Si tu empresa quiere trabajar con la Administración Pública en España — ya sea como proveedor tecnológico, consultor o prestador de servicios — hay un requisito que no puedes ignorar: el Esquema Nacional de Seguridad (ENS). No es una recomendación. Es una obligación legal.
¿Qué es el ENS?
El Esquema Nacional de Seguridad es el marco normativo que establece los principios, requisitos y medidas de seguridad que deben cumplir los sistemas de información utilizados por el sector público y, por extensión, todas las empresas que prestan servicios o gestionan datos para la Administración.
Fue creado por el Real Decreto 311/2022 (que actualizó el anterior RD 3/2010) y es de obligado cumplimiento. Su objetivo es garantizar un nivel adecuado de protección de la información y los servicios electrónicos.
¿Quién necesita el ENS?
Contrariamente a lo que muchos creen, el ENS no afecta solo a los organismos públicos. También es obligatorio para:
Proveedores tecnológicos que presten servicios a cualquier administración (estatal, autonómica o local). Empresas que gestionen datos del sector público, incluyendo procesamiento, almacenamiento o transmisión. Cualquier organización que aspire a licitaciones públicas, donde la certificación ENS se ha convertido en un requisito cada vez más habitual en los pliegos.
En la práctica, si quieres participar en el ecosistema de la contratación pública, necesitas el ENS. Sin él, quedas fuera de un mercado que mueve miles de millones de euros al año en España.
Los tres niveles del ENS
El ENS clasifica los sistemas de información en tres categorías según el impacto que tendría un incidente de seguridad:
Nivel Bajo
Se aplica cuando un incidente de seguridad tendría un impacto limitado sobre los servicios o la información. Es el punto de partida para la mayoría de empresas que comienzan su relación con la Administración. Requiere medidas de seguridad fundamentales: control de acceso básico, gestión de incidentes, copias de seguridad y protección contra malware.
Nivel Medio
Para sistemas donde un incidente tendría un impacto grave. Añade requisitos más exigentes: segregación de funciones, auditoría interna periódica, cifrado de comunicaciones, gestión de vulnerabilidades y planes de continuidad de negocio. Es el nivel habitual para proveedores que manejan datos sensibles de ciudadanos.
Nivel Alto
Se reserva para sistemas donde un incidente tendría un impacto muy grave o podría comprometer infraestructuras críticas. Exige las máximas garantías: monitorización continua, análisis forense, pruebas de penetración periódicas, redundancia completa de sistemas y cifrado extremo a extremo. Lo necesitan empresas que trabajan con defensa, seguridad del estado o infraestructuras estratégicas.
¿Cómo se obtiene la certificación ENS?
El proceso de certificación implica varias fases:
1. Análisis inicial: Se evalúa el estado actual de la organización frente a los requisitos del ENS. Se identifican las brechas (gap analysis) entre lo que tienes y lo que necesitas.
2. Plan de adecuación: Se definen las medidas técnicas, organizativas y procedimentales necesarias para alcanzar el nivel objetivo. Esto incluye políticas de seguridad, controles técnicos y formación del personal.
3. Implementación: Se despliegan las medidas definidas. Aquí es donde la tecnología juega un papel fundamental: Microsoft 365 con Defender, Intune y Purview cubre una parte significativa de los controles técnicos exigidos por el ENS.
4. Auditoría: Una entidad acreditada realiza la auditoría de certificación, verificando que todos los controles están implementados y funcionan correctamente.
5. Certificación: Si la auditoría es favorable, se obtiene la certificación oficial, que debe renovarse periódicamente.
El ENS y Microsoft 365
Una de las grandes ventajas de trabajar con Microsoft 365 es que muchos de sus servicios ya están certificados en ENS nivel Alto. Microsoft Azure, Microsoft 365 y Dynamics 365 cuentan con la certificación ENS de nivel Alto desde hace años, lo que significa que la infraestructura base sobre la que trabajas ya cumple con los requisitos más exigentes.
Esto no te exime de certificar tu organización, pero simplifica enormemente el proceso: si tus datos están en Microsoft 365, la parte de infraestructura ya está cubierta. Lo que necesitas certificar es cómo tu organización gestiona, accede y protege esos datos.
ENS e ISO 27001: ¿son lo mismo?
No, pero son complementarios. La ISO 27001 es un estándar internacional de gestión de seguridad de la información, mientras que el ENS es normativa española específica para el sector público. Sin embargo, hay una gran superposición: muchas de las medidas exigidas por el ENS coinciden con los controles del Anexo A de la ISO 27001.
Por eso, muchas empresas optan por implementar ambas certificaciones en paralelo. Si ya tienes ISO 27001, una buena parte del camino hacia el ENS ya está recorrida, y viceversa.
¿Necesitas certificarte en ENS o ISO 27001?
Te acompañamos en todo el proceso: desde el gap analysis inicial hasta la auditoría de certificación.
Solicitar informaciónConclusión
El ENS no es un trámite burocrático: es la puerta de entrada al mercado público español. Con los tres niveles (Bajo, Medio y Alto) existe una ruta gradual que permite a empresas de cualquier tamaño comenzar el camino hacia la certificación. Y con Microsoft 365 como base tecnológica, el proceso es más ágil de lo que muchos creen.
Referencias
- Real Decreto 311/2022, de 3 de mayo, Esquema Nacional de Seguridad — BOE-A-2022-7191
- Centro Criptológico Nacional (CCN-CERT) — Guías de Seguridad CCN-STIC
- Microsoft Trust Center — Certificaciones de cumplimiento ENS
- Plataforma de Contratación del Sector Público — contrataciondelestado.es