El Esquema Nacional de Seguridad es la norma española que fija la seguridad mínima de los sistemas que gestionan información o servicios del sector público. También se aplica a las empresas que trabajan para él. Si vendes servicios a una administración, es probable que te pidan cumplirlo. Desde Enthec te explicamos qué es, a quién afecta y qué te toca hacer.
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el conjunto de principios y requisitos mínimos para proteger la información y los servicios electrónicos de las administraciones. Lo regula el Real Decreto 311/2022, publicado en el BOE el 4 de mayo de 2022, que sustituyó al Real Decreto 3/2010. El Centro Criptológico Nacional (CCN) lo desarrolla con sus guías CCN-STIC.
¿A quién obliga el cumplimiento del Esquema Nacional de Seguridad?
Obliga a todo el sector público, pero también a las empresas privadas que prestan servicios o proveen soluciones a una administración. Esta exigencia puede llegar hasta los propios proveedores de las empresas privadas si el análisis de riesgos lo justifica.
Te puede interesar-> NIS 2: ¿Cómo afecta a las empresas y qué medidas tomar para cumplir con la normativa?
¿Cuáles son los principios básicos del Esquema Nacional de Seguridad?
El artículo 5 fija siete principios básicos, que son la brújula de todo lo demás:
- Seguridad como proceso integral: personas, tecnología y organización a la vez, sin parches puntuales.
- Gestión basada en riesgos: se analiza qué puede fallar y se revisa de forma continua.
- Prevención, detección, respuesta y conservación: la prioridad es evitar los incidentes, detectarlos y recuperar el servicio.
- Líneas de defensa: varias capas, de modo que si una cae, las demás aguantan.
- Vigilancia continua: detectar comportamientos anómalos y responder a tiempo.
- Reevaluación periódica: actualizar las medidas conforme cambien los riesgos.
- Diferenciación de responsabilidades.
¿Qué niveles tiene el Esquema Nacional de Seguridad?
Tiene tres categorías de sistema: básica, media y alta. Para asignarla, se valora el impacto de un incidente en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
Cada dimensión recibe un nivel (bajo, medio o alto), y la categoría final del sistema vendrá determinada por la dimensión que haya obtenido la valoración más alta. Esta evaluación se revisa periódicamente o cuando el sistema sufre un cambio importante.
| Categoría | Cuándo se asigna | Cómo se demuestra la conformidad |
| Básica | Un incidente causaría un perjuicio limitado | Autoevaluación y declaración de conformidad |
| Media | El perjuicio sería grave | Auditoría de certificación |
| Alta | El perjuicio sería muy grave | Auditoría de certificación; ante fallos graves se puede suspender el servicio |
¿Qué exige el cumplimiento del Esquema Nacional de Seguridad en la práctica?
Exige una política de seguridad, un análisis de riesgos y las medidas del Anexo II acordes con cada categoría. Estos son los puntos críticos habituales en las auditorías:
- Política de seguridad aprobada por el máximo órgano ejecutivo de la empresa.
- Responsables diferenciados: el equipo de seguridad no puede depender jerárquicamente del de sistemas, salvo excepciones justificadas.
- Declaración de aplicabilidad: la lista de medidas que se aplican, firmada por el responsable de seguridad.
- Gestión de incidentes: los proveedores privados los notifican al INCIBE-CERT.
- Auditoría cada dos años: y otra extraordinaria si el sistema cambia de forma sustancial.
En junio de 2026, el CCN actualizó cuatro guías de la serie 800 y eliminó los distintivos del decreto antiguo.
¿Cómo se cumple la vigilancia continua que pide el ENS?
Demasiadas empresas tratan el ENS como un examen cada dos años, pero el propio decreto apunta a lo contrario. Su artículo 6 excluye las actuaciones puntuales y el artículo 10 incide en la vigilancia continua y evaluación permanente de los activos para detectar vulnerabilidades. El artículo 8 habla incluso de reducir la superficie de exposición.
Eso es, en esencia, la Gestión Continua de la Exposición a Amenazas. Funciona como un ciclo de cinco fases: delimitar, descubrir, priorizar, validar y movilizar.
Aquí encajan las soluciones de Enthec. Kartos vigila tu empresa desde fuera del perímetro. Rastrea la web, la deep web y la dark web en busca de información filtrada y vulnerabilidades expuestas, lo mismo que vería un atacante. Qondar aplica la misma lógica a las personas: qué datos suyos circulan y qué riesgo suponen.
¿Quieres saber qué ve un atacante de tu empresa antes de tu próxima auditoría?
Preguntas frecuentes sobre el Esquema Nacional de Seguridad
¿Es obligatorio el ENS para todas las empresas?
No. Es obligatorio para el sector público y para los proveedores que le prestan servicios cuando el contrato lo exige. Si no trabajas con administraciones, no te obliga, aunque puedes adoptarlo como buena práctica.
¿Qué diferencia hay entre declaración y certificación de conformidad?
La declaración es una autoevaluación y sirve para sistemas de categoría básica. La certificación exige una auditoría externa y es obligatoria en las categorías media y alta.
¿Cada cuánto hay que auditar un sistema?
Como mínimo cada dos años. Si el sistema cambia de forma sustancial, hace falta además una auditoría extraordinaria.
¿Cumplir el ENS equivale a cumplir el RGPD?
No. El ENS protege los sistemas y el RGPD protege los datos personales. Si tu sistema trata datos personales, se aplican los dos y prevalecen las medidas más exigentes que salgan del análisis de riesgos.
¿Qué pasa si no cumplo el ENS?
Lo más probable es que quedes fuera de la licitación o pierdas el contrato, porque el pliego exige la conformidad. Si además hay una brecha con datos personales, se aplica el RGPD. Consulta tu caso con un asesor.
