El Esquema Nacional de Seguridad (ENS) es la norma, regulada por el Real Decreto 311/2022, que fija los requisitos de seguridad de los sistemas de información del sector público español y de las empresas privadas que le prestan servicios. Si tu empresa factura a un ministerio, una comunidad autónoma, un ayuntamiento o una universidad, y tus sistemas sostienen ese servicio, la adecuación al ENS te afecta y, en categoría media o alta, necesitarás la certificación ENS. El registro oficial del Centro Criptológico Nacional recoge 3.644 certificados de conformidad (consulta del 2 de noviembre de 2026), y el 80 % de ellos son de categoría media o alta (CCN, Gobernanza de la Ciberseguridad Nacional). Esta guía del ENS para proveedores responde a cuatro preguntas: cuándo te obliga, cómo se obtiene el certificado, cuánto cuesta la auditoría según precios públicos adjudicados y cómo reutilizar lo que ya tengas de ISO 27001 o NIS2.
Datos consultados el 2 de noviembre de 2026. Los que cambian con el tiempo (registro del CCN, transposición de la NIS2, precios) llevan además su fecha de consulta junto a la fuente.
En resumen
- A quién aplica: a todo el sector público y a las empresas privadas que, por contrato, presten servicios o provean soluciones a la Administración, incluida su cadena de suministro (art. 2.3 del RD 311/2022).
- Cómo se acredita: la categoría básica, con una autoevaluación y una declaración de conformidad; las categorías media y alta, con una auditoría de certificación (art. 38).
- Quién certifica: solo entidades acreditadas por la Entidad Nacional de Acreditación (ENAC) según la norma UNE-EN ISO/IEC 17065 (ITS de conformidad, BOE-A-2016-10109).
- Cuánto cuesta solo la auditoría: en el acuerdo marco de la Agencia Digital de Andalucía, la entidad adjudicataria ofertó 2.835 € (básica), 4.253 € (media) y 6.615 € (alta) por auditoría de un sistema, sin IVA. Son precios de comprador público con volumen, no tarifas de mercado, y no incluyen la consultoría de adecuación.
- Cada cuánto: auditoría ordinaria al menos cada dos años, y otra extraordinaria si hay cambios sustanciales (art. 31).
- Sin multas propias: el ENS no tiene régimen sancionador; la consecuencia de incumplirlo para un proveedor es contractual.
- ISO 27001 no sustituye al ENS: ayuda mucho, pero el ENS exige su propio certificado, emitido conforme al ENS.
¿Qué es el Esquema Nacional de Seguridad (RD 311/2022)?
El ENS es el reglamento español (RD 311/2022) que obliga al sector público y a sus proveedores tecnológicos a proteger sus sistemas con 73 medidas de seguridad, graduadas en categoría básica, media o alta.
Es el marco obligatorio de ciberseguridad de la Administración pública española: define principios básicos, requisitos mínimos y un catálogo de medidas para los sistemas que tratan información o prestan servicios públicos. Su versión vigente es el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE n.º 106 de 4 de mayo de 2022 y en vigor desde el día siguiente. Sustituyó al Real Decreto 3/2010, que derogó expresamente (BOE).
| Anexo |
Contenido |
Para qué lo usarás |
| Anexo I |
Categorización de los sistemas |
Decidir si tu sistema es de categoría básica, media o alta |
| Anexo II |
Las 73 medidas de seguridad |
Saber qué controles aplicar y con qué refuerzos |
| Anexo III |
Auditoría de la seguridad |
Preparar la autoevaluación o la auditoría de certificación |
| Anexo IV |
Glosario |
Alinear el vocabulario con el auditor |
Fuente: RD 311/2022. Datos consultados: 2 de noviembre de 2026.
El ENS no es un sello voluntario, y el real decreto se lee junto con cuatro instrucciones técnicas de seguridad (ITS) de obligado cumplimiento: conformidad, auditoría, informe del estado de la seguridad y notificación de incidentes (CCN, normativa). El CCN las desarrolla en las guías CCN-STIC de la serie 800.
¿Cuáles son los principios básicos y los requisitos mínimos del ENS?
El ENS se apoya en 7 principios básicos (art. 5) y 15 requisitos mínimos (art. 12.6), y las 73 medidas del Anexo II son la forma concreta de cumplirlos. Los principios básicos son:
- Seguridad como proceso integral (art. 6).
- Gestión de la seguridad basada en los riesgos (art. 7).
- Prevención, detección, respuesta y conservación (art. 8).
- Existencia de líneas de defensa (art. 9).
- Vigilancia continua (art. 10).
- Reevaluación periódica (art. 10).
- Diferenciación de responsabilidades (art. 11).
Los 15 requisitos mínimos del art. 12.6, que los artículos 13 a 27 desarrollan uno a uno, son:
- Organización e implantación del proceso de seguridad.
- Análisis y gestión de los riesgos.
- Gestión de personal.
- Profesionalidad.
- Autorización y control de los accesos.
- Protección de las instalaciones.
- Adquisición de productos de seguridad y contratación de servicios de seguridad.
- Mínimo privilegio.
- Integridad y actualización del sistema.
- Protección de la información almacenada y en tránsito.
- Prevención ante otros sistemas de información interconectados.
- Registro de la actividad y detección de código dañino.
- Incidentes de seguridad.
- Continuidad de la actividad.
- Mejora continua del proceso de seguridad.
Para un proveedor, el principio que más trabajo da es el séptimo: separar responsabilidades en un equipo pequeño.
ENS para empresas privadas: ¿tienes que cumplirlo si trabajas con la Administración?
Sí, cuando la empresa presta servicios o provee soluciones a una entidad del sector público en virtud de un contrato y sus sistemas sostienen ese servicio. El artículo 2.3 del RD 311/2022 aplica el ENS a las entidades del sector privado que, «en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público», incluida la obligación de tener una política de seguridad aprobada por su máximo órgano ejecutivo. El RD 311/2022 lo establece de forma expresa y lo extiende a la cadena de suministro del contratista.
El mismo artículo añade dos reglas que afectan directamente a la venta pública:
- Los pliegos deben exigirlo. Los pliegos contemplarán los requisitos de conformidad con el ENS, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad».
- La obligación baja por la cadena de suministro. La cautela «se extenderá también a la cadena de suministro de dichos contratistas», según el análisis de riesgos. Si eres subcontratista de un integrador que trabaja para la Administración, también te lo pueden pedir.
Hay una tercera regla que pocos proveedores conocen: en los servicios externalizados, la empresa prestataria debe designar un POC (punto o persona de contacto) de seguridad, que será su propio responsable de seguridad o alguien con comunicación directa con él (art. 13.5). En la práctica afecta a proveedores SaaS para ayuntamientos, centros de datos y nubes que alojan sistemas públicos, soporte con acceso remoto y servicios gestionados de seguridad. Si solo vendes material de oficina, el ENS no aplica a esa relación.
¿Me aplica el ENS? Árbol de decisión en cuatro preguntas
El ENS te aplica si tienes un contrato o subcontrato público y tus sistemas sostienen ese servicio; después, la categoría exigida decide si basta una declaración o necesitas certificación, y si puedes certificarte por un perfil específico.
| Paso |
Pregunta |
Si la respuesta es «no» |
Si la respuesta es «sí» |
| 1 |
¿Tienes un contrato (o subcontrato) con una entidad del sector público? |
El ENS no te obliga; puede servirte como referencia voluntaria |
Pasa al paso 2 |
| 2 |
¿Tus sistemas de información tratan sus datos o sostienen el servicio contratado? |
No aplica a esa relación (por ejemplo, suministro físico) |
Te aplica el ENS: pasa al paso 3 |
| 3 |
¿El pliego o la valoración del organismo fija la categoría media o alta? |
Categoría básica: autoevaluación y declaración de conformidad |
Pasa al paso 4 |
| 4 |
¿Existe un perfil de cumplimiento específico para tu servicio o sector? |
Certificación ENS en la categoría exigida |
Certificación conforme a ese perfil (PCE) |
Fuente: arts. 2.3, 30, 38 y 41 del RD 311/2022. Datos consultados: 2 de noviembre de 2026.
La categoría no la eliges tú, y el art. 41 separa dos decisiones. La valoración de las dimensiones corresponde al responsable de la información y del servicio (art. 41.1), que en un contrato público suele ser el organismo contratante. La determinación de la categoría, con base en esa valoración, corresponde al responsable de la seguridad (art. 41.2). Para un proveedor, la consecuencia es operativa: pide por escrito la valoración del organismo y documenta cómo se deriva de ella la categoría de tu sistema.
La categoría de un sistema se determina por el impacto que tendría un incidente en cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad (art. 40 y anexo I). Cada dimensión se valora con un nivel bajo, medio o alto según el perjuicio: limitado, grave o muy grave. La regla es sencilla: la categoría del sistema es la del nivel más alto que alcance cualquiera de sus dimensiones.
| Categoría |
Cuándo se asigna |
Cómo se acredita la conformidad |
| Básica |
Alguna dimensión en nivel bajo y ninguna superior |
Autoevaluación y declaración de conformidad (puede certificarse de forma voluntaria) |
| Media |
Alguna dimensión en nivel medio y ninguna en alto |
Auditoría de certificación por entidad acreditada |
| Alta |
Alguna dimensión en nivel alto |
Auditoría de certificación por entidad acreditada |
Fuente: artículos 38 y 40 y anexo I del RD 311/2022. Datos consultados: 2 de noviembre de 2026.
El error más frecuente es categorizar el sistema a la baja para ahorrarse la auditoría. No funciona: el pliego suele fijar la categoría exigida, y si la valoración del organismo da media, una declaración de básica no cumple el requisito.
¿Cómo se obtiene la certificación ENS? Adecuación y auditoría paso a paso
La certificación ENS se obtiene superando una auditoría de conformidad realizada por una entidad de certificación acreditada por ENAC, después de categorizar el sistema, aplicar las medidas del Anexo II y documentar su cumplimiento. El portal oficial del ENS describe el proceso de adecuación en fases (CCN, proceso de adecuación):
- Plan de adecuación. Alcance, categorización, análisis de riesgos y declaración de aplicabilidad. Para el análisis de riesgos, el CCN ofrece la herramienta PILAR, con una versión Basic pensada para pymes y Administraciones pequeñas.
- Política de seguridad. Apruébala en el máximo órgano ejecutivo (arts. 2.3 y 12) y designa los cuatro responsables: información, servicio, seguridad y sistema. El art. 11 exige diferenciarlos y el art. 13 fija sus funciones.
- Implantación. Despliega las medidas técnicas y organizativas, el marco normativo interno y los procedimientos. La guía CCN-STIC 804, de la serie 800, desarrolla cómo implantar cada medida del Anexo II.
- Auditoría interna o autoevaluación. En básica basta una autoevaluación; en media y alta conviene una auditoría interna previa. Usa como lista de comprobación la guía CCN-STIC 808, de verificación del cumplimiento del ENS (misma serie), que es la referencia que sigue el auditor.
- Auditoría de certificación. La realiza una entidad acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065:2012, como exige la ITS de conformidad con el ENS. Se dictó en 2016, bajo el RD 3/2010, y el portal oficial del ENS sigue listándola entre las ITS aplicables, junto a la lista de entidades de certificación.
- Publicación del distintivo. El art. 38.2 obliga a publicar declaraciones y certificaciones en la web o sede electrónica (CCN, distintivos).
- Mantenimiento. El certificado obliga a renovar la auditoría y a notificar incidentes; lo detallamos más abajo, en las obligaciones posteriores a la certificación.
¿Cuánto cuesta la certificación ENS?
No hay tarifa oficial; la referencia pública más precisa es el acuerdo marco de auditorías de ciberseguridad de la Agencia Digital de Andalucía (AM CONTR 2023 934533), donde la adjudicataria Bureau Veritas Iberia ofertó 4.253 € sin IVA por la auditoría ENS de un sistema de categoría media, 2.835 € en básica y 6.615 € en alta. El lote de auditorías de certificación se formalizó el 3 de diciembre de 2024 con cuatro entidades certificadoras. Los datos constan en la resolución del contrato basado CONTR 2025 400081, firmada el 24 de octubre de 2025 (Junta de Andalucía, resolución de adjudicación).
| Concepto (sin IVA) |
Básica |
Media |
Alta |
| ¿Obligatoria? |
No (basta la declaración) |
Sí |
Sí |
| Precio estimado por la Administración, por auditoría |
3.960 € |
4.950 € |
9.900 € |
| Precio ofertado por la adjudicataria, por auditoría |
2.835 € |
4.253 € |
6.615 € |
| Rebaja sobre el estimado |
28 % |
14 % |
33 % |
| Jornada de auditoría (7 h), ofertada |
925 € |
925 € |
925 € |
| Jornada de auditoría (7 h), estimada |
990 € |
990 € |
990 € |
| Auditorías previstas al año en el acuerdo |
1 |
13 |
6 |
Fuente: Agencia Digital de Andalucía, resolución CONTR 2025 400081 (octubre de 2025), apartado de precio del Lote 1. Rebaja: cálculo propio. Datos consultados: 2 de noviembre de 2026.
La última fila también es un dato: la Agencia Digital de Andalucía previó al año 1 auditoría de básica, 13 de media y 6 de alta, por un total ofertado de 97.808 € sin IVA. La demanda pública se concentra en la categoría media, igual que el registro del CCN que analizamos más abajo.
Hay dos formas de leer el mismo contrato. Por precio unitario, una auditoría de media cuesta 4.253 €. Por jornada, el contrato basado (23.125 € sin IVA, 25 jornadas a 925 €) reparte el esfuerzo así: 5 jornadas para la primera certificación ENS del sistema SLSEPA, de categoría media y sin certificación previa (unos 4.625 €); 10 jornadas para la recertificación ENS del alcance «AGROLIMS y GICONTROL», también de categoría media; y 5 jornadas para cada una de dos recertificaciones ISO 27001. La suma (5 + 10 + 5 + 5 = 25) cuadra con el importe del contrato.
Una advertencia de lectura: la tabla del PDF tiene celdas combinadas y no deja del todo claro qué fila corresponde a cada sistema. La asignación que damos es la única coherente con la columna de certificación previa (la recertificación es la que figura con «Sí (ENS)»). Y la causa de la diferencia es interpretación nuestra, porque la resolución no la explica: la recertificación cubre dos aplicaciones y la primera certificación, una. Si es así, el coste lo mueve más el alcance que la categoría.
¿Cómo presupuestar el coste total del ENS?
El coste total del ENS para un proveedor es la suma de cuatro partidas, y la auditoría suele ser la menor. Esta es la estructura que proponemos para presupuestarlo, con la fuente de cada cifra:
| Partida |
Referencia disponible |
Fuente y fiabilidad |
| Auditoría de certificación |
2.835 € a 6.615 € por sistema, o jornadas × 925 € |
Precio público adjudicado (Andalucía, 2025): fiable, pero de comprador con volumen |
| Renovación |
Otra auditoría ordinaria como mínimo cada dos años (art. 31) |
RD 311/2022: obligatoria |
| Consultoría de adecuación (si se externaliza) |
4.000 € a 25.000 € en categoría media |
Una sola fuente privada (Á. Ortega, actualizado en octubre de 2026): orden de magnitud |
| Horas internas y herramientas |
Sin dato público fiable |
Depende del alcance y de la madurez previa; haz tu propia estimación con tu equipo |
Fuentes: resolución CONTR 2025 400081 de la Agencia Digital de Andalucía, RD 311/2022 y Á. Ortega. Datos consultados: 2 de noviembre de 2026.
Con la referencia pública, un sistema de categoría media suma 8.506 € en auditorías en su primer ciclo (4.253 € al certificar y otros 4.253 € en la renovación a los dos años), sin contar la consultoría ni el tiempo propio. Para la consultoría, la horquilla de 3.000 a 15.000 € de auditoría y de 4.000 a 25.000 € de consultoría que publica un consultor del sector (Á. Ortega, actualizado en octubre de 2026) es la única referencia privada que hemos podido verificar. Es demasiado amplia para presupuestar: úsala como orden de magnitud y pide oferta a dos o tres entidades certificadoras con el alcance ya cerrado.
Límite de este análisis: todo el bloque de precios descansa en un contrato público y en una fuente privada. No hemos podido contrastarlo con otro acuerdo marco del Estado o de otra comunidad autónoma, así que no sabemos si 4.253 € es la norma o el extremo bajo del mercado.
¿Cuánto se tarda en adecuarse al ENS?
No hay un plazo oficial: la única referencia normativa es el plazo de 24 meses que el RD 311/2022 dio a los sistemas preexistentes, que venció el 5 de mayo de 2024. La auditoría es el tramo más corto (5 jornadas para la primera certificación de un sistema de categoría media en el contrato de la Agencia Digital de Andalucía); lo largo es la adecuación previa.
| Categoría |
Plazo de adecuación orientativo |
| Básica |
1 – 3 meses |
| Media |
4 – 8 meses (2 – 4 con una ISO 27001 madura) |
| Alta |
6 – 12 meses |
Esta tabla es una estimación de planificación de Technova, no un dato medido ni oficial: suma las fases del proceso de adecuación del CCN con un equipo interno a tiempo parcial y un único servicio en el alcance. Cada sistema adicional en el alcance alarga el plazo.
Ejemplo de cálculo para un proveedor SaaS
Ejemplo ilustrativo, no un cliente real: un proveedor de gestión de expedientes para ayuntamientos recibe un pliego que exige ENS de categoría media. Con solo la plataforma del servicio en el alcance, la referencia pública de auditoría es de 4.253 € a 4.625 €; si añade su CRM y su entorno de desarrollo, audita tres sistemas. El ahorro está en dibujar bien el alcance, no en negociar la jornada.
¿Qué dice el registro del CCN sobre la certificación ENS?
El registro público del Centro Criptológico Nacional (CCN) muestra que el mercado se concentra en la categoría media: de 3.644 certificados publicados, 1.889 son de categoría media, 1.034 de categoría alta, 647 corresponden a perfiles de cumplimiento específicos y solo 74 a categoría básica (consulta del 2 de noviembre de 2026, CCN). La cifra de básica es baja porque esa categoría se acredita con una declaración, que no pasa por una entidad certificadora. Ese mismo registro es donde se comprueba si un proveedor tiene el ENS.
Los perfiles de cumplimiento específicos (PCE, art. 30) adaptan el Anexo II a un colectivo con riesgos parecidos y los valida el CCN. Según las preguntas frecuentes del portal del ENS, hay PCE para entidades locales, universidades y servicios en la nube (CCN, FAQ del ENS). Tres ejemplos:
- Universidades: CCN-STIC 881A, con necesidades de categoría media.
- Entidades locales: el PCE para entidades locales de tamaño pequeño y mediano, que según las mismas FAQ pueden usar los municipios de menos de 20.000 habitantes. No hay que confundirlo con la CCN-STIC 883, que es una guía de implantación del ENS para entidades locales, no un perfil.
- Requisitos esenciales: CCN-STIC 890A.
Si vendes a ayuntamientos pequeños o a universidades, pregunta si el pliego admite la certificación por PCE.
¿Cuáles son los requisitos del ENS? Las 73 medidas del Anexo II
El Anexo II del RD 311/2022 contiene 73 medidas de seguridad agrupadas en tres marcos: 4 del marco organizativo, 33 del marco operacional y 36 de medidas de protección. El recuento sale de los códigos de medida del propio texto del BOE (org, op y mp). No todas se aplican a todos los sistemas: cada medida indica a qué categoría o dimensión afecta y qué refuerzos (R1, R2…) se suman al subir de nivel.
| Marco |
Medidas |
Grupos |
Ejemplos |
| Organizativo (org) |
4 |
Política, normativa, procedimientos y proceso de autorización |
Política de seguridad aprobada por dirección |
| Operacional (op) |
33 |
Planificación, control de acceso, explotación, servicios externos, servicios en la nube, continuidad y monitorización |
Gestión de incidentes, detección de intrusión, protección de servicios en la nube |
| Protección (mp) |
36 |
Instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios |
Cifrado, copias de seguridad, protección frente a denegación de servicio |
Fuente: Anexo II del RD 311/2022. Datos consultados: 2 de noviembre de 2026.
Para un proveedor, el bloque op.mon es el que más cuesta sostener: exige detección de intrusión, métricas y vigilancia, y en categorías altas suele requerir un servicio de monitorización continua como un SOC gestionado. Los otros dos bloques que más afectan a quien vende tecnología son los de productos certificados (op.pl.5) y nube (op.nub.1).
Checklist: ¿qué evidencias pedirá el auditor ENS?
El auditor no revisa intenciones, revisa evidencias: por cada medida aplicable pedirá un documento aprobado o un registro de que se ejecuta. Esta checklist reúne doce medidas que suelen exigir mucha evidencia a un proveedor, con su código y nombre literal del Anexo II, la categoría o el nivel desde el que aplican y lo que se suele poder reutilizar de un sistema ISO 27001.
| Código |
Medida (Anexo II) |
Aplica desde |
Evidencia que conviene tener en el expediente |
¿Se reutiliza de ISO 27001? |
| org.1 |
Política de seguridad |
Básica |
Política aprobada por el máximo órgano ejecutivo, con los roles nombrados |
En parte: hay que adaptarla al ENS y a sus cuatro responsables |
| op.pl.1 |
Análisis de riesgos |
Básica (refuerzos en media y alta) |
Análisis con categorización del Anexo I y valoración del organismo |
En parte: falta la categorización ENS |
| op.pl.5 |
Componentes certificados |
Media |
Inventario de productos de seguridad con su referencia CPSTIC o certificación |
No: es propio del ENS |
| op.acc.6 |
Mecanismo de autenticación (usuarios de la organización) |
Básica (refuerzos por nivel) |
Configuración de autenticación y prueba de su aplicación |
En gran parte |
| op.exp.1 |
Inventario de activos |
Básica |
Inventario actualizado del alcance certificado |
Sí |
| op.exp.4 |
Mantenimiento y actualizaciones de seguridad |
Básica (refuerzos en media y alta) |
Registro de parches aplicados y plazos |
Sí |
| op.exp.7 |
Gestión de incidentes |
Básica (refuerzos en media y alta) |
Procedimiento y registro de incidentes, con la vía de notificación al INCIBE-CERT |
En parte: falta la notificación ENS |
| op.exp.8 |
Registro de la actividad |
Trazabilidad baja (refuerzos al subir) |
Logs retenidos y evidencia de que alguien los revisa |
En gran parte |
| op.ext.3 |
Protección de la cadena de suministro |
Alta |
Requisitos de seguridad trasladados a tus proveedores y subcontratistas |
En parte |
| op.nub.1 |
Protección de servicios en la nube |
Básica (refuerzos en media y alta) |
Certificado del proveedor de nube y cumplimiento de la guía CCN-STIC aplicable |
No: es propio del ENS |
| op.cont.2 |
Plan de continuidad |
Disponibilidad alta |
Plan aprobado y evidencia de pruebas periódicas (op.cont.3) |
Sí |
| mp.info.6 |
Copias de seguridad |
Disponibilidad baja (refuerzos al subir) |
Política de copias y prueba de restauración documentada |
Sí |
Fuente: códigos, nombres y aplicabilidad del Anexo II del RD 311/2022. La selección de medidas y la columna de reutilización son valoración propia y orientativa, no una lista oficial; la referencia del auditor es la guía CCN-STIC 808. Datos consultados: 2 de noviembre de 2026.
Úsala así: marca en cada fila si la evidencia existe, quién la firma y dónde está guardada. Las filas que quedan en «No» o «En parte» son tu análisis de carencias inicial.
¿Tiene que estar mi producto en el catálogo CPSTIC?
Si tu producto forma parte de la arquitectura de seguridad de un sistema de categoría media o alta, el cliente público lo elegirá preferentemente del catálogo CPSTIC. Lo dice la medida op.pl.5, componentes certificados: se usará el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del CCN y, si no hay ninguno para esa función, productos certificados según el artículo 19. Y si tu sistema presta un servicio de seguridad a un tercero bajo el ENS, el producto que lo sustenta debe estar cualificado en el CPSTIC o aportar una certificación equivalente (op.pl.5.2). El catálogo se publica en la guía CCN-STIC 105.
Para la nube, la op.nub.1 aplica desde la categoría básica: el proveedor SaaS, PaaS o IaaS debe cumplir las medidas de las guías CCN-STIC, como la CCN-STIC 823 de servicios en la nube. En media, la nube de terceros que uses debe estar certificada con una metodología reconocida por el Organismo de Certificación (op.nub.1.r1.1). Fuente: Anexo II del RD 311/2022.
¿Sirve la ISO 27001 para cumplir el ENS?
No la sustituye, pero acorta mucho el camino. El artículo 38 exige una certificación de conformidad con el ENS, emitida por una entidad acreditada para el esquema ENS, así que un certificado ISO/IEC 27001 no vale por sí solo ante un pliego.
| Aspecto |
ENS (RD 311/2022) |
ISO/IEC 27001:2022 |
Directiva NIS2 (UE) 2022/2555 |
| Naturaleza |
Obligación legal española |
Norma voluntaria internacional |
Directiva europea a transponer |
| A quién aplica |
Sector público y proveedores privados contratados |
Cualquier organización que la adopte |
Entidades esenciales e importantes de 18 sectores |
| Controles |
73 medidas prescritas según categoría |
93 controles del Anexo A elegidos por análisis de riesgos |
Medidas mínimas del art. 21.2 |
| Acreditación |
Declaración (básica) o certificación ENAC (media y alta) |
Certificación voluntaria por entidad acreditada |
Supervisión de la autoridad competente |
| Si incumples |
Sin multas propias del ENS: exclusión de la licitación o posible resolución del contrato |
Pérdida del certificado |
Multas con un máximo de al menos 10 M€ o el 2 % de la facturación mundial, la cantidad que sea mayor (esenciales) |
Fuentes: RD 311/2022, FAQ del ENS, LCSP, art. 211 y Directiva (UE) 2022/2555, arts. 21 y 34. Datos consultados: 2 de noviembre de 2026.
El CCN publica la guía CCN-STIC 825 y un anexo que mapea la ISO 27001:2022 con el RD 311/2022. Con tu certificación ISO 27001 reutilizas el análisis de riesgos, la política, la gestión de incidentes y gran parte de la evidencia. Lo que la ISO no te da: la categorización del Anexo I, los refuerzos prescritos por categoría, la designación del POC y el uso de productos del CPSTIC.
¿Qué relación hay entre el ENS y la NIS2?
Se refuerzan: casi todas las medidas mínimas de la NIS2 tienen equivalente en el Anexo II del ENS, pero son obligaciones distintas con supervisores distintos. El artículo 21.2 de la Directiva exige análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena de suministro, criptografía y autenticación multifactor, y todo ello aparece en el ENS. La NIS2 incluye además a entidades de la Administración pública.
En España la transposición se ha retrasado. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 (La Moncloa). El 8 de julio de 2026 la Comisión Europea anunció que lleva a España, junto con Irlanda, Francia y Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa, y que pide sanciones económicas: una cantidad a tanto alzado y multas diarias (Comisión Europea, 8 de julio de 2026). Antes de planificar con la ley española, comprueba en el BOE si ya se ha publicado.
Para un proveedor, la consecuencia práctica es preparar ambas a la vez: la evidencia del ENS servirá para la NIS2 cuando llegue la ley. Te lo explicamos en nuestra guía de la Directiva NIS2 y en el servicio de cumplimiento NIS2.
¿Qué obligaciones tiene un proveedor después de certificarse?
El certificado no cierra el trabajo: el ENS impone obligaciones de operación continua. Las tres que más afectan a un proveedor privado son estas:
- Notificar incidentes. El art. 33.7 dice que las organizaciones privadas que presten servicios a entidades públicas notificarán al INCIBE-CERT los incidentes que les afecten, y este lo pondrá de inmediato en conocimiento del CCN-CERT. La ITS de notificación de incidentes remite a la guía CCN-STIC 817 para clasificar el impacto y obliga a notificar de inmediato los de nivel alto, muy alto o crítico; la herramienta LUCIA del CCN automatiza esas notificaciones.
- Aportar datos al informe del estado de la seguridad (INES). El art. 32 encarga a la Comisión Sectorial de Administración Electrónica recoger las principales variables de seguridad de los sistemas incluidos en el ámbito del ENS, con la metodología del CCN.
- Renovar y avisar de cambios. La auditoría ordinaria vuelve como mínimo cada dos años, y un cambio sustancial obliga a una extraordinaria (art. 31). Las certificaciones tienen una validez de dos años naturales, según las FAQ del ENS. Presupuesta la renovación desde el primer año: no es más barata que la primera certificación si el alcance ha crecido.
Fuente: RD 311/2022.
¿Por qué fallan las adecuaciones al ENS?
Fallan por cinco causas que rara vez son técnicas: alcance excesivo, roles solapados, política sin aprobar por la dirección, nube sin certificar y registros que nadie revisa. Conviene revisarlas antes de llamar al auditor, cada una con la regla que la resuelve:
- Alcance de toda la empresa. Si se intenta certificar todo, y no solo los sistemas del servicio público, se multiplican las jornadas: en el acuerdo marco de la Agencia Digital de Andalucía, el precio se fija por sistema auditado y el esfuerzo, por jornada.
- Roles que se solapan. El art. 13.3 exige que el responsable de la seguridad sea distinto del responsable del sistema, sin dependencia jerárquica. En situaciones excepcionales de falta justificada de recursos admite que coincidan, con medidas compensatorias que garanticen el principio de diferenciación del art. 11.
- Política sin aprobar arriba. La política existe, pero no la ha aprobado el máximo órgano ejecutivo, como pide el art. 2.3.
- Proveedores de nube sin evidencias. En media, la nube de terceros debe estar certificada (op.nub.1.r1.1); el certificado del proveedor tiene que estar en el expediente.
- Registros que nadie revisa. Tener registro de actividad no basta: el auditor que sigue la CCN-STIC 808 pide evidencias de revisión y de retención.
«En un proyecto ENS el primer entregable útil no es la política, es el alcance: qué sistemas sostienen el contrato público y cuáles quedan fuera. Los precios públicos se calculan por sistema auditado y por jornada, así que cada sistema que entra sin necesidad se paga en cada auditoría. Con ese límite claro, la evidencia se documenta una vez y sirve para el ENS, la ISO 27001 y la NIS2.» — Alfons Marques, fundador de Technova Partners
¿Qué cambió el RD 311/2022 respecto al RD 3/2010?
Si llegas al ENS en 2026, basta con saber que el catálogo pasó de 75 a 73 medidas y que se añadieron controles de nube, cadena de suministro y vigilancia. Comparando los dos textos consolidados del BOE:
| Aspecto |
RD 3/2010 |
RD 311/2022 |
| Medidas del Anexo II |
75: 4 org, 31 op, 40 mp |
73: 4 org, 33 op, 36 mp |
| Códigos nuevos |
— |
op.ext.3 (cadena de suministro), op.ext.4 (interconexión), op.nub.1 (nube), op.mon.3 (vigilancia), mp.s.3 (navegación web), mp.eq.4 (otros dispositivos conectados) |
| Sector privado |
Ámbito centrado en las Administraciones |
Art. 2.3: contratistas privados y su cadena de suministro |
Fuentes: RD 3/2010 y RD 311/2022, recuento de códigos del Anexo II de ambos textos. Datos consultados: 2 de noviembre de 2026.
¿Por dónde empezar la adecuación al ENS si eres proveedor?
Empieza por el pliego y la categoría que exige tu cliente, no por las herramientas. Este es el orden que recomendamos:
- Lee el pliego y el contrato. Identifica la categoría, si piden declaración o certificación, si admiten un PCE y si el requisito alcanza a tus subcontratistas.
- Acota el alcance al servicio prestado. Certifica los sistemas que sostienen el servicio público, no toda la empresa.
- Haz un análisis de carencias (gap analysis) contra el Anexo II. Si tienes ISO 27001, parte de tu declaración de aplicabilidad y del mapeo de la CCN-STIC 825.
- Nombra los roles y aprueba la política. Sin responsable de seguridad designado y política aprobada por dirección no hay auditoría posible.
- Cierra primero las medidas transversales: control de acceso reforzado (una arquitectura Zero Trust cubre buena parte), registro de actividad, copias, incidentes y nube. Si tratas datos personales del organismo, coordina la adecuación con tu programa de protección de datos y RGPD.
- Ensaya con una auditoría interna y documenta las evidencias por medida.
Si eres una pyme, empieza por nuestra guía de ciberseguridad para pymes; para elegir socio, lee cómo elegir empresa de ciberseguridad en España.
Cómo se ha elaborado esta guía y qué no cubre. Los datos normativos y de mercado salen de fuentes primarias enlazadas (BOE, portal del ENS, registro del CCN y la resolución de la Agencia Digital de Andalucía), consultadas el 2 de noviembre de 2026; la única fuente secundaria es la referencia de precios privados, y así se indica. Los plazos, la checklist de evidencias y la lectura de las jornadas del contrato andaluz son valoraciones propias. El precio de auditoría procede de un solo contrato público y no lo hemos podido contrastar con otro. No es asesoramiento jurídico, y Technova no es una entidad de certificación: puede ayudarte a preparar la adecuación, pero el certificado solo lo emite una entidad acreditada por ENAC.
Preguntas frecuentes sobre el Esquema Nacional de Seguridad
¿Qué es el ENS en ciberseguridad?
Es el Esquema Nacional de Seguridad, el marco legal español (RD 311/2022) que fija los principios, requisitos mínimos y 73 medidas de seguridad que deben cumplir los sistemas del sector público y de las empresas privadas que les prestan servicios por contrato.
¿Es obligatoria la certificación ENS para una empresa privada?
Es obligatoria cuando la empresa presta servicios o provee soluciones a una entidad del sector público por contrato y sus sistemas son de categoría media o alta. En categoría básica basta una declaración de conformidad tras una autoevaluación, aunque puede certificarse de forma voluntaria (arts. 2.3 y 38 del RD 311/2022).
¿Necesita el ENS una pyme o un subcontratista?
Sí, si sus sistemas sostienen el servicio público contratado. El ENS no distingue por tamaño de empresa, y el art. 2.3 extiende la exigencia a la cadena de suministro del contratista según el análisis de riesgos. Lo decide el pliego o el contratista principal.
¿Cómo saber si una empresa tiene el ENS?
Consulta el registro de certificados del CCN, que lista las entidades certificadas por categoría y perfil. Además, el art. 38.2 obliga a publicar la declaración o la certificación en la web o sede electrónica, con su distintivo de conformidad, así que también puedes pedir el enlace al proveedor.
¿Quién puede certificar el ENS?
Solo una entidad de certificación acreditada por ENAC para el ENS conforme a la UNE-EN ISO/IEC 17065:2012, según la ITS de conformidad. El CCN publica la lista de entidades de certificación. Un consultor puede preparar la adecuación, pero no emitir el certificado.
¿Cuánto cuesta la certificación ENS?
No hay tarifa oficial ni precio de la certificación completa. Solo la auditoría de un sistema de categoría media se adjudicó a 4.253 € sin IVA en el acuerdo marco de la Agencia Digital de Andalucía (2.835 € en básica y 6.615 € en alta). A eso se suman la consultoría de adecuación, el tiempo interno y una nueva auditoría cada dos años.
¿Cuánto se tarda en adecuarse al ENS?
Según nuestra estimación de planificación, de 1 a 3 meses en categoría básica, de 4 a 8 meses en media (de 2 a 4 si ya tienes una ISO 27001 madura) y de 6 a 12 meses en alta. No es un dato oficial, y el factor que más alarga el plazo es un alcance mal definido.
¿Cuánto dura la certificación ENS?
Dos años. El RD 311/2022 exige una auditoría ordinaria al menos cada dos años y una extraordinaria si hay cambios sustanciales, y el CCN indica que las certificaciones tienen una validez de dos años naturales.
¿Hay multas por no cumplir el ENS?
No. Según las FAQ oficiales del CCN, el ENS no prevé sanciones por incumplimiento. Para un proveedor, la consecuencia es contractual: sin declaración o certificación vigente quedas fuera de la licitación, y si el pliego califica el ENS como obligación esencial, el art. 211 de la LCSP permite resolver el contrato. Pueden aplicarse además otras normas, como el RGPD.
¿Qué diferencia hay entre el ENS y la ISO 27001?
El ENS es una obligación legal española con 73 medidas prescritas según la categoría del sistema; la ISO 27001 es una norma internacional voluntaria con 93 controles elegidos por análisis de riesgos. La ISO no sustituye al certificado ENS, pero buena parte de su evidencia se reutiliza con el mapeo de la guía CCN-STIC 825.
La declaración la emite la propia organización tras una autoevaluación y solo vale para sistemas de categoría básica. La certificación la emite una entidad acreditada por ENAC tras una auditoría independiente y es obligatoria en media y alta. Ambas deben publicarse en la web o sede electrónica.
Si necesitas el ENS para un contrato público, nuestro equipo de consultoría de ciberseguridad puede acotar el alcance, hacer el análisis de carencias contra el Anexo II y prepararte para la auditoría de la entidad certificadora. Si ya trabajas con ISO 27001, nuestro servicio de certificación ISO 27001 comparte gran parte de la evidencia. Habla con nosotros y revisamos tu pliego.
