ENS

El ENS lo regula el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE del 4 de mayo de 2022 y en vigor desde el día siguiente, que derogó el Real Decreto 3/2010 con el que el esquema había nacido. Obliga a todo el sector público en los términos del artículo 2 de la Ley 40/2015 y, por su artículo 2.3, a las entidades privadas que en virtud de una relación contractual prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias y potestades administrativas.

El mecanismo tiene tres pasos. Se valoran la información y los servicios en cinco dimensiones de seguridad, no en las tres de la tríada clásica: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada se adscribe a un nivel BAJO, MEDIO o ALTO según el perjuicio sea limitado, grave o muy grave, y la que no se ve afectada no recibe nivel. De ahí sale la categoría del sistema: ALTA si alguna dimensión llega a ALTO, MEDIA si alguna llega a MEDIO, BÁSICA si ninguna pasa de BAJO. Valoran los responsables de la información y de los servicios; la categoría la determina el responsable de la seguridad.

La categoría decide qué hay que implantar. El Anexo II contiene setenta y tres medidas en tres grupos: marco organizativo, marco operacional y medidas de protección, exigibles por el nivel de una o varias dimensiones o por la categoría, con refuerzos que se suman a los requisitos base. La selección se formaliza en la Declaración de Aplicabilidad, que firma el responsable de la seguridad: son mínimos ampliables, y solo se reemplazan por medidas compensatorias si se justifica documentalmente que protegen igual o mejor.

La conformidad se acredita según la categoría (artículo 38.1): los sistemas MEDIA o ALTA precisan una auditoría para certificarla, y a los BÁSICA les basta con autoevaluarse y declararla, sin perjuicio de que puedan certificarse voluntariamente. Certifican las entidades acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012 y los órganos de auditoría técnica del ENS.

El fallo recurrente es tratar el ENS como un ejercicio documental: políticas que describen las medidas exigidas sin implantarlas ni probarlas. Un sistema de categoría MEDIA o ALTA tiene que cumplir de verdad lo que le toca, del bastionado al registro de actividad y al control de acceso, y conservar evidencia de que opera. Desde el lado del atacante, los sistemas interesantes son justo los certificados sobre el papel y bastionados a una realidad mucho más baja.

El segundo fallo está en la categorización, donde se decide el presupuesto entero. Bajar una dimensión de MEDIO a BAJO cambia la vía de conformidad, el número de medidas y el coste, así que la presión para valorar a la baja es constante y recae sobre las dimensiones que el ENS añade a la tríada clásica: trazabilidad y autenticidad. Una valoración firmada por quien no responde de esa información es el hallazgo que aparece años después, con un sistema entero encima.

El tercero llega por contrato. El artículo 2.3 exige que los pliegos del sector público contemplen los requisitos para asegurar la conformidad con el ENS de los sistemas que sustenten los servicios del contratista, y menciona expresamente las declaraciones o certificaciones; la cautela alcanza a su cadena de suministro. El proveedor suele descubrirlo al leer la licitación, y el plazo de adecuación es entonces el que quede hasta la fecha de presentación.

El cuarto es tratar la conformidad como un estado permanente. El Anexo I obliga a reevaluar la categoría cada año o cuando cambien de forma significativa sus criterios, y la auditoría extraordinaria se dispara ante modificaciones sustanciales. Entretanto, una migración a la nube deja obsoleta una Declaración de Aplicabilidad que sigue firmada.

Es habitual tener los tres encima y que tres interlocutores digan que el suyo es el prioritario. Se parecen en la sustancia de los controles y se diferencian en la forma jurídica.

Conviene construir un solo conjunto de controles y mapearlo tres veces: la evidencia es reutilizable en buena parte. El ENS es el que menos margen deja: en ISO 27001 la organización delimita el alcance de su sistema de gestión y justifica lo que excluye, mientras que aquí la lista de medidas la fija la categoría. Un certificado de ISO 27001 no sustituye a la conformidad con el ENS, ni esa conformidad responde por sí sola a NIS2.

Contar tres dimensiones en lugar de cinco. La trazabilidad y la autenticidad son dimensiones propias del ENS, y las que se quedan sin medidas cuando alguien traslada la tríada clásica al Anexo I.

Confundir la categoría del sistema con el nivel de sus dimensiones. La categoría no altera el nivel de las dimensiones que no intervinieron en determinarla, y las medidas se exigen por las dos vías.

Dar por supuesto que todo proveedor del sector público necesita certificarse. El artículo 2.3 exige que los pliegos contemplen los requisitos; qué se pide y con qué alcance lo fija cada pliego a partir de su análisis de riesgos.

Firmar una Declaración de Aplicabilidad sin evidencias detrás. Es el documento sobre el que se estructura la auditoría: una medida marcada como implantada sin nada que lo demuestre es un hallazgo servido.

Usar las medidas compensatorias como atajo. Exigen justificación documental, correspondencia detallada con las medidas del Anexo II y aprobación formal del responsable de la seguridad.

Empieza por la valoración, no por las medidas. Identifica quién responde de cada información y de cada servicio, valora las cinco dimensiones con esa firma detrás y anota el razonamiento: de esa decisión cuelgan la categoría, las medidas y el coste.

Comprueba antes de diseñar nada si existe un perfil de cumplimiento específico para tu caso: el artículo 30 los prevé en virtud del principio de proporcionalidad y el CCN los valida y publica. Hay perfiles para entidades locales según su tamaño (guías CCN-STIC 883A a 883D, de los ayuntamientos de menos de 5.000 habitantes a las diputaciones, cabildos y consejos insulares) y la guía CCN-STIC 890, actualizada en julio de 2025, que con treinta y ocho medidas facilita la certificación en categoría BÁSICA, con un carácter transitorio que el propio CCN subraya. Las guías CCN-STIC son además las que traducen el marco en requisitos concretos de configuración y de proceso.

Separa los roles desde el principio. El artículo 11 diferencia al responsable de la información, al del servicio, al de la seguridad y al del sistema, y exige que la responsabilidad de la seguridad esté separada de la explotación de los sistemas. Y prepara antes de necesitarla la notificación al CCN de los incidentes con impacto significativo que impone el artículo 33.2, porque saber por qué canal y con qué datos se hace es un ensayo, no una lectura.

Prueba las medidas antes de que las mire nadie. Un pentest con el alcance ajustado a la categoría del sistema, con su retest, produce la evidencia que sostiene una medida marcada como implantada.

El ENS es un marco, no una prueba: dice qué tiene que cumplirse, no si se cumple en un sistema concreto. La auditoría se estructura sobre la Declaración de Aplicabilidad y comprueba, medida a medida, si lo declarado existe y funciona. Sus criterios los fija la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información (Resolución de 27 de marzo de 2018); la de conformidad (Resolución de 13 de octubre de 2016) sigue vigente, aunque su texto remite al derogado Real Decreto 3/2010 y el CCN la da por pendiente de actualización.

Lo que un auditor acepta como prueba no es una afirmación, es una evidencia: configuraciones, registros, resultados de pruebas y el rastro de lo que se corrigió. En categoría BÁSICA la reúne la autoevaluación, que hace el personal que administra el sistema o quien este delegue. En categoría ALTA sube el tono: el artículo 31.6 permite al responsable del sistema suspender temporalmente el servicio, o la operación completa, a la vista del dictamen de auditoría.

Nosotros no implantamos el ENS ni emitimos certificados, y lo decimos. Aportamos la evidencia técnica: cada hallazgo relacionado con la medida del Anexo II a la que afecta y con la dimensión que la exige, con su severidad razonada y el resultado del retest. Es parte de las pruebas que producen la evidencia que acepta un auditor de ENS.

¿Quién está obligado a cumplir el ENS? Todo el sector público en los términos del artículo 2 de la Ley 40/2015 y, por el artículo 2.3, las entidades privadas que le prestan servicios o le proveen soluciones en virtud de una relación contractual. Los pliegos de cada contrato concretan qué se exige al contratista.

¿Qué diferencia hay entre las categorías BÁSICA, MEDIA y ALTA? La categoría sale del nivel más alto que alcance cualquiera de las cinco dimensiones, y determina las medidas exigibles y la vía de conformidad: los sistemas MEDIA y ALTA necesitan auditoría para certificarse, y los BÁSICA declaran su conformidad mediante autoevaluación.

¿Cada cuánto hay que auditar y cuánto dura la certificación? La auditoría ordinaria es al menos cada dos años, con una extraordinaria ante modificaciones sustanciales que reinicia ese cómputo y una extensión de hasta tres meses por fuerza mayor. La renovación de la certificación no puede superar los dos años naturales desde la inicial.

¿Qué pasa si no se cumple el ENS? El Real Decreto 311/2022 no establece un régimen sancionador propio. La consecuencia llega por otras vías: la conformidad hay que publicarla en el portal o la sede electrónica, los pliegos la exigen para contratar, y en categoría ALTA el responsable puede suspender el servicio.