ENS (Esquema Nacional de Seguridad): guía práctica para proyectos IT

Cada vez que una empresa entra a trabajar con la Administración pública española, aparece tarde o temprano la misma pregunta en la sala: ¿cumplimos el Esquema Nacional de Seguridad? En los proyectos que he dirigido para administración pública, banca y seguros, he visto cómo el ENS pasa de ser una sigla incómoda en un pliego a convertirse en el factor que decide si un proyecto sale adelante o se queda atascado en una auditoría. En este artículo te cuento, desde la trinchera, qué es el ENS, a quién obliga y cómo lo abordo para que no paralice la entrega.

Qué es el Esquema Nacional de Seguridad y por qué importa

El Esquema Nacional de Seguridad es el marco que establece la política de seguridad en el uso de medios electrónicos por parte del sector público español. Nació con el Real Decreto 3/2010 y hoy se rige por el Real Decreto 311/2022, que lo actualizó para alinearlo con las amenazas actuales. Su objetivo es sencillo de enunciar y difícil de ejecutar: garantizar que la información y los servicios que maneja la Administración estén protegidos con un nivel de seguridad adecuado y verificable.

Lo interesante, y lo que muchos equipos descubren tarde, es que el ENS no afecta solo a los organismos públicos. Cualquier proveedor que preste servicios a la Administración o trate su información queda dentro del perímetro. Si tu empresa aspira a contratos públicos, el ENS deja de ser opcional.

A quién obliga realmente

Obliga a todo el sector público: administración general del Estado, comunidades autónomas, entidades locales y los organismos vinculados. Y, por extensión, a los operadores del sector privado que les prestan servicios. He acompañado a empresas tecnológicas medianas que daban por hecho que esto era cosa de grandes consultoras, hasta que un pliego les exigió la certificación. A partir de ahí, el ENS se convierte en requisito de negocio, no en un trámite técnico.

Las tres categorías de seguridad del ENS

El Esquema Nacional de Seguridad clasifica los sistemas en tres categorías según el impacto que tendría un incidente sobre las dimensiones de seguridad. Esas dimensiones son cinco: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Según la valoración, el sistema se etiqueta como categoría básica, media o alta.

La categoría determina cuántas medidas hay que implantar y con qué rigor. Un portal informativo puede quedarse en básica, mientras que un sistema que gestiona datos sensibles de ciudadanía suele escalar a alta. En mi experiencia, el error más común es infravalorar la categoría al principio para ahorrar esfuerzo, y descubrir en la auditoría que el sistema estaba mal clasificado. Reclasificar a mitad de proyecto cuesta mucho más que hacerlo bien desde el diseño.

Cómo abordo un proyecto bajo el Esquema Nacional de Seguridad

Primero, el análisis de riesgos

Todo arranca con un análisis de riesgos serio. No es un documento para rellenar: es la base sobre la que se justifica cada medida. Aquí conecto siempre el ENS con la disciplina general de gestión del riesgo de ciberseguridad, porque el organismo necesita entender qué activos protege y frente a qué amenazas. Si el análisis es flojo, todo lo que viene después se tambalea.

Después, la declaración de aplicabilidad

Con la categoría fijada, se elabora la declaración de aplicabilidad: el listado de medidas que aplican y cómo se implementan. El Esquema Nacional de Seguridad organiza estas medidas en tres marcos: organizativo, operacional y de protección. La clave está en documentar no solo qué se hace, sino por qué se ha decidido así. Un auditor no busca perfección, busca coherencia y trazabilidad en las decisiones.

Por último, la auditoría y la certificación

Los sistemas de categoría media y alta requieren una auditoría formal cada dos años, realizada por una entidad acreditada. La de categoría básica admite una autoevaluación. Preparar esa auditoría con antelación marca la diferencia entre un proceso fluido y una carrera de última hora. Cuando integro el Esquema Nacional de Seguridad desde el inicio del proyecto, la auditoría se convierte en una confirmación, no en una sorpresa.

ENS, NIS2 y DORA: cómo encajan sin duplicar esfuerzo

Una duda recurrente entre los responsables IT con los que trabajo es si el ENS choca con otras normativas. La respuesta es que se solapan más de lo que parece. El ENS comparte controles con NIS2 en materia de gestión de incidentes y continuidad, y con el reglamento DORA en lo relativo a resiliencia operativa. Quien gestiona varias normativas a la vez gana mucho si mapea esos solapamientos en lugar de tratar cada marco por separado.

Precisamente para no duplicar trabajo construyo herramientas que cruzan los controles comunes entre marcos. Esa visión transversal, que también aplico a la estrategia general de normativas IT, permite cumplir una vez y acreditar varias veces. Es la forma más eficiente de afrontar un entorno regulatorio que solo crece.

Errores frecuentes que veo en la implantación del ENS

El primero ya lo he mencionado: clasificar mal la categoría. El segundo es tratar el ENS como un proyecto puntual y no como un proceso vivo, cuando exige revisión continua. El tercero, y quizá el más caro, es delegar todo en el departamento técnico sin implicar a la dirección. La seguridad que exige el Esquema Nacional de Seguridad es responsabilidad del órgano de gobierno, no solo de quien administra los servidores. Cuando la dirección se involucra, el cumplimiento deja de ser una carga y pasa a formar parte de cómo opera la organización.

En los proyectos que acompaño, el ENS rara vez viaja solo: suele combinarse con iniciativas de inteligencia artificial y con un refuerzo general de la ciberseguridad de la organización. Para las empresas de mi entorno ofrezco precisamente esa mirada conjunta, como explico en mi página de consultoría de IA y ciberseguridad en Almería, donde el cumplimiento normativo y la adopción tecnológica se abordan como dos caras de un mismo proyecto.

Conclusión: el ENS como ventaja competitiva

Llevo años viendo cómo el Esquema Nacional de Seguridad pasa de percibirse como un obstáculo a convertirse en una palanca. Una empresa certificada accede a contratos públicos vetados a la competencia y transmite una confianza que el mercado valora. Mi consejo, después de muchos proyectos, es claro: no esperes a que un pliego te obligue. Integra el ENS en el diseño de tus sistemas y lo que hoy parece burocracia mañana será una ventaja difícil de igualar.

Preguntas frecuentes sobre el Esquema Nacional de Seguridad