¿Qué es el Esquema Nacional de Seguridad?

El ENS establece la política de seguridad que deben aplicar las entidades públicas para proteger la información que tratan y los servicios que prestan por medios electrónicos. Su objetivo es que ciudadanos y empresas puedan confiar en la administración electrónica.

 

Se apoya en tres elementos:

• Principios básicos, que orientan todas las decisiones de seguridad.
• Requisitos mínimos, que toda organización sujeta al ENS debe cumplir.
• Medidas de seguridad, que se seleccionan según la categoría del sistema.

El CCN, adscrito al Centro Nacional de Inteligencia, desarrolla las guías CCN-STIC que explican cómo aplicar cada medida.

¿A quién obliga el ENS?

Al sector público. Administración General del Estado, comunidades autónomas, entidades locales, universidades públicas y el resto de entidades del sector público definidas en la Ley 40/2015.

A empresas privadas que trabajan con el sector público. Si tu empresa presta servicios o suministra soluciones a una entidad pública (alojamiento, software, servicios gestionados, cloud, mantenimiento de sistemas), los sistemas que usas para ese servicio deben cumplir el ENS. En la práctica, los pliegos de contratación exigen la declaración o certificación de conformidad en la categoría correspondiente.

El ENS se aplica a los sistemas de información que soportan el servicio, no necesariamente a toda la empresa. Delimitar bien ese alcance reduce mucho el esfuerzo.

Principios básicos

El artículo 5 del RD 311/2022 recoge siete principios:

1. Seguridad como proceso integral.
2. Gestión de la seguridad basada en los riesgos.
3. Prevención, detección, respuesta y conservación.
4. Existencia de líneas de defensa.
5. Vigilancia continua.
6. Reevaluación periódica.
7. Diferenciación de responsabilidades.

Requisitos mínimos

Toda organización sujeta al ENS debe disponer de una política de seguridad aprobada y cumplir estos requisitos mínimos:

1. Organización e implantación del proceso de seguridad.
2. Análisis y gestión de los riesgos.
3. Gestión de personal.
4. Profesionalidad.
5. Autorización y control de los accesos.
6. Protección de las instalaciones.
7. Adquisición de productos de seguridad y contratación de servicios.
8. Mínimo privilegio.
9. Integridad y actualización del sistema.
10. Protección de la información almacenada y en tránsito.
11. Prevención ante otros sistemas de información interconectados.
12. Registro de la actividad y detección de código dañino.
13. Incidentes de seguridad.
14. Continuidad de la actividad.
15. Mejora continua del proceso de seguridad.

Roles obligatorios

El ENS exige separar responsabilidades. Como mínimo deben designarse el responsable de la información, el responsable del servicio, el responsable de la seguridad y el responsable del sistema. El responsable de la seguridad no puede coincidir con el del sistema, porque uno supervisa al otro.

Cómo se categoriza un sistema: básica, media o alta

La categoría decide qué medidas hay que aplicar y cómo se acredita el cumplimiento. Se calcula en tres pasos:

1. Identificar la información y los servicios que maneja el sistema.

2. Valorar cada dimensión de seguridad con nivel bajo, medio o alto, según el perjuicio que causaría un incidente. El ENS usa cinco dimensiones:

Dimensión	Pregunta que responde
Confidencialidad (C)	¿Qué pasa si la información llega a quien no debe?
Integridad (I)	¿Qué pasa si la información se modifica sin autorización?
Trazabilidad (T)	¿Qué pasa si no se puede saber quién hizo qué y cuándo?
Autenticidad (A)	¿Qué pasa si no se puede verificar la identidad de quien accede o del origen de los datos?
Disponibilidad (D)	¿Qué pasa si el servicio o la información no están accesibles cuando se necesitan?

3. Aplicar la regla del nivel más alto. La categoría del sistema es la del nivel más alto alcanzado en cualquier dimensión. Si una sola dimensión es alta, el sistema es de categoría ALTA.

Las 73 medidas de seguridad del Anexo II

Las medidas se agrupan en tres marcos:

Marco	Código	Qué cubre
Marco organizativo	org	Política de seguridad, normativa, procedimientos y proceso de autorización
Marco operacional	op	Planificación, control de acceso, explotación, recursos externos, servicios en la nube, continuidad y monitorización
Medidas de protección	mp	Instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios

Cada medida indica a qué categorías y dimensiones se aplica. Muchas tienen refuerzos (R1, R2…) que se exigen en las categorías superiores. El resultado de seleccionar medidas se documenta en la Declaración de Aplicabilidad, que también admite medidas compensatorias justificadas.

Perfiles de cumplimiento específicos. El CCN publica perfiles adaptados a colectivos concretos (por ejemplo, entidades locales o requisitos fundamentales para pequeñas entidades). Si existe un perfil para tu caso, simplifica la selección de medidas.

Declaración o certificación de conformidad

Categoría	Cómo se acredita	Quién la emite
Básica	Autoevaluación y declaración de conformidad	La propia organización
Media	Auditoría formal y certificación de conformidad	Entidad de certificación acreditada por ENAC (o el órgano de auditoría técnica, en el sector público)
Alta	Auditoría formal y certificación de conformidad	Igual que en categoría media

La auditoría debe repetirse al menos cada dos años, y también cuando haya cambios sustanciales en el sistema.

Las entidades públicas, además, informan anualmente del estado de su seguridad a través de la herramienta INES del CCN.

Pasos para implantar el ENS

1. Definir el alcance: qué sistemas y servicios entran.
2. Aprobar la política de seguridad y designar los roles.
3. Categorizar los sistemas valorando las cinco dimensiones.
4. Analizar los riesgos del sistema.
5. Elaborar la Declaración de Aplicabilidad con las medidas que aplican.
6. Implantar las medidas y redactar la normativa y los procedimientos.
7. Formar al personal implicado.
8. Autoevaluar o auditar, según la categoría.
9. Obtener la declaración o la certificación de conformidad.
10. Mantener y revisar: seguimiento de medidas, gestión de incidentes y nueva auditoría antes de dos años.

ENS e ISO 27001

Las dos se parecen en el enfoque (gestión basada en riesgos, Declaración de Aplicabilidad, auditoría), pero no son intercambiables.

	ENS	ISO/IEC 27001:2022
Naturaleza	Obligación legal en España	Norma internacional voluntaria
Ámbito	Sector público y sus proveedores	Cualquier organización
Medidas o controles	73 medidas, según categoría	93 controles en el Anexo A, según riesgos
Dimensiones	Cinco (C, I, T, A, D)	Tres (confidencialidad, integridad, disponibilidad)
Acreditación	Declaración o certificación de conformidad	Certificación del SGSI
Ciclo	Auditoría cada dos años	Certificado de tres años con auditorías anuales de seguimiento

¿Sirve la certificación ISO 27001 para cumplir el ENS? No la sustituye. Un SGSI certificado cubre buena parte del trabajo (análisis de riesgos, políticas, gestión de incidentes, auditoría interna), pero el ENS exige medidas concretas, la categorización y su propio proceso de conformidad. La guía CCN-STIC 825 relaciona las medidas del ENS con los controles de ISO 27001 y sirve para aprovechar lo ya implantado.

ENS y NIS2

La futura Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpondrá la Directiva NIS2 en España, convivirá con el ENS. Las administraciones y empresas que estén en ambos ámbitos tendrán que cumplir las dos normas. Hasta que se publique la ley, el ENS sigue siendo la referencia obligatoria para el sector público.

Preguntas frecuentes