. Són preus de comprador públic amb volum, no tarifes de mercat, i no inclouen la consultoria d'adequació.
- Cada quant: auditoria ordinària com a mínim cada dos anys, i una altra d'extraordinària si hi ha canvis substancials (art. 31).
- Sense multes pròpies: l'ENS no té règim sancionador; per a un proveïdor, la conseqüència d'incomplir-lo és contractual.
- L'ISO 27001 no substitueix l'ENS: ajuda molt, però l'ENS exigeix el seu propi certificat, emès d'acord amb l'ENS.
Què és l'Esquema Nacional de Seguretat (RD 311/2022)?
L'ENS és el reglament espanyol (RD 311/2022) que obliga el sector públic i els seus proveïdors tecnològics a protegir els seus sistemes amb 73 mesures de seguretat, graduades en categoria bàsica, mitjana o alta.
És el marc obligatori de ciberseguretat de l'Administració pública espanyola: defineix principis bàsics, requisits mínims i un catàleg de mesures per als sistemes que tracten informació o presten serveis públics. La versió vigent és el Reial decret 311/2022, de 3 de maig, publicat al BOE núm. 106 de 4 de maig de 2022 i en vigor des de l'endemà. Va substituir el Reial decret 3/2010, que va derogar expressament (BOE). Com que l'article 2 l'aplica a tot el sector públic, afecta igualment l'Administració General de l'Estat, la Generalitat i els ens locals catalans.
| Annex |
Contingut |
Per a què el fareu servir |
| Annex I |
Categorització dels sistemes |
Decidir si el vostre sistema és de categoria bàsica, mitjana o alta |
| Annex II |
Les 73 mesures de seguretat |
Saber quins controls aplicar i amb quins reforços |
| Annex III |
Auditoria de la seguretat |
Preparar l'autoavaluació o l'auditoria de certificació |
| Annex IV |
Glossari |
Alinear el vocabulari amb l'auditor |
Font: RD 311/2022. Dades consultades: 2 de novembre de 2026.
L'ENS no és un segell voluntari, i el reial decret es llegeix juntament amb quatre instruccions tècniques de seguretat (ITS) d'obligat compliment: conformitat, auditoria, informe de l'estat de la seguretat i notificació d'incidents (CCN, normativa). El CCN les desenvolupa a les guies CCN-STIC de la sèrie 800.
Quins són els principis bàsics i els requisits mínims de l'ENS?
L'ENS es basa en 7 principis bàsics (art. 5) i 15 requisits mínims (art. 12.6), i les 73 mesures de l'Annex II són la manera concreta de complir-los. Els principis bàsics són:
- Seguretat com a procés integral (art. 6).
- Gestió de la seguretat basada en els riscos (art. 7).
- Prevenció, detecció, resposta i conservació (art. 8).
- Existència de línies de defensa (art. 9).
- Vigilància contínua (art. 10).
- Reavaluació periòdica (art. 10).
- Diferenciació de responsabilitats (art. 11).
Els 15 requisits mínims de l'art. 12.6, que els articles 13 a 27 desenvolupen un per un, són:
- Organització i implantació del procés de seguretat.
- Anàlisi i gestió dels riscos.
- Gestió de personal.
- Professionalitat.
- Autorització i control dels accessos.
- Protecció de les instal·lacions.
- Adquisició de productes de seguretat i contractació de serveis de seguretat.
- Mínim privilegi.
- Integritat i actualització del sistema.
- Protecció de la informació emmagatzemada i en trànsit.
- Prevenció davant d'altres sistemes d'informació interconnectats.
- Registre de l'activitat i detecció de codi maliciós.
- Incidents de seguretat.
- Continuïtat de l'activitat.
- Millora contínua del procés de seguretat.
Per a un proveïdor, el principi que més feina dona és el setè: separar responsabilitats en un equip petit.
ENS per a empreses privades: l'heu de complir si treballeu amb l'Administració?
Sí, quan l'empresa presta serveis o proveeix solucions a una entitat del sector públic en virtut d'un contracte i els seus sistemes sostenen aquest servei. L'article 2.3 del RD 311/2022 aplica l'ENS a les entitats del sector privat que, «en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público», inclosa l'obligació de tenir una política de seguretat aprovada pel seu màxim òrgan executiu. El RD 311/2022 ho estableix de manera expressa i ho estén a la cadena de subministrament del contractista.
El mateix article afegeix dues regles que afecten directament la venda al sector públic:
- Els plecs l'han d'exigir. Els plecs han de preveure els requisits de conformitat amb l'ENS, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad».
- L'obligació baixa per la cadena de subministrament. La cautela «se extenderá también a la cadena de suministro de dichos contratistas», segons l'anàlisi de riscos. Si sou subcontractistes d'un integrador que treballa per a l'Administració, també us ho poden demanar.
Hi ha una tercera regla que pocs proveïdors coneixen: en els serveis externalitzats, l'empresa prestadora ha de designar un POC (punt o persona de contacte) de seguretat, que serà el seu propi responsable de seguretat o algú amb comunicació directa amb ell (art. 13.5). A la pràctica afecta proveïdors SaaS per a ajuntaments i consells comarcals, centres de dades i núvols que allotgen sistemes públics, suport amb accés remot i serveis gestionats de seguretat. Si només veneu material d'oficina, l'ENS no s'aplica a aquesta relació.
M'afecta l'ENS? Arbre de decisió en quatre preguntes
L'ENS us afecta si teniu un contracte o subcontracte públic i els vostres sistemes sostenen aquest servei; després, la categoria exigida decideix si n'hi ha prou amb una declaració o necessiteu certificació, i si us podeu certificar per un perfil específic.
| Pas |
Pregunta |
Si la resposta és «no» |
Si la resposta és «sí» |
| 1 |
Teniu un contracte (o subcontracte) amb una entitat del sector públic? |
L'ENS no us obliga; us pot servir com a referència voluntària |
Passeu al pas 2 |
| 2 |
Els vostres sistemes d'informació tracten les seves dades o sostenen el servei contractat? |
No s'aplica a aquesta relació (per exemple, subministrament físic) |
L'ENS us afecta: passeu al pas 3 |
| 3 |
El plec o la valoració de l'organisme fixa la categoria mitjana o alta? |
Categoria bàsica: autoavaluació i declaració de conformitat |
Passeu al pas 4 |
| 4 |
Hi ha un perfil de compliment específic per al vostre servei o sector? |
Certificació ENS en la categoria exigida |
Certificació d'acord amb aquest perfil (PCE) |
Font: arts. 2.3, 30, 38 i 41 del RD 311/2022. Dades consultades: 2 de novembre de 2026.
La categoria no la trieu vosaltres, i l'art. 41 separa dues decisions. La valoració de les dimensions correspon al responsable de la informació i del servei (art. 41.1), que en un contracte públic sol ser l'organisme contractant. La determinació de la categoria, a partir d'aquesta valoració, correspon al responsable de la seguretat (art. 41.2). Per a un proveïdor, la conseqüència és operativa: demaneu per escrit la valoració de l'organisme i documenteu com se'n deriva la categoria del vostre sistema.
Quines categories té l'ENS: bàsica, mitjana i alta?
La categoria d'un sistema es determina per l'impacte que tindria un incident en cinc dimensions de seguretat: disponibilitat, autenticitat, integritat, confidencialitat i traçabilitat (art. 40 i annex I). Cada dimensió es valora amb un nivell baix, mitjà o alt segons el perjudici: limitat, greu o molt greu. La regla és senzilla: la categoria del sistema és la del nivell més alt que assoleixi qualsevol de les seves dimensions.
| Categoria |
Quan s'assigna |
Com s'acredita la conformitat |
| Bàsica |
Alguna dimensió en nivell baix i cap de superior |
Autoavaluació i declaració de conformitat (es pot certificar de manera voluntària) |
| Mitjana |
Alguna dimensió en nivell mitjà i cap en nivell alt |
Auditoria de certificació per entitat acreditada |
| Alta |
Alguna dimensió en nivell alt |
Auditoria de certificació per entitat acreditada |
Font: articles 38 i 40 i annex I del RD 311/2022. Dades consultades: 2 de novembre de 2026.
L'error més freqüent és categoritzar el sistema a la baixa per estalviar-se l'auditoria. No funciona: el plec acostuma a fixar la categoria exigida, i si la valoració de l'organisme dona mitjana, una declaració de bàsica no compleix el requisit.
La certificació ENS s'obté superant una auditoria de conformitat feta per una entitat de certificació acreditada per ENAC, després de categoritzar el sistema, aplicar les mesures de l'Annex II i documentar-ne el compliment. El portal oficial de l'ENS descriu el procés d'adequació en fases (CCN, procés d'adequació):
- Pla d'adequació. Abast, categorització, anàlisi de riscos i declaració d'aplicabilitat. Per a l'anàlisi de riscos, el CCN ofereix l'eina PILAR, amb una versió Basic pensada per a pimes i administracions petites.
- Política de seguretat. Aproveu-la en el màxim òrgan executiu (arts. 2.3 i 12) i designeu els quatre responsables: informació, servei, seguretat i sistema. L'art. 11 exigeix diferenciar-los i l'art. 13 en fixa les funcions.
- Implantació. Desplegueu les mesures tècniques i organitzatives, el marc normatiu intern i els procediments. La guia CCN-STIC 804, de la sèrie 800, desenvolupa com implantar cada mesura de l'Annex II.
- Auditoria interna o autoavaluació. En bàsica n'hi ha prou amb una autoavaluació; en mitjana i alta convé una auditoria interna prèvia. Feu servir com a llista de comprovació la guia CCN-STIC 808, de verificació del compliment de l'ENS (de la mateixa sèrie), que és la referència que segueix l'auditor.
- Auditoria de certificació. La fa una entitat acreditada per ENAC d'acord amb la UNE-EN ISO/IEC 17065:2012, com exigeix la ITS de conformitat amb l'ENS. Es va dictar el 2016, sota el RD 3/2010, i el portal oficial de l'ENS la continua llistant entre les ITS aplicables, al costat de la llista d'entitats de certificació.
- Publicació del distintiu. L'art. 38.2 obliga a publicar declaracions i certificacions al web o a la seu electrònica (CCN, distintius).
- Manteniment. El certificat obliga a renovar l'auditoria i a notificar incidents; ho detallem més avall, a les obligacions posteriors a la certificació.
Quant costa la certificació ENS?
No hi ha tarifa oficial; la referència pública més precisa és l'acord marc d'auditories de ciberseguretat de l'Agència Digital d'Andalusia (AM CONTR 2023 934533), on l'adjudicatària Bureau Veritas Iberia va oferir 4.253 € sense IVA per l'auditoria ENS d'un sistema de categoria mitjana, 2.835 € en bàsica i 6.615 € en alta. El lot d'auditories de certificació es va formalitzar el 3 de desembre de 2024 amb quatre entitats certificadores. Les dades consten a la resolució del contracte basat CONTR 2025 400081, signada el 24 d'octubre de 2025 (Junta d'Andalusia, resolució d'adjudicació).
| Concepte (sense IVA) |
Bàsica |
Mitjana |
Alta |
| Obligatòria? |
No (n'hi ha prou amb la declaració) |
Sí |
Sí |
| Preu estimat per l'Administració, per auditoria |
3.960 € |
4.950 € |
9.900 € |
| Preu ofert per l'adjudicatària, per auditoria |
2.835 € |
4.253 € |
6.615 € |
| Rebaixa sobre l'estimat |
28 % |
14 % |
33 % |
| Jornada d'auditoria (7 h), oferta |
925 € |
925 € |
925 € |
| Jornada d'auditoria (7 h), estimada |
990 € |
990 € |
990 € |
| Auditories previstes l'any a l'acord |
1 |
13 |
6 |
Font: Agència Digital d'Andalusia, resolució CONTR 2025 400081 (octubre de 2025), apartat de preu del Lot 1. Rebaixa: càlcul propi. Dades consultades: 2 de novembre de 2026.
L'última fila també és una dada: l'Agència Digital d'Andalusia va preveure cada any 1 auditoria de bàsica, 13 de mitjana i 6 d'alta, per un total ofert de 97.808 € sense IVA. La demanda pública es concentra en la categoria mitjana, igual que el registre del CCN que analitzem més avall.
Hi ha dues maneres de llegir el mateix contracte. Per preu unitari, una auditoria de mitjana costa 4.253 €. Per jornada, el contracte basat (23.125 € sense IVA, 25 jornades a 925 €) reparteix l'esforç així: 5 jornades per a la primera certificació ENS del sistema SLSEPA, de categoria mitjana i sense certificació prèvia (uns 4.625 €); 10 jornades per a la recertificació ENS de l'abast «AGROLIMS y GICONTROL», també de categoria mitjana; i 5 jornades per a cadascuna de dues recertificacions ISO 27001. La suma (5 + 10 + 5 + 5 = 25) quadra amb l'import del contracte.
Un avís de lectura: la taula del PDF té cel·les combinades i no deixa del tot clar quina fila correspon a cada sistema. L'assignació que donem és l'única coherent amb la columna de certificació prèvia (la recertificació és la que hi figura amb «Sí (ENS)»). I la causa de la diferència és interpretació nostra, perquè la resolució no l'explica: la recertificació cobreix dues aplicacions i la primera certificació, una. Si és així, el cost el mou més l'abast que la categoria.
Com es pressuposta el cost total de l'ENS?
El cost total de l'ENS per a un proveïdor és la suma de quatre partides, i l'auditoria sol ser la més petita. Aquesta és l'estructura que proposem per pressupostar-lo, amb la font de cada xifra:
| Partida |
Referència disponible |
Font i fiabilitat |
| Auditoria de certificació |
De 2.835 € a 6.615 € per sistema, o jornades × 925 € |
Preu públic adjudicat (Andalusia, 2025): fiable, però de comprador amb volum |
| Renovació |
Una altra auditoria ordinària com a mínim cada dos anys (art. 31) |
RD 311/2022: obligatòria |
| Consultoria d'adequació (si s'externalitza) |
De 4.000 € a 25.000 € en categoria mitjana |
Una sola font privada (Á. Ortega, actualitzada l'octubre de 2026): ordre de magnitud |
| Hores internes i eines |
Sense dada pública fiable |
Depèn de l'abast i de la maduresa prèvia; feu-ne una estimació amb el vostre equip |
Fonts: resolució CONTR 2025 400081 de l'Agència Digital d'Andalusia, RD 311/2022 i Á. Ortega. Dades consultades: 2 de novembre de 2026.
Amb la referència pública, un sistema de categoria mitjana suma 8.506 € en auditories en el primer cicle (4.253 € en certificar-se i 4.253 € més en la renovació als dos anys), sense comptar la consultoria ni el temps propi. Per a la consultoria, la forquilla de 3.000 a 15.000 € d'auditoria i de 4.000 a 25.000 € de consultoria que publica un consultor del sector (Á. Ortega, actualitzada l'octubre de 2026) és l'única referència privada que hem pogut verificar. És massa àmplia per pressupostar: feu-la servir com a ordre de magnitud i demaneu oferta a dues o tres entitats certificadores amb l'abast ja tancat.
Límit d'aquesta anàlisi: tot el bloc de preus es basa en un contracte públic i en una font privada. No l'hem pogut contrastar amb un altre acord marc de l'Estat, de la Generalitat o d'una altra comunitat autònoma, així que no sabem si 4.253 € és la norma o l'extrem baix del mercat.
Quant es triga a adequar-se a l'ENS?
No hi ha un termini oficial: l'única referència normativa és el termini de 24 mesos que el RD 311/2022 va donar als sistemes preexistents, que va vèncer el 5 de maig de 2024. L'auditoria és el tram més curt (5 jornades per a la primera certificació d'un sistema de categoria mitjana en el contracte de l'Agència Digital d'Andalusia); el llarg és l'adequació prèvia.
| Categoria |
Termini d'adequació orientatiu |
| Bàsica |
1 – 3 mesos |
| Mitjana |
4 – 8 mesos (2 – 4 amb una ISO 27001 madura) |
| Alta |
6 – 12 mesos |
Aquesta taula és una estimació de planificació de Technova, no una dada mesurada ni oficial: suma les fases del procés d'adequació del CCN amb un equip intern a temps parcial i un únic servei a l'abast. Cada sistema addicional a l'abast allarga el termini.
Exemple de càlcul per a un proveïdor SaaS
Exemple il·lustratiu, no un client real: un proveïdor de gestió d'expedients per a ajuntaments i consells comarcals rep un plec que exigeix ENS de categoria mitjana. Amb només la plataforma del servei a l'abast, la referència pública d'auditoria és de 4.253 € a 4.625 €; si hi afegeix el CRM i l'entorn de desenvolupament, audita tres sistemes. L'estalvi és a dibuixar bé l'abast, no a negociar la jornada.
Què diu el registre del CCN sobre la certificació ENS?
El registre públic del Centre Criptològic Nacional (CCN) mostra que el mercat es concentra en la categoria mitjana: de 3.644 certificats publicats, 1.889 són de categoria mitjana, 1.034 de categoria alta, 647 corresponen a perfils de compliment específics i només 74 a categoria bàsica (consulta del 2 de novembre de 2026, CCN). La xifra de bàsica és baixa perquè aquesta categoria s'acredita amb una declaració, que no passa per una entitat certificadora. En aquest mateix registre es comprova si un proveïdor té l'ENS.
Els perfils de compliment específics (PCE, art. 30) adapten l'Annex II a un col·lectiu amb riscos semblants i els valida el CCN. Segons les preguntes freqüents del portal de l'ENS, hi ha PCE per a entitats locals, universitats i serveis al núvol (CCN, FAQ de l'ENS). Tres exemples:
- Universitats: CCN-STIC 881A, amb necessitats de categoria mitjana.
- Entitats locals: el PCE per a entitats locals de mida petita i mitjana, que segons les mateixes FAQ poden fer servir els municipis de menys de 20.000 habitants. No s'ha de confondre amb la CCN-STIC 883, que és una guia d'implantació de l'ENS per a entitats locals, no un perfil.
- Requisits essencials: CCN-STIC 890A.
Si veneu a ajuntaments petits o a universitats catalanes, pregunteu si el plec admet la certificació per PCE.
Quins són els requisits de l'ENS? Les 73 mesures de l'Annex II
L'Annex II del RD 311/2022 conté 73 mesures de seguretat agrupades en tres marcs: 4 del marc organitzatiu, 33 del marc operacional i 36 de mesures de protecció. El recompte surt dels codis de mesura del mateix text del BOE (org, op i mp). No totes s'apliquen a tots els sistemes: cada mesura indica a quina categoria o dimensió afecta i quins reforços (R1, R2…) s'hi sumen quan es puja de nivell.
| Marc |
Mesures |
Grups |
Exemples |
| Organitzatiu (org) |
4 |
Política, normativa, procediments i procés d'autorització |
Política de seguretat aprovada per la direcció |
| Operacional (op) |
33 |
Planificació, control d'accés, explotació, serveis externs, serveis al núvol, continuïtat i monitoratge |
Gestió d'incidents, detecció d'intrusions, protecció de serveis al núvol |
| Protecció (mp) |
36 |
Instal·lacions, personal, equips, comunicacions, suports, aplicacions, informació i serveis |
Xifratge, còpies de seguretat, protecció davant la denegació de servei |
Font: Annex II del RD 311/2022. Dades consultades: 2 de novembre de 2026.
Per a un proveïdor, el bloc op.mon és el que més costa sostenir: exigeix detecció d'intrusions, mètriques i vigilància, i en categories altes sol requerir un servei de monitoratge continu com un SOC gestionat. Els altres dos blocs que més afecten qui ven tecnologia són els de productes certificats (op.pl.5) i núvol (op.nub.1).
Llista de comprovació: quines evidències demanarà l'auditor ENS?
L'auditor no revisa intencions, revisa evidències: per a cada mesura aplicable demanarà un document aprovat o un registre que demostri que s'executa. Aquesta llista recull dotze mesures que acostumen a exigir molta evidència a un proveïdor, amb el codi i el nom literal de l'Annex II, la categoria o el nivell a partir del qual s'apliquen i el que normalment es pot reutilitzar d'un sistema ISO 27001.
| Codi |
Mesura (Annex II) |
S'aplica des de |
Evidència que convé tenir a l'expedient |
Es reutilitza de l'ISO 27001? |
| org.1 |
Política de seguretat |
Bàsica |
Política aprovada pel màxim òrgan executiu, amb els rols nomenats |
En part: cal adaptar-la a l'ENS i als seus quatre responsables |
| op.pl.1 |
Anàlisi de riscos |
Bàsica (reforços en mitjana i alta) |
Anàlisi amb la categorització de l'Annex I i la valoració de l'organisme |
En part: hi falta la categorització ENS |
| op.pl.5 |
Components certificats |
Mitjana |
Inventari de productes de seguretat amb la referència CPSTIC o la certificació |
No: és propi de l'ENS |
| op.acc.6 |
Mecanisme d'autenticació (usuaris de l'organització) |
Bàsica (reforços per nivell) |
Configuració d'autenticació i prova que s'aplica |
En bona part |
| op.exp.1 |
Inventari d'actius |
Bàsica |
Inventari actualitzat de l'abast certificat |
Sí |
| op.exp.4 |
Manteniment i actualitzacions de seguretat |
Bàsica (reforços en mitjana i alta) |
Registre de pedaços aplicats i terminis |
Sí |
| op.exp.7 |
Gestió d'incidents |
Bàsica (reforços en mitjana i alta) |
Procediment i registre d'incidents, amb la via de notificació a l'INCIBE-CERT |
En part: hi falta la notificació ENS |
| op.exp.8 |
Registre de l'activitat |
Traçabilitat baixa (reforços en pujar) |
Registres conservats i evidència que algú els revisa |
En bona part |
| op.ext.3 |
Protecció de la cadena de subministrament |
Alta |
Requisits de seguretat traslladats als vostres proveïdors i subcontractistes |
En part |
| op.nub.1 |
Protecció de serveis al núvol |
Bàsica (reforços en mitjana i alta) |
Certificat del proveïdor de núvol i compliment de la guia CCN-STIC aplicable |
No: és propi de l'ENS |
| op.cont.2 |
Pla de continuïtat |
Disponibilitat alta |
Pla aprovat i evidència de proves periòdiques (op.cont.3) |
Sí |
| mp.info.6 |
Còpies de seguretat |
Disponibilitat baixa (reforços en pujar) |
Política de còpies i prova de restauració documentada |
Sí |
Font: codis, noms i aplicabilitat de l'Annex II del RD 311/2022. La selecció de mesures i la columna de reutilització són una valoració pròpia i orientativa, no una llista oficial; la referència de l'auditor és la guia CCN-STIC 808. Dades consultades: 2 de novembre de 2026.
Feu-la servir així: marqueu a cada fila si l'evidència existeix, qui la signa i on es guarda. Les files que queden en «No» o «En part» són la vostra anàlisi de mancances inicial.
El meu producte ha de ser al catàleg CPSTIC?
Si el vostre producte forma part de l'arquitectura de seguretat d'un sistema de categoria mitjana o alta, el client públic l'escollirà preferentment del catàleg CPSTIC. Ho diu la mesura op.pl.5, components certificats: s'utilitzarà el Catàleg de Productes i Serveis de Seguretat TIC (CPSTIC) del CCN i, si no n'hi ha cap per a aquella funció, productes certificats segons l'article 19. I si el vostre sistema presta un servei de seguretat a un tercer sota l'ENS, el producte que el sustenta ha d'estar qualificat al CPSTIC o aportar una certificació equivalent (op.pl.5.2). El catàleg es publica a la guia CCN-STIC 105.
Per al núvol, l'op.nub.1 s'aplica des de la categoria bàsica: el proveïdor SaaS, PaaS o IaaS ha de complir les mesures de les guies CCN-STIC, com la CCN-STIC 823 de serveis al núvol. En mitjana, el núvol de tercers que feu servir ha d'estar certificat amb una metodologia reconeguda per l'Organisme de Certificació (op.nub.1.r1.1). Font: Annex II del RD 311/2022.
Serveix l'ISO 27001 per complir l'ENS?
No la substitueix, però escurça molt el camí. L'article 38 exigeix una certificació de conformitat amb l'ENS, emesa per una entitat acreditada per a l'esquema ENS, de manera que un certificat ISO/IEC 27001 no és vàlid per si sol davant d'un plec.
| Aspecte |
ENS (RD 311/2022) |
ISO/IEC 27001:2022 |
Directiva NIS2 (UE) 2022/2555 |
| Naturalesa |
Obligació legal espanyola |
Norma voluntària internacional |
Directiva europea que cal transposar |
| A qui s'aplica |
Sector públic i proveïdors privats contractats |
Qualsevol organització que l'adopti |
Entitats essencials i importants de 18 sectors |
| Controls |
73 mesures prescrites segons la categoria |
93 controls de l'Annex A triats per anàlisi de riscos |
Mesures mínimes de l'art. 21.2 |
| Acreditació |
Declaració (bàsica) o certificació ENAC (mitjana i alta) |
Certificació voluntària per entitat acreditada |
Supervisió de l'autoritat competent |
| Si l'incompliu |
Sense multes pròpies de l'ENS: exclusió de la licitació o possible resolució del contracte |
Pèrdua del certificat |
Multes amb un màxim d'almenys 10 M€ o el 2 % de la facturació mundial, la quantitat que sigui més alta (essencials) |
Fonts: RD 311/2022, FAQ de l'ENS, LCSP, art. 211 i Directiva (UE) 2022/2555, arts. 21 i 34. Dades consultades: 2 de novembre de 2026.
El CCN publica la guia CCN-STIC 825 i un annex que relaciona l'ISO 27001:2022 amb el RD 311/2022. Amb la vostra certificació ISO 27001 reutilitzeu l'anàlisi de riscos, la política, la gestió d'incidents i bona part de l'evidència. El que l'ISO no us dona: la categorització de l'Annex I, els reforços prescrits per categoria, la designació del POC i l'ús de productes del CPSTIC.
Quina relació hi ha entre l'ENS i la NIS2?
Es reforcen: gairebé totes les mesures mínimes de la NIS2 tenen equivalent a l'Annex II de l'ENS, però són obligacions diferents amb supervisors diferents. L'article 21.2 de la Directiva exigeix anàlisi de riscos, gestió d'incidents, continuïtat, seguretat de la cadena de subministrament, criptografia i autenticació multifactor, i tot això apareix a l'ENS. La NIS2 inclou, a més, entitats de l'Administració pública.
A Espanya la transposició s'ha endarrerit. El Consell de Ministres va aprovar l'avantprojecte de Llei de coordinació i governança de la ciberseguretat el 14 de gener de 2025 (La Moncloa). El 8 de juliol de 2026 la Comissió Europea va anunciar que porta Espanya, juntament amb Irlanda, França i els Països Baixos, davant el Tribunal de Justícia de la UE per no haver notificat la transposició completa, i que demana sancions econòmiques: una quantitat a tant alçat i multes diàries (Comissió Europea, 8 de juliol de 2026). Abans de planificar amb la llei espanyola, comproveu al BOE si ja s'ha publicat.
Per a un proveïdor, la conseqüència pràctica és preparar-les alhora: l'evidència de l'ENS servirà per a la NIS2 quan arribi la llei. Ho expliquem a la nostra guia de la Directiva NIS2 i al servei de compliment NIS2.
Quines obligacions té un proveïdor després de certificar-se?
El certificat no tanca la feina: l'ENS imposa obligacions d'operació contínua. Les tres que més afecten un proveïdor privat són aquestes:
- Notificar incidents. L'art. 33.7 diu que les organitzacions privades que prestin serveis a entitats públiques notificaran a l'INCIBE-CERT els incidents que les afectin, i aquest ho posarà immediatament en coneixement del CCN-CERT. La ITS de notificació d'incidents remet a la guia CCN-STIC 817 per classificar l'impacte i obliga a notificar immediatament els de nivell alt, molt alt o crític; l'eina LUCIA del CCN automatitza aquestes notificacions.
- Aportar dades a l'informe de l'estat de la seguretat (INES). L'art. 32 encarrega a la Comissió Sectorial d'Administració Electrònica recollir les principals variables de seguretat dels sistemes inclosos en l'àmbit de l'ENS, amb la metodologia del CCN.
- Renovar i avisar dels canvis. L'auditoria ordinària torna com a mínim cada dos anys, i un canvi substancial n'obliga a fer una d'extraordinària (art. 31). Les certificacions tenen una validesa de dos anys naturals, segons les FAQ de l'ENS. Pressuposteu la renovació des del primer any: no és més barata que la primera certificació si l'abast ha crescut.
Font: RD 311/2022.
Per què fallen les adequacions a l'ENS?
Fallen per cinc causes que rarament són tècniques: abast excessiu, rols que se solapen, política sense aprovar per la direcció, núvol sense certificar i registres que ningú no revisa. Convé revisar-les abans de trucar a l'auditor, cadascuna amb la regla que la resol:
- Abast de tota l'empresa. Si s'intenta certificar-ho tot, i no només els sistemes del servei públic, es multipliquen les jornades: en l'acord marc de l'Agència Digital d'Andalusia, el preu es fixa per sistema auditat i l'esforç, per jornada.
- Rols que se solapen. L'art. 13.3 exigeix que el responsable de la seguretat sigui diferent del responsable del sistema, sense dependència jeràrquica. En situacions excepcionals de manca justificada de recursos admet que coincideixin, amb mesures compensatòries que garanteixin el principi de diferenciació de l'art. 11.
- Política sense aprovar a dalt. La política existeix, però no l'ha aprovada el màxim òrgan executiu, com demana l'art. 2.3.
- Proveïdors de núvol sense evidències. En mitjana, el núvol de tercers ha d'estar certificat (op.nub.1.r1.1); el certificat del proveïdor ha de ser a l'expedient.
- Registres que ningú no revisa. Tenir registre d'activitat no n'hi ha prou: l'auditor que segueix la CCN-STIC 808 demana evidències de revisió i de retenció.
«En un projecte ENS, el primer lliurable útil no és la política, és l'abast: quins sistemes sostenen el contracte públic i quins en queden fora. Els preus públics es calculen per sistema auditat i per jornada, de manera que cada sistema que hi entra sense necessitat es paga en cada auditoria. Amb aquest límit clar, l'evidència es documenta una vegada i serveix per a l'ENS, l'ISO 27001 i la NIS2.» — Alfons Marques, fundador de Technova Partners
Què va canviar el RD 311/2022 respecte del RD 3/2010?
Si arribeu a l'ENS el 2026, n'hi ha prou de saber que el catàleg va passar de 75 a 73 mesures i que es van afegir controls de núvol, cadena de subministrament i vigilància. Si es comparen els dos textos consolidats del BOE:
| Aspecte |
RD 3/2010 |
RD 311/2022 |
| Mesures de l'Annex II |
75: 4 org, 31 op, 40 mp |
73: 4 org, 33 op, 36 mp |
| Codis nous |
— |
op.ext.3 (cadena de subministrament), op.ext.4 (interconnexió), op.nub.1 (núvol), op.mon.3 (vigilància), mp.s.3 (navegació web), mp.eq.4 (altres dispositius connectats) |
| Sector privat |
Àmbit centrat en les administracions |
Art. 2.3: contractistes privats i la seva cadena de subministrament |
Fonts: RD 3/2010 i RD 311/2022, recompte de codis de l'Annex II de tots dos textos. Dades consultades: 2 de novembre de 2026.
Per on començar l'adequació a l'ENS si sou proveïdors?
Comenceu pel plec i per la categoria que exigeix el vostre client, no per les eines. Aquest és l'ordre que recomanem:
- Llegiu el plec i el contracte. Identifiqueu la categoria, si demanen declaració o certificació, si admeten un PCE i si el requisit arriba als vostres subcontractistes.
- Limiteu l'abast al servei prestat. Certifiqueu els sistemes que sostenen el servei públic, no tota l'empresa.
- Feu una anàlisi de mancances (gap analysis) contra l'Annex II. Si teniu ISO 27001, partiu de la vostra declaració d'aplicabilitat i de la correspondència de la CCN-STIC 825.
- Nomeneu els rols i aproveu la política. Sense un responsable de seguretat designat i una política aprovada per la direcció, no hi ha auditoria possible.
- Tanqueu primer les mesures transversals: control d'accés reforçat (una arquitectura Zero Trust en cobreix bona part), registre d'activitat, còpies, incidents i núvol. Si tracteu dades personals de l'organisme, coordineu l'adequació amb el vostre programa de protecció de dades i RGPD.
- Assageu amb una auditoria interna i documenteu les evidències per mesura.
Si sou una pime, comenceu per la nostra guia de ciberseguretat per a pimes; per triar soci, llegiu com triar empresa de ciberseguretat a Espanya.
Com s'ha elaborat aquesta guia i què no cobreix. Les dades normatives i de mercat surten de fonts primàries enllaçades (BOE, portal de l'ENS, registre del CCN i la resolució de l'Agència Digital d'Andalusia), consultades el 2 de novembre de 2026; l'única font secundària és la referència de preus privats, i així s'indica. Els terminis, la llista d'evidències i la lectura de les jornades del contracte andalús són valoracions pròpies. El preu d'auditoria prové d'un sol contracte públic i no l'hem pogut contrastar amb cap altre. No és assessorament jurídic, i Technova no és una entitat de certificació: us pot ajudar a preparar l'adequació, però el certificat només l'emet una entitat acreditada per ENAC.
Preguntes freqüents sobre l'Esquema Nacional de Seguretat
Què és l'ENS en ciberseguretat?
És l'Esquema Nacional de Seguretat, el marc legal espanyol (RD 311/2022) que fixa els principis, els requisits mínims i les 73 mesures de seguretat que han de complir els sistemes del sector públic i de les empreses privades que li presten serveis per contracte.
És obligatòria la certificació ENS per a una empresa privada?
És obligatòria quan l'empresa presta serveis o proveeix solucions a una entitat del sector públic per contracte i els seus sistemes són de categoria mitjana o alta. En categoria bàsica n'hi ha prou amb una declaració de conformitat després d'una autoavaluació, tot i que es pot certificar de manera voluntària (arts. 2.3 i 38 del RD 311/2022).
Necessita l'ENS una pime o un subcontractista?
Sí, si els seus sistemes sostenen el servei públic contractat. L'ENS no distingeix per mida d'empresa, i l'art. 2.3 estén l'exigència a la cadena de subministrament del contractista segons l'anàlisi de riscos. Ho decideix el plec o el contractista principal.
Consulteu el registre de certificats del CCN, que llista les entitats certificades per categoria i perfil. A més, l'art. 38.2 obliga a publicar la declaració o la certificació al web o a la seu electrònica, amb el distintiu de conformitat, així que també podeu demanar l'enllaç al proveïdor.
Qui pot certificar l'ENS?
Només una entitat de certificació acreditada per ENAC per a l'ENS d'acord amb la UNE-EN ISO/IEC 17065:2012, segons la ITS de conformitat. El CCN publica la llista d'entitats de certificació. Un consultor pot preparar l'adequació, però no pot emetre el certificat.
Quant costa la certificació ENS?
No hi ha tarifa oficial ni preu de la certificació completa. Només l'auditoria d'un sistema de categoria mitjana es va adjudicar a 4.253 € sense IVA en l'acord marc de l'Agència Digital d'Andalusia (2.835 € en bàsica i 6.615 € en alta). S'hi sumen la consultoria d'adequació, el temps intern i una nova auditoria cada dos anys.
Quant es triga a adequar-se a l'ENS?
Segons la nostra estimació de planificació, d'1 a 3 mesos en categoria bàsica, de 4 a 8 mesos en mitjana (de 2 a 4 si ja teniu una ISO 27001 madura) i de 6 a 12 mesos en alta. No és una dada oficial, i el factor que més allarga el termini és un abast mal definit.
Quant dura la certificació ENS?
Dos anys. El RD 311/2022 exigeix una auditoria ordinària com a mínim cada dos anys i una d'extraordinària si hi ha canvis substancials, i el CCN indica que les certificacions tenen una validesa de dos anys naturals.
Hi ha multes per no complir l'ENS?
No. Segons les FAQ oficials del CCN, l'ENS no preveu sancions per incompliment. Per a un proveïdor, la conseqüència és contractual: sense declaració o certificació vigent quedeu fora de la licitació, i si el plec qualifica l'ENS com a obligació essencial, l'art. 211 de la LCSP permet resoldre el contracte. També s'hi poden aplicar altres normes, com el RGPD.
Quina diferència hi ha entre l'ENS i l'ISO 27001?
L'ENS és una obligació legal espanyola amb 73 mesures prescrites segons la categoria del sistema; l'ISO 27001 és una norma internacional voluntària amb 93 controls triats per anàlisi de riscos. L'ISO no substitueix el certificat ENS, però bona part de la seva evidència es reutilitza amb la correspondència de la guia CCN-STIC 825.
La declaració l'emet la mateixa organització després d'una autoavaluació i només és vàlida per a sistemes de categoria bàsica. La certificació l'emet una entitat acreditada per ENAC després d'una auditoria independent i és obligatòria en mitjana i alta. Totes dues s'han de publicar al web o a la seu electrònica.
Si necessiteu l'ENS per a un contracte públic, el nostre equip de consultoria de ciberseguretat pot delimitar l'abast, fer l'anàlisi de mancances contra l'Annex II i preparar-vos per a l'auditoria de l'entitat certificadora. Si ja treballeu amb ISO 27001, el nostre servei de certificació ISO 27001 comparteix bona part de l'evidència. Parleu amb nosaltres i revisem el vostre plec.
