Si tu empresa presta servicios, productos o soluciones tecnológicas a la Administración Pública española, el Esquema Nacional de Seguridad no es optativo: el RD 311/2022 (BOE-A-2022-7191) establece que los sistemas de información de las entidades del sector público y los de sus proveedores deben adecuarse, plazo que finalizó el 5 de mayo de 2024 para los sistemas ya existentes.
La adecuación al ENS es obligatoria para las empresas que prestan servicios o soluciones al sector público (RD 311/2022, art. 2.3). Te acompañamos en la categorización del sistema, las medidas del Anexo II y la preparación de la declaración o certificación de conformidad que corresponda a tu categoría.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Documento que justifica la categoría asignada al sistema —básico, medio o alto— valorando el impacto en las cinco dimensiones de seguridad CIDAT para cada servicio en alcance, con metodología trazable y referenciada al RD 311/2022.
Tabla cruzada de los controles del Anexo II del ENS con los controles de tu sistema ISO 27001:2022, identificando reutilizaciones, brechas parciales y controles ausentes, con esfuerzo estimado para cerrar cada gap antes de la auditoría.
Documento formal que recoge la selección y exclusión justificada de los controles del ENS y del Anexo A de la ISO 27001:2022, conforme al formato esperado por los auditores de conformidad y por la CCN-STIC 809.
Política corporativa redactada según los requisitos del artículo 12 del RD 311/2022 y adaptada a la cultura y estructura de tu organización: propósito, alcance, roles, compromisos de la dirección y ciclo de revisión.
Conjunto completo de procedimientos operativos, registros y evidencias que acreditan la implantación real de los controles: gestión de usuarios y accesos, copias de seguridad, gestión de vulnerabilidades, control de cambios, gestión de incidentes y formación del personal.
Para categoría media o alta, auditoría interna previa que simula el proceso de la entidad acreditada ENAC: revisión de evidencias, detección de puntos débiles y corrección antes de que llegue el auditor externo, minimizando el riesgo de no conformidades en la auditoría de certificación.
Revisamos el alcance de tus sistemas de información, los servicios que prestas a la Administración y los datos que manejas para determinar la categoría ENS que te corresponde según el Anexo I del RD 311/2022, valorando el impacto en las cinco dimensiones CIDAT para cada servicio en alcance. Al mismo tiempo, analizamos si dispones de una certificación ISO 27001 vigente y en qué medida sus controles ya cubren requisitos del ENS, para aprovechar al máximo el trabajo previo y no rehacer lo que ya funciona.
Mapeamos los controles del Anexo II del ENS contra los controles de tu sistema de gestión ISO 27001 o contra las prácticas de seguridad existentes si aún no tienes ISO 27001 certificada. El resultado es una tabla priorizada de brechas —lo que falta, lo que está parcialmente cubierto y lo que puede reutilizarse directamente— con el esfuerzo estimado para cerrar cada gap antes de la auditoría de conformidad.
Diseñamos o actualizamos el sistema de gestión de la seguridad de la información para que cubra los requisitos del ENS, y los de la ISO 27001 si ya la tienes. Elaboramos la Declaración de Aplicabilidad del ENS, que justifica la selección y exclusión de controles conforme al formato esperado por los auditores de conformidad ENS, y redactamos la política de seguridad de la información adaptada al artículo 12 del RD 311/2022.
Acompañamos la implantación de las medidas de seguridad pendientes del Anexo II —organizativas, operativas y de protección— y generamos la documentación de evidencias requerida: procedimientos, registros, informes de análisis de riesgos, actas de revisión por la dirección y registros de formación. Todo queda estructurado y listo para presentar ante la entidad auditora o para sustentar la declaración de conformidad autoevaluada. La parte técnica de implantación de controles (hardening, monitorización, cifrado) la coordina con nosotros Summum Sistemas.
Summum Calidad te acompaña en ese proceso desde la perspectiva del sistema de gestión de la seguridad de la información (SGSI), centrado en los requisitos del ENS, para preparar tu organización para la declaración o certificación de conformidad que corresponda a tu categoría. Si ya tienes ISO 27001, aprovechamos sus controles comunes para reducir la carga documental.
El Esquema Nacional de Seguridad, aprobado mediante el Real Decreto 311/2022 de 3 de mayo, establece los principios y requisitos mínimos que deben cumplir los sistemas de información del sector público español y los de las entidades privadas que les presten servicios.
Su alcance es más amplio de lo que muchas empresas creen: si participas en licitaciones públicas, si gestionas datos de ciudadanos por cuenta de una Administración o si tu software se ejecuta en infraestructuras del sector público, el ENS te aplica con toda su fuerza.
La disposición transitoria única del RD 311/2022 dio 24 meses desde la entrada en vigor de la norma —el 5 de mayo de 2022— para que los sistemas ya existentes se adecuaran; ese plazo expiró el 5 de mayo de 2024. Operar hoy sin adecuación supone un incumplimiento que puede comprometer tu acceso a la contratación pública y generar responsabilidades para la entidad que contrató tus servicios.
Summum Calidad aborda la adecuación al ENS desde el enfoque propio de la gestión de la seguridad de la información, el mismo que rige la ISO 27001:2022. No son dos mundos separados: el ENS estructura sus requisitos en torno a un sistema de gestión —política de seguridad, análisis de riesgos, selección y aplicación de medidas proporcionales, revisión y mejora continua— que es esencialmente el ciclo PDCA de la ISO 27001 aplicado al contexto de la Administración Pública española.
La consultoría ISO 27001 es un servicio distinto del ENS: si ya tienes el SGSI o quieres certificarlo, se puede integrar con la adecuación.
Si tratas datos personales por cuenta de la Administración, el sistema de gestión de privacidad ISO 27701 es otra norma que puede sumarse al mismo proyecto.
Cuando una organización ya está certificada en ISO 27001 o trabaja hacia esa certificación, la adecuación al ENS aprovecha el trabajo ya hecho: controles del Anexo A de la ISO 27001:2022 que coinciden con medidas del Anexo II del ENS, documentación que sirve para ambas normas y una sola auditoría interna que cubre los requisitos de las dos, reduciendo el esfuerzo respecto a abordar los dos marcos como proyectos independientes.
La categorización del sistema —el punto de partida obligatorio del ENS, regulado en el Anexo I del RD 311/2022— determina el nivel de exigencia: básico, medio o alto, según el impacto que un incidente de seguridad tendría sobre las cinco dimensiones de seguridad (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, o CIDAT).
Esta categorización define las medidas del Anexo II que debes aplicar y la vía de conformidad que se te exige. Para sistemas de categoría básica, es suficiente una declaración de conformidad autoevaluada según el procedimiento de la CCN-STIC 809.
Para categoría media o alta, se requiere certificación por una entidad de certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065. Summum Calidad no emite ese certificado —eso es competencia exclusiva de los terceros acreditados—, pero sí prepara tu sistema para superarlo con garantías: diagnóstico de brechas, implantación de medidas, documentación de evidencias y revisión rigurosa antes de que llegue el auditor de conformidad. Si necesitas repasar cómo se determina cada nivel con más detalle, puedes consultar nuestra guía sobre los niveles básico, medio y alto del ENS.
Para saber por dónde empezar, prueba el autodiagnóstico de la categoría ENS.
El artículo 31 del RD 311/2022 regula el proceso de auditoría más allá de la declaración o certificación inicial de conformidad. Todo sistema sujeto al ENS debe superar una auditoría regular ordinaria al menos cada dos años, y una auditoría extraordinaria siempre que se produzcan modificaciones sustanciales que afecten a las medidas de seguridad exigidas; el propio artículo permite prorrogar el plazo bienal hasta tres meses cuando concurra causa de fuerza mayor no imputable a la entidad titular del sistema.
El informe de auditoría debe dictaminar el grado de cumplimiento, identificando hallazgos de cumplimiento e incumplimiento, y se traslada al responsable del sistema y al responsable de seguridad para que adopten las medidas correctoras oportunas.
En los sistemas de categoría alta, si el dictamen revela deficiencias graves, el propio responsable del sistema puede suspender temporalmente el tratamiento de la información o la prestación del servicio hasta su subsanación; además, el CCN puede requerir los informes de auditoría a cualquier organización dentro del ámbito de aplicación.
La guía técnica CCN-STIC 802 desarrolla el procedimiento operativo de estas auditorías. Summum Calidad prepara a las empresas proveedoras para superar tanto la auditoría inicial de conformidad como las auditorías ordinarias y extraordinarias posteriores, y, si ya tienes ISO 27001, aprovechando para ello el programa de auditoría interna que esa norma exige —puedes ver el plan de adecuación paso a paso para proveedores públicos con más detalle.
El ámbito de aplicación del ENS no se limita a la Administración General del Estado y las comunidades autónomas: el artículo 2 del RD 311/2022 lo extiende a todo el sector público en los términos del artículo 2 de la Ley 40/2015, lo que incluye a ayuntamientos, diputaciones provinciales, cabildos, consejos insulares, mancomunidades y sus organismos autónomos.
El Centro Criptológico Nacional ha publicado una guía de implantación específica para entidades locales, la CCN-STIC-883, con anexos diferenciados según el tramo de población del municipio, pensados para que la adecuación sea posibilista también en ayuntamientos con recursos técnicos limitados.
El propio Real Decreto contempla esa realidad: su artículo 12.5 permite que los municipios dispongan de una política de seguridad común elaborada por la diputación provincial o la entidad local comarcal que asuma esa responsabilidad, en lugar de exigir que cada consistorio redacte la suya de forma individual.
Para una empresa que presta servicios tecnológicos a una entidad local —con independencia de su tamaño—, el ENS aplica con la misma fuerza que si el cliente fuera un ministerio, y conocer en qué fase de adecuación se encuentra esa entidad condiciona directamente lo que se te exigirá como proveedor; en nuestra guía sobre en qué supuestos obliga el ENS a empresas privadas repasamos los tres escenarios más habituales.
El ENS es una pieza del cumplimiento integral de tu empresa. La capa legal —protección de datos (RGPD), DPO externo, canal de denuncias, compliance penal, planes de igualdad y prevención de blanqueo de capitales— la cubre nuestra división especializada, Summum Consultoría, para que tengas un único interlocutor de cumplimiento.
Adecuación al ENS
Una empresa privada debe adecuarse al ENS cuando presta servicios o suministra soluciones a entidades del sector público español sujetas al propio ENS. Esto incluye proveedores de software, servicios en la nube, mantenimiento de sistemas, procesamiento de datos por cuenta de la Administración y cualquier otro servicio en el que los sistemas de la empresa privada entren en contacto con los del sector público. El plazo general de adecuación para sistemas ya existentes finalizó el 5 de mayo de 2024, conforme a la disposición transitoria única del RD 311/2022. Los nuevos sistemas que se pongan en marcha tras esa fecha deben cumplir desde el primer día.
La categoría se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para cada servicio en alcance. Si el impacto máximo en cualquier dimensión es BAJO, el sistema es de categoría básica; si alguna dimensión alcanza un impacto MEDIO, es categoría media; si alguna alcanza un impacto ALTO, es categoría alta. La categoría determina el subconjunto de medidas del Anexo II que son obligatorias y la vía de conformidad requerida: básica = declaración de conformidad autoevaluada; media o alta = certificación por entidad acreditada por ENAC.
Sí, y es la forma más eficiente de hacerlo. La ISO 27001:2022 y el ENS comparten una estructura de gestión muy similar y muchos controles son coincidentes o complementarios. Con ISO 27001 certificada, el gap hacia el ENS se concentra en los aspectos específicos del marco español: la categorización del Anexo I, los controles del Anexo II sin equivalente exacto en ISO 27001 y la adaptación de la documentación al formato de la CCN. Summum Calidad realiza el análisis de brechas preciso y cierra únicamente lo que falta, sin rehacer lo que ya funciona.
Para sistemas de categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada por la propia organización, de acuerdo con el procedimiento descrito en la CCN-STIC 809. Para sistemas de categoría media o alta, la certificación debe realizarla una entidad de certificación acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad no emite ningún certificado de conformidad —eso es competencia exclusiva de las entidades acreditadas—, sino que prepara tu sistema para superar ese proceso de certificación con las mayores garantías.
Depende de la categoría del sistema, del tamaño de la organización y del punto de partida en materia de seguridad. Para sistemas de categoría básica con prácticas de seguridad ya implantadas, el proceso puede completarse en tres a seis meses. Para categoría media o alta, con sistemas complejos y sin ISO 27001 previa, el proceso suele requerir entre nueve y dieciocho meses, incluyendo el análisis de riesgos con metodología MAGERIT, la implantación de medidas técnicas y organizativas y la auditoría de conformidad por la entidad acreditada.
La Declaración de Aplicabilidad (DdA) es un documento que recoge, para cada control del Anexo II del ENS, si aplica al sistema en cuestión, en qué medida está implantado y la justificación de las exclusiones. Es un requisito tanto del ENS como de la ISO 27001:2022, lo que facilita su elaboración integrada. La DdA es uno de los documentos que los auditores de conformidad revisan con mayor detenimiento, por lo que su rigor y completitud es determinante para el resultado de la auditoría.
El Anexo III del RD 311/2022 establece que los sistemas de información sujetos al ENS deben someterse a una auditoría de seguridad al menos cada dos años. Para sistemas de categoría básica, la renovación de la declaración de conformidad autoevaluada sigue el mismo ciclo bienal. Para categoría media o alta, la entidad acreditada realiza la auditoría de renovación en ese plazo. Cualquier cambio significativo en el alcance o en la arquitectura del sistema de información puede obligar a una auditoría extraordinaria fuera de ese ciclo regular.
Son complementarios. El ENS regula la seguridad de los sistemas de información en el ámbito de la Administración Pública y sus proveedores; el RGPD regula la protección de datos personales de ciudadanos europeos. Cuando un proveedor de la Administración maneja datos personales de ciudadanos —la situación más habitual—, ambos marcos aplican simultáneamente. Muchas medidas de seguridad del Anexo II del ENS —gestión de accesos, cifrado, copias de seguridad, gestión de incidentes— satisfacen también requisitos de seguridad del RGPD, por lo que abordarlos de forma integrada es eficiente y reduce la duplicidad documental.
Sí. El artículo 2 del RD 311/2022 aplica a todo el sector público en los términos del artículo 2 de la Ley 40/2015, lo que incluye a ayuntamientos, diputaciones, cabildos, consejos insulares, mancomunidades y sus organismos autónomos. El Centro Criptológico Nacional ha publicado la guía CCN-STIC-883 específicamente para facilitar la adecuación en entidades locales, con anexos diferenciados según el tamaño del municipio, y el artículo 12.5 del propio Real Decreto permite que varios municipios compartan una política de seguridad común elaborada por su diputación provincial. Si tu empresa presta servicios a una entidad local de cualquier tamaño, el ENS te aplica igual que si trabajaras para la Administración General del Estado.
La auditoría inicial es la que da lugar a la primera declaración o certificación de conformidad, según la categoría del sistema. A partir de ahí, el artículo 31 del RD 311/2022 exige una auditoría regular ordinaria al menos cada dos años —con posibilidad de prórroga de tres meses por fuerza mayor— y una auditoría extraordinaria cada vez que el sistema sufra modificaciones sustanciales que afecten a sus medidas de seguridad. En sistemas de categoría alta, si la auditoría detecta deficiencias graves, el responsable del sistema puede suspender temporalmente el servicio hasta su corrección, y el CCN puede solicitar los informes de auditoría de cualquier entidad dentro del ámbito de aplicación.
Es la norma aprobada por el Real Decreto 311/2022, de 3 de mayo, que fija los principios y requisitos mínimos de seguridad de los sistemas de información del sector público español y de las entidades privadas que le prestan servicios. Si participas en licitaciones públicas, gestionas datos de ciudadanos por cuenta de una Administración o tu software corre en infraestructuras públicas, te aplica.
La adecuación al ENS desde el sistema de gestión se refuerza cuando se complementa con la implantación técnica de las medidas del Anexo II que ejecuta Summum Sistemas: análisis de riesgos MAGERIT/PILAR, hardening de sistemas, monitorización y preparación del paquete de evidencias técnicas. Juntos, los dos equipos cubren el plano documental-normativo y el plano técnico-operativo en un único proyecto coordinado.
La ISO 27001:2022 es una base sobre la que se puede apoyar la adecuación al ENS: cuando ya tienes la norma certificada o en camino, el gap hacia el ENS se concentra únicamente en los aspectos específicos de la norma española y el trabajo se reduce notablemente.
Ver servicio →calidadLa ISO 27701 extiende el SGSI al ámbito de la privacidad: cuando manejas datos personales de ciudadanos por cuenta de una Administración, integrar el ENS con la ISO 27701 cubre simultáneamente los requisitos de seguridad del ENS y los del RGPD en un único sistema de gestión.
Ver servicio →sistemasSummum Sistemas se encarga de la implantación técnica de las medidas del Anexo II del ENS: análisis de riesgos con MAGERIT y PILAR, hardening de sistemas operativos y servicios, monitorización de eventos de seguridad y preparación de evidencias técnicas para la auditoría de conformidad.
Ver servicio →