En este artículo10 min de lectura
Si tu empresa vende a la administración pública, o quiere hacerlo, tarde o temprano aparece en un pliego una línea que pide conformidad con el Esquema Nacional de Seguridad. Y con ella las preguntas: si eso obliga a una empresa privada, qué categoría hace falta, si vale la ISO 27001 que ya se tiene y cuánto cuesta.
Esta guía responde las cuatro sobre la certificación ENS, con el texto del real decreto delante y separando lo que dice la norma de lo que dicen las páginas comerciales.
El ENS obliga a empresas privadas cuando el contrato sostiene un servicio público
El Esquema Nacional de Seguridad es el Real Decreto 311/2022. Se aplica a todo el sector público, y también, en sus propias palabras, a los sistemas de información de las entidades del sector privado cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público para el ejercicio de sus competencias y potestades administrativas.
Esa última parte importa y casi nunca se cuenta. No basta con venderle algo a un ayuntamiento. Suministrar tornillería no activa la obligación. Sostener el sistema que soporta un servicio administrativo, sí.
El mandato de exigirlo, además, no es tuyo: la norma ordena a la entidad pública incluir en los pliegos los requisitos necesarios para asegurar la conformidad, y menciona expresamente la presentación de declaraciones o certificaciones de conformidad. Tú soportas la consecuencia, pero quien tiene que pedirlo es el comprador público.
Y se extiende a la cadena de suministro del contratista, con un matiz que se pierde a menudo: en la medida en que sea necesario y de acuerdo con los resultados del análisis de riesgos. Es una extensión graduada por riesgo, no una obligación en cascada automática.
Hay una obligación más, y es la que suele sorprender: estas entidades privadas deben contar con una política de seguridad aprobada por el órgano que tenga las máximas competencias ejecutivas. En una empresa mediana eso significa el consejo o la dirección general, no el responsable de informática.
La categoría no la eliges tú, la determina el impacto del sistema
Hay tres categorías: básica, media y alta. Se determinan valorando el impacto que tendría un incidente sobre cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
La regla es del máximo. Basta con que una sola dimensión alcance un nivel para que arrastre a todo el sistema a esa categoría:
| Categoría | Cuándo |
|---|---|
| Alta | Alguna dimensión alcanza nivel alto, es decir, un perjuicio muy grave |
| Media | Alguna dimensión alcanza nivel medio, perjuicio grave, y ninguna alcanza uno superior |
| Básica | Alguna dimensión alcanza nivel bajo, perjuicio limitado, y ninguna alcanza uno superior |
Quien valora la información y los servicios es su responsable, y quien determina la categoría del sistema es el responsable de seguridad. En la práctica, para un proveedor la categoría viene marcada por el sistema del cliente y aparece en el pliego. Se hereda, no se negocia. Y esa regla del máximo es la fuente número uno de sorpresas de coste en una licitación.
Declaración y certificación no son lo mismo, y la categoría decide cuál te toca
Esta es la confusión más extendida y la norma es inequívoca:
| Categoría | Qué hace falta | Quién lo emite |
|---|---|---|
| Básica | Autoevaluación y declaración de conformidad. La certificación es voluntaria | La propia entidad responsable del sistema |
| Media | Auditoría para la certificación de conformidad | Entidad de certificación acreditada por ENAC |
| Alta | Auditoría para la certificación de conformidad | Entidad de certificación acreditada por ENAC |
La acreditación de esas entidades es bajo una norma concreta de evaluación de la conformidad, y se puede comprobar en el buscador de acreditados de ENAC. El listado de entidades certificadoras lo mantiene el Centro Criptológico Nacional en la sede del ENS.
Y hay una obligación final que se olvida: dar publicidad a la declaración o a la certificación en el portal de internet o la sede electrónica.
Con categoría media hay auditoría al menos cada dos años y la hace un tercero
La norma impone una auditoría regular ordinaria al menos cada dos años a todos los sistemas de su ámbito de aplicación, y una extraordinaria siempre que haya modificaciones sustanciales que puedan repercutir en las medidas de seguridad requeridas.
Lo que cambia con la categoría es la forma. Los sistemas de categoría básica no necesitan auditoría: basta una autoevaluación, que puede hacer el mismo personal que administra el sistema, aunque debe documentarse y la analiza el responsable de seguridad. En media y alta hace falta auditoría formal, y para la conformidad, auditoría de certificación por entidad acreditada.
Para un proveedor tecnológico, la auditoría extraordinaria es la parte que conviene tener presente al planificar: un cambio de arquitectura, una migración a la nube o un cambio de proveedor de alojamiento pueden dispararla fuera de ciclo.
El informe de auditoría tiene que dictaminar sobre el grado de cumplimiento e identificar hallazgos de conformidad y de no conformidad, con los criterios metodológicos, el alcance y los hechos en que se basan las conclusiones.
¿Sabes qué categoría te va a pedir el pliego al que quieres presentarte?
De eso depende si te basta una autoevaluación o necesitas auditoría de un tercero acreditado, y es la diferencia de coste más grande de todo el proceso.
Los ocho pasos de la certificación ENS que exige la norma, en orden
No hay una guía oficial dirigida a la empresa privada que quiere licitar. Lo que sí está anclado en el real decreto es esta secuencia:
1. Delimitar el alcance: qué sistema sostiene el servicio contratado. Todo lo demás depende de esto y es donde más se infla o se controla el coste.
2. Valorar el impacto y categorizar por las cinco dimensiones.
3. Aprobar la política de seguridad por el órgano con máximas competencias ejecutivas.
4. Analizar y gestionar los riesgos.
5. Implantar las medidas del anexo II que correspondan a la categoría.
6. Autoevaluación o auditoría, según la categoría.
7. Declaración o certificación de conformidad.
8. Publicar la declaración o la certificación en el portal o la sede electrónica.
Todo lo que exceda de esa lista, como las fases comerciales de prediagnóstico o las auditorías en dos fases, es práctica de mercado de las certificadoras. Puede tener sentido, pero no lo exige la norma.
La pregunta de cuántas medidas hay que implantar está mal planteada
Es la duda que trae todo el mundo y la respuesta no es un número.
El anexo II organiza las medidas en tres bloques: marco organizativo, marco operacional y medidas de protección. Y funciona con refuerzos. La misma medida se exige con requisitos base en categoría básica, con un refuerzo en media y con refuerzos acumulados en alta.
Por eso el salto de básica a media no consiste tanto en medidas nuevas como en que las mismas medidas se exigen reforzadas. Y por eso las páginas que prometen un número exacto de medidas dan cifras distintas entre sí: están contando medidas base, no el conjunto de medida más refuerzo que realmente es exigible.
Cuánto cuesta: no hay ninguna referencia oficial y las que circulan se contradicen
Conviene decirlo claro. Ni el real decreto, ni el Centro Criptológico Nacional, ni ENAC publican tarifas. Las tres grandes certificadoras remiten a presupuesto. Lo único que existe son precios publicados por proveedores del servicio, que son parte interesada:
| Proveedor y fecha | Lo que publica |
|---|---|
| Audidat, septiembre de 2025 | Básico de 3.000 a 8.000 euros, medio de 8.000 a 18.000, alto desde 18.000. Proceso de 3 a 6 meses |
| Audidat, actualizado junio de 2026 | Básico de 3.000 a 6.000 euros, medio de 6.000 a 12.000, alto desde 15.000 |
| NexENS, sin fecha | Rangos de mercado que atribuye a consultoras: básica de 5.000 a 12.000 euros, media y alta de 12.000 a 30.000 o más |
| Legiscope, julio de 2026 | De 8.000 a 25.000 euros para una pyme, y en otro punto de 8.000 a 60.000 según tamaño y alcance |
Las horquillas para nivel medio van de 6.000 a 30.000 euros según quién las publique, un factor de cinco. Y el mismo proveedor se contradice consigo mismo entre dos páginas de su propio sitio. Ninguna de las cuatro fuentes cita una referencia verificable.
Lo que sí se puede decir con base normativa es de qué depende: del alcance del sistema, de la categoría, de si ya hay un sistema de gestión implantado y de cuántas auditorías extraordinarias disparen los cambios que tengas previstos.
La ISO 27001 sirve de base, pero no sustituye al ENS
El real decreto no cita la ISO 27001, aunque el esquema esté inspirado en esa familia de normas. La guía oficial del Centro Criptológico Nacional sobre la relación entre ambas dice dos cosas útiles.
La primera, que para usar una certificación 27001 como soporte de cumplimiento del ENS el alcance de esa certificación tiene que cubrir lo que el ENS exige. La segunda, y es la que explica por qué no equivalen: el anexo del ENS modula los requisitos según la categoría del sistema, mientras que en una certificación 27001 el nivel de exigencia queda a criterio del auditor.
Traducido: si ya tienes ISO 27001, tienes hecha buena parte del sistema de gestión y del trabajo de controles. Te ahorra camino. No te ahorra la certificación.
Y con el ENS no cumples NIS2, por mucho que se repita
El Real Decreto 311/2022 se publicó en mayo de 2022 y la directiva NIS2 se adoptó en diciembre de ese año. El texto del ENS no menciona NIS2. Cita la directiva anterior y la normativa española que la traspuso.
El Centro Criptológico Nacional sostiene que el ENS incluye todos los requisitos de NIS2 y lo presenta como una norma legal certificable que permite demostrar cumplimiento. Es una posición razonable en lo técnico. Jurídicamente, mientras no exista ley española de transposición, no hay nada que cumplir formalmente y por tanto no hay equivalencia que declarar.
Lo que sí es cierto, y es el argumento práctico: hoy el ENS es la única obligación de ciberseguridad efectivamente exigible y certificable que alcanza a una empresa privada española por vía contractual. Si ya lo tienes, cuando llegue la ley partirás de mucho más arriba.
Preguntas frecuentes
¿El ENS obliga a mi empresa si le vendo a un ayuntamiento?
Depende de qué le vendas. La obligación nace cuando prestas servicios o provees soluciones para el ejercicio de competencias y potestades administrativas. Un suministro que no sostiene un servicio administrativo no la activa.
¿Puedo elegir la categoría básica para que salga más barato?
No. La categoría se determina por el impacto de un incidente sobre el sistema, no por conveniencia, y en un contrato público suele venir marcada en el pliego.
¿Cuánto dura la certificación?
El real decreto no fija un plazo de vigencia. Lo que sí fija es una verificación al menos cada dos años, y una auditoría extraordinaria cuando hay modificaciones sustanciales. Las certificadoras trabajan sobre ese bienio.
Tengo ISO 27001. ¿Me vale?
Como base sí, como sustituto no. El alcance de la 27001 tiene que cubrir lo que el ENS exige, y el ENS modula por categoría lo que la 27001 deja a criterio del auditor.
¿Quién puede emitir mi certificación?
Una entidad de certificación acreditada por ENAC. El listado lo mantiene el Centro Criptológico Nacional y la acreditación concreta se comprueba en el buscador de ENAC.
¿Esto es solo para administraciones?
No. Cuando el Centro Criptológico Nacional anunció los mil certificados de conformidad, en octubre de 2023, 279 eran de organismos públicos y 721 de empresas privadas. La mayoría de las conformidades del ENS son de empresas.
La certificación ENS se pide en el pliego, y ahí ya no hay tiempo de prepararla
La conformidad con el ENS no se improvisa entre la publicación de un pliego y la fecha límite de presentación. Categorizar, aprobar la política en dirección, implantar las medidas y pasar una auditoría de certificación lleva su tiempo, y ese tiempo no lo marca la empresa.
Si vender a la administración está en el plan del año que viene, la comprobación de alcance y categoría conviene hacerla ahora, cuando todavía se puede decidir qué sistema entra y qué sistema se deja fuera.
Empieza por saber qué categoría y qué alcance te tocan
Revisamos qué sistema sostiene el servicio que quieres vender, qué categoría le corresponde y si te basta una autoevaluación o necesitas certificación de un tercero.
Escribe sobre ciberseguridad, protección del dato e infraestructura IT a partir de lo que plantean las empresas y administraciones con las que trabaja ITGLOBAL.