ENS
Qué es el ENS y cómo se certifica una empresa que vende a la administración
Respuesta corta
Si tu empresa presta servicios o vende software a una administración pública española, el contrato puede exigirte la conformidad con el Esquema Nacional de Seguridad (ENS), que regula el Real Decreto 311/2022. En categoría BÁSICA basta una autoevaluación y una Declaración de Conformidad que expide tu propia empresa; en MEDIA y ALTA hace falta una auditoría y una Certificación de Conformidad de una entidad acreditada por ENAC (hay 20 en la lista del CCN a 20 de octubre de 2026). La autoevaluación o la auditoría se repite al menos cada dos años. Tener la ISO 27001 adelanta trabajo, pero no sustituye la conformidad con el ENS.
Esta guía es para el CTO o el fundador de una empresa de software que vende, o quiere vender, al sector público. Citamos el texto consolidado del Real Decreto 311/2022 en el BOE, actualizado el 6 de noviembre de 2024.
¿Qué es el Esquema Nacional de Seguridad (ENS)?
El Esquema Nacional de Seguridad (ENS) es el marco legal de seguridad de la información de todo el sector público español (artículo 2.1), que alcanza también a las empresas que le prestan servicios (artículo 2.3). Lo regula el Real Decreto 311/2022, de 3 de mayo, en vigor desde el 5 de mayo de 2022, que derogó el Real Decreto 3/2010. El Centro Criptológico Nacional (CCN) lo define como «un marco común de principios básicos, requisitos y medidas de seguridad» (CCN).
Su núcleo técnico son 73 medidas de seguridad del anexo II, que se exigen según la categoría del sistema: 4 del marco organizativo, 33 del marco operacional y 36 de medidas de protección, como el análisis de riesgos (op.pl.1), la gestión de incidentes (op.exp.7) o la protección de servicios en la nube (op.nub.1). El recuento es nuestro, sobre los códigos del texto consolidado del BOE.
¿Tiene que cumplir el ENS una empresa privada?
Sí, si presta servicios o provee soluciones a una entidad del sector público. El artículo 2.3 del Real Decreto 311/2022 dice que el ENS «también se aplica a los sistemas de información de las entidades del sector privado» que, en virtud de una relación contractual, «presten servicios o provean soluciones a las entidades del sector público».
Para una empresa de software, eso tiene tres consecuencias:
- Cumple el sistema, no toda la empresa. Si un ayuntamiento contrata tu SaaS de gestión, lo que tiene que cumplir el ENS es el sistema de información que presta ese servicio.
- Necesitas una política de seguridad. El artículo 2.3 obliga también a los proveedores privados a tener la del artículo 12, con los roles de seguridad y sus responsabilidades.
- El pliego te pedirá la prueba. Los pliegos, que son las condiciones del contrato público, tienen que exigir la conformidad con el ENS, por ejemplo con una Declaración o una Certificación de Conformidad, y esa exigencia se extiende a la cadena de suministro cuando el análisis de riesgos lo justifica.
El plazo de adecuación de 24 meses para los sistemas que ya existían terminó en mayo de 2024 (disposición transitoria única).
¿Qué categoría ENS necesito: básica, media o alta?
Necesitas la categoría que corresponde al daño que causaría un incidente en tu sistema, no al tamaño de tu empresa. De la categoría (BÁSICA, MEDIA o ALTA) dependen las medidas del anexo II que aplicas y el tipo de conformidad.
Para fijarla se valoran cinco dimensiones de seguridad, que son las propiedades que un incidente puede dañar: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada recibe un nivel: BAJO si el perjuicio sería limitado, MEDIO si sería grave y ALTO si sería muy grave. La categoría del sistema es la del nivel más alto que alcance alguna dimensión (artículo 40 y anexo I).
Las valoraciones las hace el responsable de la información o del servicio, y la categoría la determina el responsable de la seguridad (artículo 41). Si el pliego no dice qué categoría espera, pregúntalo antes de empezar.
La categoría BÁSICA se declara y la MEDIA y la ALTA se certifican; la diferencia está explicada en declaración o certificación de conformidad.
| Categoría | Cuándo aplica | Conformidad | Quién la emite |
|---|---|---|---|
| Básica | Alguna dimensión en nivel BAJO y ninguna por encima. | Declaración de Conformidad | Tu propia empresa |
| Media | Alguna dimensión en nivel MEDIO y ninguna en ALTO. | Certificación de Conformidad | Una entidad acreditada por ENAC |
| Alta | Alguna dimensión en nivel ALTO. | Certificación de Conformidad | Una entidad acreditada por ENAC |
¿Declaración o certificación de conformidad con el ENS?
Depende de la categoría: un sistema de categoría BÁSICA se declara conforme y uno de categoría MEDIA o ALTA se certifica (artículo 38 del Real Decreto 311/2022).
- Declaración de Conformidad. La expide tu propia empresa tras una autoevaluación: el personal que administra el sistema, o en quien delegue, documenta si cada medida está implantada y con qué evidencias (anexo III, apartado 2.1). Un sistema de categoría BÁSICA también puede certificarse de forma voluntaria.
- Certificación de Conformidad. La emite una entidad de certificación acreditada por ENAC tras una auditoría formal, cuyo informe dictamina el grado de cumplimiento e identifica los hallazgos de conformidad y de no conformidad (anexo III, apartado 2.2).
Las dos llevan un distintivo, un documento electrónico que las acompaña, y se publican en la web o la sede electrónica del responsable del sistema (artículo 38.2). El procedimiento lo detallan la Instrucción Técnica de Seguridad de conformidad con el ENS, aprobada por la Resolución de 13 de octubre de 2016, y la guía CCN-STIC 809 del CCN, actualizada el 31 de octubre de 2022.
El artículo 31 exige una «auditoría regular ordinaria, al menos cada dos años», y una extraordinaria cuando el sistema cambia de forma sustancial, desde la que se vuelven a contar los dos años. En categoría BÁSICA basta una autoevaluación (anexo III, apartado 2.1).
¿Quién emite la certificación ENS?
La Certificación de Conformidad con el ENS la emite una entidad de certificación acreditada por la Entidad Nacional de Acreditación (ENAC) conforme a la norma UNE-EN ISO/IEC 17065:2012, como exige la Instrucción Técnica de Seguridad de conformidad.
A 20 de octubre de 2026, la lista de entidades de certificación del CCN recoge 20 acreditadas por ENAC para el ENS, entre ellas AENOR, Bureau Veritas, BSI, DNV, SGS, Applus (LGAI), Kiwa (IVAC), BDO, LEET Security y OCA Global, y otras 7 en proceso de acreditación, como DEKRA, TÜV Rheinland y Schellman. Que una entidad certifique la ISO 27001 no significa que esté acreditada para el ENS: compruébalo en esa lista.
La auditoría no puede hacerla la consultora que te ayuda a implantar: el glosario del real decreto define la auditoría de seguridad como un proceso «sistemático, independiente y documentado».
¿Qué pide el ENS en la práctica?
El ENS pide un sistema de gestión de la seguridad documentado y aprobado por la dirección, basado en una Declaración de Aplicabilidad, con las medidas del anexo II que correspondan a tu categoría. Según el anexo III del Real Decreto 311/2022, la auditoría comprueba, entre otras cosas:
- Una política de seguridad con roles: responsables de la información, del servicio, de la seguridad y del sistema (artículos 12 y 13). El responsable de la seguridad tiene que ser distinto del responsable del sistema; si no es posible, hacen falta medidas compensatorias.
- Un análisis de riesgos hecho con «alguna metodología reconocida internacionalmente» (artículo 14), con revisión y aprobación anual.
- La Declaración de Aplicabilidad: el documento, firmado por el responsable de la seguridad, con las medidas del anexo II que aplicas (artículo 28). Cumple una función parecida a la SoA (declaración de aplicabilidad) de la ISO 27001, pero las medidas del ENS son mínimos exigibles: solo puedes sustituir una por una medida compensatoria si justificas por escrito que protege igual o mejor.
- Las medidas implantadas, con evidencias, como la documentación de los procedimientos y el registro de incidentes.
El CCN ordena el proceso de adecuación en estos pasos:
- Plan de adecuación: alcance, categoría, análisis de riesgos, Declaración de Aplicabilidad y política de seguridad.
- Implantación de las medidas y aprobación del sistema de gestión de la seguridad de la información (SGSI).
- Declaración o certificación de conformidad.
- Vigilancia y mejora continua: revisión de la política, la categoría, la Declaración de Aplicabilidad y las medidas.
ENS e ISO 27001: qué se reaprovecha y qué no
Si ya tienes la ISO/IEC 27001:2022, reaprovechas sobre todo el sistema de gestión, pero la norma no sustituye la conformidad con el ENS: la categoría, los roles, la Declaración de Aplicabilidad sobre el anexo II y la propia conformidad hay que hacerlos de nuevo.
La ISO/IEC 27001:2022 es una norma internacional y voluntaria que certifica un sistema de gestión de la seguridad de la información (SGSI) sobre el alcance que tú defines, con 93 controles de referencia en el anexo A. El ENS es una norma legal española con 73 medidas que se exigen según la categoría. La guía CCN-STIC 825 del CCN explica cómo aprovechar un esquema para el otro, también «a la inversa», y su anexo de julio de 2023 trae el mapeo entre las dos; la propia guía advierte de que esa correspondencia «no debe ser interpretada como una relación aritmética de equivalencia».
| Pieza | Qué pide el ENS | ¿Sirve lo de la ISO 27001? |
|---|---|---|
| Sistema de gestión | Documentado, aprobado por la dirección y basado en la Declaración de Aplicabilidad (anexo III). | Sí, como base (cláusulas 4 a 10), si su alcance incluye el sistema que presta el servicio. |
| Análisis de riesgos | Metodología reconocida internacionalmente (artículo 14), con revisión y aprobación anual (anexo III). | Sí, si cubre ese sistema y cumple esas dos condiciones. |
| Política y roles | Responsables de la información, del servicio, de la seguridad y del sistema, con seguridad y sistema separados (artículos 12 y 13). | En parte: la política (5.2) y los roles (5.3) se amplían con los del ENS. |
| Categoría | BÁSICA, MEDIA o ALTA, según cinco dimensiones (anexo I). | No: la ISO 27001 no tiene categorías. |
| Declaración de Aplicabilidad | Medidas del anexo II que exige tu categoría, firmada por el responsable de la seguridad (artículo 28). | No: la SoA (6.1.3 d) cubre los 93 controles del anexo A. Se rehace sobre las 73 medidas, partiendo de lo que ya tienes. |
| Conformidad | Declaración o Certificación de Conformidad con el ENS (artículo 38). | No: el certificado ISO 27001 no la sustituye. |
La comparativa completa, atributo por atributo, y cuál hacer primero si te piden los dos están en ENS vs ISO 27001: diferencias, cuál necesitas y cuál hacer primero.
Si quien te pide seguridad es un cliente privado y lo que exige es la ISO 27001, empieza por qué hacer cuando tu cliente te pide la ISO 27001.
¿Cuánto cuesta y cuánto se tarda el ENS?
Según Novaciber, el primer año le cuesta a una pyme de 10 a 200 empleados 4.000–10.000 € en categoría BÁSICA, 12.000–30.000 € en MEDIA y 35.000–110.000 € o más en ALTA (rangos de 2026), con un proyecto de 4–9 meses si el punto de partida es razonable y de hasta 12 si se parte de cero; Cumpleo da 2–4 meses a la categoría BÁSICA con Declaración de Conformidad y 4–12 meses a MEDIA y ALTA. Son rangos publicados por consultoras a octubre de 2026; no son precios de Briblo.
| Categoría | Consultoría e implantación | Auditoría | Total del primer año |
|---|---|---|---|
| Básica | 3.000–8.000 € | Autoevaluación (Declaración de Conformidad) | 4.000–10.000 € |
| Media | 8.000–20.000 € | 4.000–9.000 € (entidad acreditada por ENAC) | 12.000–30.000 € |
| Alta | 25.000–80.000 € o más | 10.000–30.000 € o más | 35.000–110.000 € o más |
¿Qué alarga o acorta el plazo y el coste?
Las fuentes señalan estos factores:
- La categoría. MEDIA y ALTA exigen una auditoría formal y medidas más exigentes que la BÁSICA, y declarar una categoría más alta de la que te corresponde encarece el proyecto (Ángel Ortega Castro).
- El alcance. Certificar varios sistemas interconectados cuesta más que una sola aplicación, y ampliar el alcance sin necesidad lo encarece (Novaciber).
- El punto de partida. Con procesos y políticas ya documentados se avanza más rápido, y con la ISO 27001 implantada el coste de adecuación al ENS baja «aproximadamente un 20-30 %» (Novaciber, 2026).
- La complejidad. Cumpleo hace depender el plazo de la complejidad de los sistemas y de las brechas que haya que cerrar, y señala la implantación de las medidas como la fase más larga.
Si lo comparas con la ISO 27001, su coste por partidas está en cuánto cuesta la ISO 27001 en España en 2026.
Preguntas frecuentes
¿Es obligatorio el ENS para una empresa privada?
Sí, si presta servicios o provee soluciones a una entidad del sector público en virtud de un contrato (artículo 2.3 del Real Decreto 311/2022). Se aplica a los sistemas que soportan ese servicio.
¿Qué diferencia hay entre la Declaración y la Certificación de Conformidad con el ENS?
La Declaración la expide tu propia empresa tras una autoevaluación y vale en categoría BÁSICA; la Certificación la emite una entidad acreditada por ENAC tras una auditoría y se exige en MEDIA y ALTA (artículo 38).
Si tengo la ISO 27001, ¿ya cumplo el ENS?
No. La ISO 27001 adelanta el sistema de gestión, el análisis de riesgos y la política de seguridad, pero el ENS exige además una categoría, sus propios roles, las medidas del anexo II y su propia conformidad.
¿Cada cuánto hay que renovar el ENS?
Al menos cada dos años: el artículo 31 exige una auditoría ordinaria con esa frecuencia. En categoría BÁSICA basta una autoevaluación (anexo III, 2.1). Si el sistema cambia de forma sustancial, toca una auditoría extraordinaria y los dos años vuelven a contar desde ella.
¿Cómo sé si un proveedor tiene el ENS?
Búscalo en el listado de certificados de conformidad del CCN, en el apartado de empresas certificadas, al que se llega desde su página de certificación. Ese listado recoge Certificaciones de Conformidad; una Declaración de Conformidad de categoría BÁSICA no es un certificado, así que búscala en la web o la sede electrónica del proveedor, donde tiene que publicarla (artículo 38.2), o pídesela.
¿Tengo que certificar toda la empresa?
No. La conformidad es de los sistemas de información que soportan el servicio que prestas a la administración (artículo 2.3), no de toda la empresa.
¿Mi proveedor cloud me cubre el ENS?
No por sí solo. Que tu proveedor cloud esté certificado en el ENS ayuda, pero el sistema que prestas a la administración necesita su propia conformidad y, según el análisis de riesgos, la exigencia puede extenderse a tu cadena de suministro, de la que forma parte ese proveedor (artículo 2.3).
¿Cuánto cuesta la certificación ENS?
Entre 4.000 y 10.000 € el primer año en categoría BÁSICA, entre 12.000 y 30.000 € en MEDIA y entre 35.000 y 110.000 € o más en ALTA, para pymes de 10 a 200 empleados según Novaciber (2026). No son precios de Briblo.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 20 de octubre de 2026.
- BOE. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, texto consolidado (última actualización, 6 de noviembre de 2024): artículos 2, 12, 13, 14, 28, 31, 38, 40 y 41, disposición transitoria única y anexos I, II, III y IV.
- BOE. Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad, BOE de 2 de noviembre de 2016: declaración, certificación, acreditación de las entidades y distintivos.
- CCN. Qué es el Esquema Nacional de Seguridad (ENS).
- CCN. Certificación y entidades de certificación: 20 acreditadas por ENAC y 7 en proceso de acreditación.
- CCN. Listado de certificados de conformidad con el ENS.
- CCN. Proceso de adecuación al ENS.
- CCN-CERT. Guía CCN-STIC 809, Declaración y Certificación de Conformidad con el ENS, actualizada el 31 de octubre de 2022 (PDF).
- CCN-CERT. Guía CCN-STIC 825, ENS e ISO 27001 (PDF) y su anexo independiente de mapeo entre la ISO 27001:2022 y el RD 311/2022, julio de 2023 (PDF).
- ISO. ISO/IEC 27001:2022, requisitos del sistema de gestión de seguridad de la información (cláusulas 4 a 10, 5.2, 5.3 y 6.1.3 d) y anexo A, con 93 controles (en inglés).
- Novaciber. Cuánto cuesta el ENS en 2026: precios reales por nivel: consultoría, auditoría y total del primer año para pymes de 10 a 200 empleados, y plazos.
- Ángel Ortega Castro. ¿Cuánto cuesta certificarse en el ENS? Desglose por partidas, publicado el 7 de agosto de 2026 y actualizado el 12 de octubre de 2026.
- Cumpleo. Certificación ENS – Esquema Nacional de Seguridad, preguntas frecuentes sobre plazos.