Vas a presentarte a un concurso público, abres el pliego y ahí está: se exige acreditar el cumplimiento del Esquema Nacional de Seguridad. Sin eso, la oferta no entra. La certificación ENS se ha convertido en el filtro que decide quién puede trabajar con la Administración, y a muchas empresas les pilla con dos semanas de plazo.
Certificación ENS: qué es y a quién obliga
Qué es la certificación ENS
El Esquema Nacional de Seguridad es la norma española que fija las medidas de seguridad que deben cumplir los sistemas que tratan información del sector público. Está recogido en el Real Decreto 311/2022 y su cumplimiento no es opcional.
La certificación ENS es la forma de acreditarlo: una entidad acreditada audita tus sistemas y emite una declaración o un certificado de conformidad, según la categoría que te corresponda.
La diferencia con otras normas está en el origen de la obligación. Aquí no te certificas porque un cliente lo pida como preferencia: te alcanza porque lo dice una norma, en cuanto prestas servicios a una administración pública.
Quién está obligado
Hay dos grupos, y el segundo es el que sorprende a más empresas.
- El propio sector público. Administración General del Estado, comunidades autónomas, ayuntamientos y entidades de derecho público.
- Las empresas privadas que les prestan servicios cuando esos servicios afectan a sus sistemas de información. Si desarrollas una aplicación para un ayuntamiento, alojas datos de una consejería o das mantenimiento informático a un organismo, entras.
Ese segundo punto es el que convierte al ENS en un asunto comercial. No se trata solo de cumplir una norma: se trata de poder presentarse a los concursos donde está el cliente.
Las tres categorías: básica, media y alta
No todos los sistemas se auditan con la misma exigencia. La categoría sale de valorar el impacto que tendría un incidente sobre cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
Categoría básica. El impacto de un fallo sería limitado. Se acredita mediante una declaración de conformidad, sin auditoría externa obligatoria.
Categoría media. El perjuicio sería grave. Exige auditoría de una entidad acreditada y certificado de conformidad.
Categoría alta. El perjuicio sería muy grave. Mismo procedimiento que la media, con un catálogo de medidas más exigente y controles adicionales.
La categoría no la elige la empresa a conveniencia: sale del análisis de riesgos y del tipo de información que se maneja. Intentar bajarla artificialmente es el camino corto a que la auditoría no salga.
Cómo se obtiene y qué cuesta
Cómo se obtiene, paso a paso
- Delimitar el alcance. Qué sistemas y qué servicios entran. Certificar toda la empresa cuando solo un servicio toca datos públicos es alargar el proyecto sin motivo.
- Categorizar el sistema. Valorar las cinco dimensiones y determinar si es básico, medio o alto.
- Análisis de riesgos y declaración de aplicabilidad. Qué medidas del anexo aplican, cuáles no y por qué.
- Implantar lo que falte. Aquí es donde aparece el trabajo real: control de accesos, registro de actividad, copias verificadas, gestión de incidentes, formación.
- Auditoría interna. Comprobar antes que las evidencias existen y están ordenadas.
- Auditoría de certificación por una entidad acreditada, y publicación del distintivo de conformidad.
En una empresa mediana que parte con los deberes a medio hacer, entre cuatro y ocho meses es un plazo realista para categoría media. Lo que más tarda es reunir evidencias: el auditor no pregunta si tienes copias de seguridad, pide los registros de los últimos meses.
El error que más proyectos retrasa es empezar dos semanas antes de presentar la oferta. Las evidencias no se pueden fabricar hacia atrás: o llevan meses generándose, o no están.
¿Necesitas el ENS para un concurso y no sabes en qué categoría estás? Hacemos la revisión previa y te decimos qué falta y cuánto tiempo pide.
Qué cuesta y cómo se mantiene
Las partidas son tres, igual que en otras certificaciones: la consultoría que prepara el sistema, la auditoría de la entidad acreditada y las medidas técnicas que haya que implantar.
La tercera es la que más varía. Una empresa que ya tiene control de accesos, copias verificadas y registro de actividad llega bastante entera; una que no los tiene se encuentra con que buena parte del presupuesto se va ahí, no en el papeleo.
La conformidad tiene además vigencia limitada y hay que renovarla, con auditorías periódicas. Y hay un detalle que conviene tener presente: si cambias de proveedor de sistemas a mitad de camino, las evidencias se resienten. Por eso este trabajo encaja mejor dentro de una relación estable de consultoría informática que como encargo suelto.
¿Cuánto cuesta la certificación ENS?
Depende de la categoría, del alcance y, sobre todo, de cuánto falte por implantar. Las partidas son tres: consultoría, auditoría de la entidad acreditada y medidas técnicas pendientes. Esta última es la que más varía entre unas empresas y otras.
¿Cuánto se tarda en obtenerla?
Entre cuatro y ocho meses para categoría media en una empresa que parte con parte del trabajo hecho. El plazo lo marca la generación de evidencias: registros, revisiones y actuaciones que el auditor necesita ver a lo largo de varios meses.
6 semanas
es lo que ha llevado la adecuación al ENS en los 10 proyectos que hemos realizado.
Fuente: departamento técnico de Sale Systems, octubre de 2026.
Qué exige el ENS en la práctica
ENS e ISO 27001: se aprovechan entre sí
Son normas distintas —una obligatoria y española, otra voluntaria e internacional— pero comparten buena parte del fondo: análisis de riesgos, control de accesos, gestión de incidentes, continuidad y trazabilidad.
Una empresa certificada en ISO 27001 tiene ya montado el esqueleto que pide el ENS, y al revés. Si sabes que vas a necesitar las dos, la forma barata es plantearlas como un único proyecto con dos salidas, no como dos proyectos consecutivos con dos consultorías distintas.
Tienes el proceso completo, los plazos y lo que revisa el auditor en la guía sobre la certificación ISO 27001.
Qué medidas exige en la práctica
El anexo del reglamento organiza las medidas en tres marcos, y traducidos al día a día de una empresa quedan así.
Marco organizativo. La política de seguridad firmada por la dirección, la normativa interna, los procedimientos y el proceso de autorización de lo que se incorpora al sistema. Es la parte que exige decisiones, no herramientas.
Marco operacional. El grueso del trabajo: planificación, control de accesos, explotación de los sistemas, servicios externos, continuidad y monitorización. Aquí entran cosas concretas como el inventario de activos, la gestión de cambios, la protección frente a código dañino y el registro de la actividad.
Medidas de protección. Instalaciones, personal, equipos, comunicaciones, soportes de información, aplicaciones y servicios. Desde quién entra en la sala donde está el servidor hasta cómo se destruye un disco viejo.
- Control de accesos. Cada persona con su cuenta, permisos por función y revisión periódica de quién tiene qué.
- Registro de actividad. Que quede constancia de los accesos y de las acciones relevantes, conservada el tiempo que marque la categoría.
- Copias de seguridad probadas. Con restauraciones de ensayo documentadas, no solo programadas.
- Gestión de incidentes. Un procedimiento escrito, un responsable y un registro de lo ocurrido.
- Continuidad. Qué se hace si el sistema principal deja de estar disponible, y cada cuánto se prueba.
Cuando el obligado eres tú como proveedor
El ENS cuando eres el proveedor, no la administración
Este es el caso de la mayoría de las empresas que nos preguntan, y tiene sus propias reglas.
Tu obligación no cubre necesariamente toda tu compañía: cubre los sistemas con los que prestas ese servicio. Si desarrollas una aplicación para un organismo, el alcance es el entorno donde se desarrolla, se prueba y se aloja, más los accesos de tu equipo.
Eso permite acotar mucho el proyecto, y es la diferencia entre una certificación asumible y una que se come el año. Ahora bien, hay dos cosas que el pliego suele exigir aunque el alcance sea pequeño: que el personal que toca esos sistemas esté formado y que los subcontratistas cumplan lo mismo que tú. Si a su vez subcontratas el alojamiento, tu proveedor tiene que estar en regla.
Conviene además revisar el pliego con calma antes de dar por hecho qué te piden. No es lo mismo exigir conformidad con el ENS que exigir certificado de conformidad de categoría media emitido por entidad acreditada. La primera puede resolverse con una declaración; la segunda no.
Antes de presupuestar nada, hay que leer qué pide exactamente el pliego: categoría, alcance y si acepta declaración o exige certificado. Esas tres líneas cambian el proyecto entero.
Qué pide el pliego y qué pides tú al proveedor
Si tu empresa subcontrata parte del servicio, la conformidad depende también de terceros. Conviene trasladarles por contrato lo mismo que te exigen a ti, y con el mismo detalle.
- Acreditación de conformidad del proveedor para la parte que presta, con su categoría y su alcance.
- Obligación de notificar incidentes en un plazo concreto, no cuando les venga bien.
- Registro de accesos de su personal a tus sistemas, con nombre y fecha.
- Devolución y borrado de la información al terminar el contrato, con constancia por escrito.
- Derecho de auditoría, aunque no llegues a ejercerlo nunca. Su ausencia deja un hueco que el auditor señala.
Errores que dejan fuera de un concurso
Empezar cuando sale el anuncio. Es el error caro. Entre categorizar, implantar y generar evidencias hay meses, y ninguna consultoría los comprime a dos semanas.
Confundir tener medidas con poder demostrarlas. Muchas empresas hacen copias, controlan accesos y actualizan sistemas. Lo que no tienen es registro de nada de eso, y sin registro no hay conformidad.
Un alcance mal definido. Demasiado ancho encarece y alarga; demasiado estrecho hace que el pliego lo rechace por no cubrir el servicio contratado.
Olvidar a los proveedores. Si el alojamiento, el correo o el soporte los presta un tercero, ese tercero forma parte de tu cadena y tiene que estar en regla.
Dejarlo morir tras la auditoría. La conformidad se mantiene con revisiones periódicas. Un sistema abandonado se cae en la siguiente auditoría, y ahí ya no hay margen: el contrato está firmado y en juego.
Quién hace qué dentro de la empresa
El reglamento reparte responsabilidades, y en las empresas pequeñas eso genera dudas legítimas: ¿hacen falta cuatro figuras distintas cuando somos quince?
La norma diferencia varios papeles. El responsable de la información decide qué nivel de exigencia requiere cada tipo de datos. El responsable del servicio determina qué disponibilidad necesita el servicio prestado. El responsable de seguridad vela por que se cumplan las medidas y reporta a la dirección. Y el responsable del sistema se ocupa de la operación del día a día.
En una organización pequeña, varias de esas funciones pueden recaer en la misma persona, con una condición que sí es firme: quien opera el sistema no debe ser quien supervisa que está bien operado. Esa separación entre hacer y comprobar es lo que el auditor mira, más que el número de nombres en el organigrama.
Cuando la parte técnica está externalizada —que es lo normal—, el reparto habitual funciona así: la empresa mantiene la responsabilidad de la información, del servicio y de la seguridad, y el proveedor asume la operación del sistema con obligaciones concretas por contrato. Lo que no puede ocurrir es que el proveedor sea a la vez quien opera y quien certifica que todo va bien.
Escribir ese reparto y firmarlo es uno de los primeros documentos del proyecto. Cuesta una reunión y evita la discusión de después, cuando hay un incidente y no está claro a quién le tocaba avisar.
El ENS tiene una particularidad que lo diferencia de casi todo lo demás en seguridad informática: aquí el plazo no lo pones tú, lo pone el pliego. Y las evidencias que pide el auditor no se pueden generar hacia atrás.
Por eso la recomendación es siempre la misma para una empresa que quiera trabajar con la Administración: empezar antes de que salga el concurso al que quieres presentarte, no cuando ya está publicado. Categorizar, ver qué falta y poner en marcha las medidas cuesta meses, pero se hace una vez y abre la puerta a todos los concursos siguientes.
Y hay un beneficio lateral que conviene no despreciar: casi todo lo que exige el ENS es lo que cualquier empresa debería tener aunque nadie se lo pidiera. Accesos controlados, copias que se restauran de verdad, incidentes registrados y personal formado. El certificado es el papel; lo que queda dentro es una empresa que aguanta mejor un mal día.
Preguntas frecuentes sobre la certificación ENS
Es el documento que acredita que los sistemas de una organización cumplen el Esquema Nacional de Seguridad, la norma española recogida en el Real Decreto 311/2022. Lo emite una entidad acreditada tras auditar los sistemas, y en categoría básica puede sustituirse por una declaración de conformidad.
Todo el sector público y, además, las empresas privadas que le prestan servicios que afectan a sus sistemas de información: desarrollo de aplicaciones, alojamiento de datos, mantenimiento informático o soporte. Es habitual que el pliego del concurso lo exija como requisito para presentarse.
No. El ENS es obligatorio, español y aplica a los sistemas relacionados con el sector público; la ISO 27001 es voluntaria e internacional. Comparten gran parte de las medidas, así que quien tiene una avanza mucho camino para la otra.
¿Te lo piden en un pliego y no sabes por dónde empezar?
Miramos qué categoría te corresponde, qué tienes ya cubierto y qué falta. Con un calendario realista, no con la fecha del concurso como único plan.
Cuéntanos qué te exigen Sin compromiso · Respuesta en menos de 24 h
