Cuando una organización se pregunta si «le aplica el ENS», en realidad está haciendo tres preguntas distintas que conviene separar: si está dentro del ámbito de aplicación del Real Decreto 311/2022, si tiene que acreditar la conformidad de algún sistema, y por qué vía debe hacerlo, declaración o certificación.
El Esquema Nacional de Seguridad obliga a todo el sector público. Y alcanza también a empresas privadas cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias y potestades administrativas.
Conviene fijar una idea antes de seguir: el ENS obliga a organizaciones, pero lo que se categoriza, se audita y se certifica son sistemas de información concretos y los servicios que soportan. Por eso la pregunta útil no es «¿mi empresa necesita ENS?», sino «¿qué sistema mío entra y con qué alcance?».
El ENS se aplica a todo el sector público
El artículo 2 del RD 311/2022 sitúa en el ámbito de aplicación a todo el sector público, en los términos de la Ley 40/2015. En la práctica incluye:
- Administración General del Estado;
- comunidades autónomas;
- entidades locales;
- organismos públicos y entidades de derecho público;
- universidades públicas;
- consorcios y fundaciones del sector público institucional.
Si tu organización forma parte de ese grupo, la pregunta abierta no es si el ENS aplica, sino cómo implantarlo, cómo categorizar cada sistema y cómo demostrar la conformidad.
¿Cuándo necesita ENS una empresa privada?
Aquí conviven dos errores opuestos: dar por hecho que cualquier contrato con la Administración obliga, y descartar la obligación sin comprobarla.
Vender algo a una Administración no basta. Lo que activa el ENS es que concurran a la vez los tres elementos del artículo 2.3: que exista relación contractual con una entidad del sector público, que la empresa preste un servicio o provea una solución, y que ese servicio o solución se utilice para que la entidad pública ejerza sus competencias y potestades administrativas.
El contrato y los pliegos son los que deciden
El RD 311/2022 establece que los pliegos de cláusulas administrativas y de prescripciones técnicas de los contratos del sector público deben contemplar los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en los que se sustentan los servicios prestados por los contratistas. Entre esos requisitos puede figurar la presentación de declaraciones o certificaciones de conformidad.
Por eso la mayoría de empresas descubre su situación cuando coinciden tres cosas: un servicio que entra en el ámbito, un sistema que soporta competencias públicas y un pliego que exige conformidad o evidencias. Las dos primeras deciden si el ENS aplica por norma; la tercera es cómo se entera casi todo el mundo, y además puede añadir exigencias propias por vía contractual aunque la norma no las imponga.
¿Qué perfiles deberían revisar su exposición al ENS?
No todos quedarán obligados en los mismos términos, pero estos cinco perfiles deberían revisarlo con prioridad.
1. Proveedores TIC del sector público
Empresas que desarrollan, mantienen, administran o soportan plataformas, aplicaciones, redes o infraestructuras para organismos públicos.
2. SaaS y proveedores de nube con clientes públicos
Si tu solución soporta procesos, expedientes, datos o servicios utilizados por una entidad pública, es muy probable que el ENS aparezca en el contrato, en los requisitos técnicos o en la fase de homologación. Ese caso lo desarrollamos en la guía de ENS para SaaS.
3. Consultoras e integradores
La exposición aparece sobre todo cuando implantan o mantienen sistemas de gestión de identidades, plataformas de monitorización, planes de continuidad, herramientas de tickets, gestión documental o tramitación electrónica al servicio de competencias públicas.
4. Externalización y servicios gestionados
Un SOC gestionado, la operación de sistemas, la mesa de servicio, la gestión documental o los servicios de continuidad pueden quedar dentro del ámbito si sostienen sistemas sometidos al ENS.
5. Contratistas con cadena de suministro relevante
El real decreto contempla que estas exigencias se extiendan a lo largo de la cadena de suministro del contratista, en la medida en que el análisis de riesgos del sistema lo justifique. Quien determina ese alcance es el responsable del sistema, no el proveedor, así que conviene mantener un inventario de terceros que identifique qué proveedor interviene en qué sistema, apoyado en una gestión del riesgo de terceros que lo mantenga vivo.
¿Quién no debería dar por hecho que está dentro?
El error contrario también existe, y sale caro. La obligación no nace de forma automática: hace falta que concurran los elementos del artículo 2.3. Conviene analizar con detalle situaciones como suministros que nunca se conectan al sistema, servicios auxiliares sin impacto real sobre el sistema de información, relaciones comerciales en las que no se soportan competencias públicas, o colaboraciones en las que ni el contrato ni el análisis de riesgos activan exigencias del ENS.
En estos casos la respuesta rara vez es un sí o un no rotundos: depende de lo que digan el contrato, el pliego, el sistema afectado, el servicio prestado y el análisis de riesgos.
Señales de que probablemente sí estás dentro
- Prestas a una Administración un servicio del que depende un trámite, un expediente o una resolución.
- El pliego menciona ENS, conformidad, declaración o certificación.
- Tu sistema trata información o presta un servicio para una entidad pública.
- Eres proveedor TIC o integrador, o prestas SaaS o servicios gestionados al sector público.
- Un cliente público te pide evidencias de seguridad, categorización o un plan de adecuación.
- Estás en una cadena de suministro donde el contratista principal necesita demostrar conformidad.
¿Declaración o certificación de conformidad?
Esta es la parte que más presupuestos desvía, porque no son intercambiables y la elección no es libre: la vía la fija la categoría del sistema.
Los sistemas de categoría básica pueden acreditar su conformidad mediante una declaración, basada en una autoevaluación de la propia organización. Los sistemas de categoría media —el «nivel medio» del que habla el mercado— y los de categoría alta necesitan certificación, que exige una auditoría realizada por una entidad de certificación acreditada por ENAC. En ambos casos la conformidad se revisa de forma periódica, al menos cada dos años.
| Categoría del sistema | Cómo se acredita | Quién lo verifica |
|---|---|---|
| Básica | Declaración de conformidad | La propia organización, mediante autoevaluación |
| Media | Certificación de conformidad | Entidad de certificación acreditada por ENAC |
| Alta | Certificación de conformidad | Entidad de certificación acreditada por ENAC |
En los tres casos la conformidad se somete a revisión periódica, al menos cada dos años. Un pliego puede exigir certificación aunque la categoría admitiera declaración: manda lo que pida el contrato.
ENS, ISO 27001 y NIS2 no son lo mismo
Otra duda frecuente es pensar que tener ISO 27001 equivale a cumplir el ENS. La norma internacional aporta estructura de gobierno, gestión de riesgos, controles, evidencias y mejora continua, y buena parte de ese trabajo se reutiliza. Pero el ENS tiene su propio ámbito, principios, medidas y método de categorización, y la conformidad se evalúa conforme a ellos.
Lo mismo ocurre con NIS2: hay sinergias y evidencias compartidas, aunque conviene no confundir marcos. Si te toca lidiar con varios a la vez, la comparativa entre ENS, ISO 27001, NIS2 y DORA sitúa dónde se solapan.
Qué hacer si crees que el ENS puede aplicarte
- Revisar el contrato y los pliegos, buscando menciones a ENS, conformidad, declaración, certificación, categorización o requisitos de seguridad.
- Delimitar el sistema afectado. No todo tu negocio entra necesariamente: hay que identificar qué sistema, servicio, datos, activos y terceros están implicados.
- Confirmar el encaje jurídico y operativo, en particular si el servicio se presta para el ejercicio de competencias y potestades administrativas.
- Medir con honestidad la distancia entre lo que exige el ENS y lo que ya tienes, antes de hablar de auditoría.
- Planificar la adecuación con responsables asignados, medidas priorizadas, dependencias identificadas, evidencias definidas y un calendario que puedas defender ante un auditor.
Resumiendo el criterio
Si tu sistema soporta el ejercicio de una competencia o potestad administrativa y existe una relación contractual con la entidad pública, estás dentro. Si solo hay una relación comercial que no toca ese sistema, no lo estás automáticamente, aunque el pliego puede exigírtelo por vía contractual.
Si eres proveedor tecnológico, adjudicatario, integrador o prestas SaaS y servicios gestionados al sector público, el momento de revisarlo no es cuando aparece la licitación con fecha de cierre. La revisión mínima es siempre la misma: contrato, pliegos, sistema afectado y punto de partida. Es el trabajo que hacemos en nuestro servicio de adecuación al ENS, que abordamos desde la experiencia de estar certificados en categoría alta conforme al RD 311/2022.
Este artículo resume el marco establecido por el Real Decreto 311/2022 y tiene finalidad informativa. La aplicabilidad depende del contrato, del sistema y del análisis de riesgos concretos, y conviene confirmarla con asesoramiento jurídico antes de tomar decisiones.
