Soy Ángel Ortega Castro, consultor ENS independiente con sede en Valladolid y Las Palmas. Acompaño a empresas y AAPP en la adecuación al RD 311/2022 en toda España: desde el diagnóstico inicial hasta la declaración de conformidad o la preparación de la auditoría acreditada. Primera sesión sin coste.
La consultoría ENS es el trabajo de llevar un sistema de información desde donde está hasta poder acreditar su conformidad con el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, de 3 de mayo. Consiste en categorizar el sistema en las cinco dimensiones de seguridad, seleccionar del Anexo II las medidas que correspondan, redactar la Declaración de Aplicabilidad y dejar la organización en condiciones de pasar la comprobación que toque.
Te aplica si eres una entidad del sector público o si prestas servicios o provees soluciones a una de ellas en virtud de un contrato, porque el artículo 2.3 del real decreto mete a esas empresas privadas dentro del ámbito, y la cautela alcanza además a su cadena de suministro.
Según la categoría, el final del camino es distinto: en categoría BÁSICA basta una autoevaluación que sostiene una declaración de conformidad; en MEDIA o ALTA hace falta una auditoría de certificación realizada por una entidad acreditada por ENAC, que nunca puede ser la misma que ha hecho la consultoría.
El ENS es norma estatal, pero la contratación pública no es uniforme en todo el país: cada comunidad autónoma tiene su propia estructura de licitación, sus organismos de referencia y sus proveedores estratégicos. He escrito una guía específica para cada capital de provincia y para cada comunidad autónoma, partiendo siempre del mismo rigor normativo pero con el contexto territorial que importa a quien opera en ese mercado.
Esta página es el hub que organiza todo el silo. Desde aquí puedes ir directamente a la guía de tu comunidad autónoma o de tu capital de provincia. Si prefieres una visión global del Esquema Nacional de Seguridad antes de entrar al detalle territorial, el mejor punto de partida es la guía ENS completa.
El Esquema Nacional de Seguridad no es un trámite burocrático: es el marco que permite a administraciones y proveedores demostrar que gestionan la información con método y proporcionalidad. El Real Decreto 311/2022 lo articula en cuatro anexos —categorización (I), medidas de seguridad (II), auditoría (III) y glosario (IV)— bajo la coordinación del Centro Criptológico Nacional (CCN). La obligación alcanza a todo el sector público y a la cadena de suministro que le presta servicios.
El plazo transitorio se agotó el 5 de mayo de 2024. La disposición transitoria única del real decreto dio veinticuatro meses a los sistemas que ya existían cuando la norma entró en vigor, el 5 de mayo de 2022, y los sistemas nuevos aplican el ENS desde su concepción. Ya no queda plazo al que acogerse.
Lo que el real decreto exige de los pliegos está en el artículo 2.3: los pliegos de prescripciones administrativas o técnicas «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS», y cita expresamente como ejemplo «la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad». Cómo se traduzca eso en cada licitación (prescripción técnica, condición especial de ejecución o criterio de solvencia) lo decide el órgano de contratación en su pliego, no el ENS. Por eso la lectura práctica es la misma: si no puedes exhibir tu declaración o tu certificación cuando el pliego la pida, no compites.
Los pliegos de contratos públicos TIC y de servicios digitales contemplan los requisitos necesarios para asegurar la conformidad con el ENS. Sin ella, quedas fuera del proceso antes de presentar oferta.
El ENS es verificable externamente, a diferencia de declaraciones propias. Una declaración de conformidad o un sello ENAC genera confianza ante cualquier organismo público.
El Anexo I categoriza tus sistemas según el impacto de un incidente. El Anexo II selecciona las medidas proporcionales. No es cumplimiento estético: es defensa proporcionada.
El ciclo PDCA del ENS instala monitorización, respuesta a incidentes y auditoría periódica. Tu postura de seguridad mejora de forma sostenida, no solo en el momento de la declaración.
El ENS nació para el sector público y sigue siendo eso. La vía por la que alcanza a una empresa privada es contractual, y está escrita en el artículo 2.3 del RD 311/2022: la norma se aplica a los sistemas de información de las entidades privadas cuando, «de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas».
Ese mismo artículo añade dos cosas que se pasan por alto. La primera: la política de seguridad del artículo 12 también es obligatoria para la empresa privada, y la aprueba «el órgano que ostente las máximas competencias ejecutivas», es decir, la dirección, no el departamento de sistemas. La segunda: la cautela «se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Si subcontratas parte del servicio, el problema baja un escalón contigo.
Hay una segunda puerta, menos citada, en la Ley Orgánica 3/2018 de protección de datos. Su disposición adicional primera dice que «en los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad». Por esa vía el ENS entra cuando hay datos personales de por medio, aunque el pliego no lo hubiera dicho.
Y una tercera cosa, que es de gestión y no de norma: la Instrucción Técnica de Seguridad de Conformidad hace responsable a la entidad pública contratante de notificarte la obligación, y te obliga a estar en condiciones de exhibir tu declaración o tu certificación, con el distintivo enlazando al documento y accesible de forma permanente en tu web. Además, el cliente público, el CCN y ENAC pueden pedirte en cualquier momento el informe de autoevaluación o de auditoría que hay detrás.
El proceso que sigo con cada organización parte de las guías CCN-STIC y se estructura en cuatro grandes etapas. Cada etapa produce un entregable concreto; ningún paso se convierte en mero trámite documental. El orden importa: no se seleccionan medidas antes de categorizar, ni se categoriza sin un diagnóstico de partida.
| Fase | Qué se hace | Entregable principal |
|---|---|---|
| Fase 01 Arranque y diagnóstico | Delimitación del alcance (sistemas de información afectados), entrevistas con los responsables técnicos y de seguridad, y análisis diferencial (gap) entre la situación real y los requisitos del RD 311/2022. | Informe de diagnóstico GAP con la distancia cuantificada al cumplimiento y la lista priorizada de acciones. |
| Fase 02 Análisis de riesgos | Identificación de activos, valoración de amenazas y salvaguardas con metodología MAGERIT (apoyada en herramientas como PILAR). Categorización del sistema en las cinco dimensiones de seguridad (CIDAT): categoría básica, media o alta. | Informe de análisis de riesgos, mapa de activos y categoría definitiva del sistema según el Anexo I. |
| Fase 03 Medidas y documentación | Selección de las medidas del Anexo II proporcionadas a la categoría obtenida. Redacción de la política de seguridad, normativas derivadas y Declaración de Aplicabilidad (DdA). Plan de adecuación conforme a la guía CCN-STIC 806 con responsables, plazos y evidencias de implantación. | DdA, política de seguridad, normativas y plan de adecuación con el cuerpo documental completo. |
| Fase 04 Declaración o certificación | En categoría básica: preparación y revisión de la declaración de conformidad autoevaluada. En categoría media o alta: preparación del expediente y acompañamiento durante la auditoría de la entidad acreditada por ENAC. El consultor prepara; la certificación la emite el tercero. | Declaración de conformidad o expediente para auditoría. La organización queda en condiciones de acreditar su conformidad ante cualquier pliego o contratante. |
La duración total varía entre 4 semanas (categoría básica, alcance acotado y buena madurez de partida) y 12 semanas o más (categoría alta, múltiples sistemas y certificación acreditada). Detallo los tiempos por fase en la guía de plazos de adecuación al ENS.
El consultor prepara; la conformidad la acredita otro. No es una cortesía del sector, está escrito. La Instrucción Técnica de Seguridad de Auditoría dice que, «para asegurar la independencia objetiva de la Entidad Certificadora, las tareas de auditoría no incluirán en ningún caso la ejecución de acciones que puedan ser consideradas actividades de consultoría o similares, tales como implantación o modificación de aplicaciones, relacionadas con el sistema auditado, redacción de documentos requeridos por el ENS o procedimientos de actuación, así como recomendaciones particulares sobre productos o soluciones concretas».
Traducido: quien te redacta la Declaración de Aplicabilidad y la política de seguridad no puede después firmarte el certificado. Si alguien te ofrece las dos cosas en el mismo contrato, o una de las dos no es lo que parece, o el certificado no va a ser válido.
| Tarea | Quién | Base |
|---|---|---|
| Valorar la información y los servicios en cada dimensión | Responsable de la información y responsable del servicio | Art. 41.1 |
| Determinar la categoría del sistema | Responsable de la seguridad | Art. 41.2 |
| Firmar la Declaración de Aplicabilidad | Responsable de la seguridad | Art. 28.2 |
| Redactar documentación, analizar riesgos, preparar evidencias | La organización, con el consultor | Trabajo preparatorio, no reservado por la norma |
| Autoevaluar un sistema de categoría BÁSICA | El propio personal que administra el sistema o quien delegue | Anexo III, ap. 2.1.a) |
| Auditar y certificar categoría MEDIA o ALTA | Entidad certificadora acreditada por ENAC | Art. 38.1 y ITS de Conformidad, ap. VI.1 |
Un matiz sobre los roles que aparece poco y decide organigramas: el responsable de la seguridad tiene que ser distinto del responsable del sistema y no puede haber dependencia jerárquica entre ellos. Solo cuando la ausencia de recursos lo haga inevitable, y de forma justificada, pueden juntarse, y entonces hay que aplicar medidas compensatorias.
No existe una cifra única para la consultoría ENS porque el esfuerzo depende de tres variables: el número de sistemas en alcance, la categoría resultante (básica, media o alta) y la madurez de partida de la organización en seguridad. Los rangos que muestro a continuación son orientativos y honestos; el presupuesto cerrado llega tras el diagnóstico inicial.
Diagnóstico, categorización, análisis de riesgos, política de seguridad, DdA y declaración de conformidad autoevaluada. Alcance acotado, plazo típico 4-6 semanas.
Proceso completo más preparación de la auditoría acreditada. El coste de la entidad certificadora (facturado por ella) es independiente de estos honorarios.
Proyectos complejos con múltiples sistemas, alcance amplio y certificación acreditada. Presupuesto siempre cerrado y sin sorpresas tras el diagnóstico.
El artículo 2 del RD 311/2022 fija el ámbito de aplicación: quedan sujetos todo el sector público (AGE, comunidades autónomas, entidades locales y sus organismos vinculados) y las empresas privadas que les presten servicios o soluciones por relación contractual. Esto incluye proveedores TIC, integradores de sistemas, prestadores de servicios en la nube, empresas de mantenimiento informático y cualquier contratista cuya actividad implique el tratamiento de información del sector público.
La cadena de suministro está expresamente incluida. Si tu empresa factura a una administración pública o quiere hacerlo, necesitas acreditar conformidad con el ENS. El plazo general para adecuar sistemas preexistentes finalizó el 5 de mayo de 2024; la obligación está plenamente vigente y los pliegos la exigen desde el primer día.
Integradores, fabricantes de software, prestadores de servicios en la nube y consultoras TIC que trabajan o quieren trabajar con cualquier organismo público. Sus pliegos contemplan los requisitos necesarios para asegurar la conformidad con el ENS.
El ENS obliga directamente a todo el sector público. Ayuntamientos y entidades locales suelen trabajar en categoría básica con declaración de conformidad autoevaluada; organismos con datos sensibles pueden alcanzar categoría media o alta. Si eres una administración pública, amplío el alcance y las fases en la guía de consultoría ENS para administraciones: alcance y fases.
Organizaciones privadas de cualquier sector que ven en la contratación pública una vía de crecimiento. Preparar la conformidad con el ENS antes de presentarse a concursos es la forma de no quedarse fuera cuando el pliego pida la declaración o la certificación.
¿No estás seguro de si te aplica? Usa el autodiagnóstico ENS gratuito para situar tu organización frente al Esquema en menos de dos minutos. También puedes reservar la sesión inicial sin coste y lo valoramos juntos.
Cada comunidad autónoma tiene su propia estructura de contratación pública, sus plataformas de licitación y sus organismos de referencia en materia de seguridad de la información. He escrito una guía específica para cada una, con el contexto real que necesita un proveedor o una administración que opera en ese territorio.
Si trabajas con administraciones de varias comunidades a la vez, el servicio se adapta a ese alcance multiregional. La adecuación al ENS es nacional; el contexto territorial es lo que varía.
El tejido de contratación pública local varía ciudad a ciudad: la estructura del ayuntamiento, los pliegos de la diputación, los organismos sanitarios o las universidades públicas de cada provincia tienen sus propias exigencias. He escrito una guía con el contexto específico de cada capital, para que quien licita en esa plaza encuentre una referencia real, no genérica.
¿Tu capital no aparece en esta lista? La consultoría ENS cubre todo el territorio nacional en remoto, y también presencialmente en Castilla y León y Canarias. Reserva una sesión inicial y lo coordinamos.
El resultado del proceso no es un PDF de relleno: es el cuerpo documental y técnico que sostiene la conformidad ante un auditor, ante un pliego de contratación o ante el CCN. Cada entregable responde a un requisito concreto del RD 311/2022 y de sus guías CCN-STIC.
El consultor ENS acompaña a la organización durante el proceso de adecuación: diagnóstico, categorización, análisis de riesgos, elaboración del plan y de la documentación, e implantación de medidas. Su trabajo es preparar a la organización para que pueda demostrar conformidad. El auditor ENS, en cambio, es la entidad acreditada por ENAC que realiza la auditoría de conformidad independiente y emite el sello o certificado. Son roles distintos e incompatibles: el mismo consultor que acompañó el proceso no puede ser el auditor de ese proceso. En categoría básica, la conformidad se acredita mediante declaración autoevaluada sin auditoría externa obligatoria.
La categoría no se elige: se obtiene valorando el impacto potencial de un incidente de seguridad sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). La dimensión con mayor nivel determina la categoría del sistema. El impacto limitado da categoría básica; el impacto grave, media; el impacto muy grave, alta. Es uno de los primeros pasos del proceso de adecuación y debe hacerse con rigor: infraestimar la categoría para reducir el esfuerzo es un error que puede dejar la declaración sin validez ante un pliego. Profundizo en cómo determinarlo en la guía de categorías ENS básica, media y alta.
Un proyecto de categoría básica con alcance acotado (uno o dos sistemas de información, organización con cierta madurez en seguridad) puede completarse en 4 a 6 semanas. El plazo aumenta cuando el alcance es más amplio, cuando la organización parte de cero en documentación o cuando hay que implicar a múltiples departamentos para recoger evidencias. Lo que no tiene sentido es acelerar la categorización o el análisis de riesgos: son los pasos que sostienen el resto del edificio documental. Detallo el tiempo por fase en la guía de plazos de adecuación al ENS.
Sí, y en muchos casos es la estrategia más eficiente. El ENS y la ISO 27001 comparten una parte significativa de controles de seguridad: el análisis de riesgos, la política de seguridad, la gestión de incidentes o el control de acceso son requisitos comunes en ambos marcos. Trabajarlos en paralelo desde un solo diagnóstico evita duplicar evidencias y reduce el coste total. La diferencia principal es que el ENS es de obligado cumplimiento para el sector público y sus proveedores, mientras que la ISO 27001 es una certificación voluntaria con valor en mercados privados e internacionales. Comparo ambos marcos en detalle en la guía de ENS o ISO 27001 para licitar con la Administración.
Trabajo con presupuesto cerrado, acordado antes de empezar, sin honorarios por hora ni sorpresas al final. El presupuesto se determina tras el diagnóstico inicial (primera sesión sin coste) una vez que tengo claro el alcance, la categoría estimada y la madurez de partida de la organización. Normalmente se estructura en dos o tres hitos ligados a los entregables principales del proceso: diagnóstico, documentación y preparación de la auditoría o declaración de conformidad. Los honorarios del consultor son independientes del coste de la entidad certificadora acreditada, que factura directamente a la organización en los proyectos de categoría media o alta.
La primera sesión de valoración es sin coste y sin compromiso: en ella analizamos tu situación, estimamos la categoría, acotamos el alcance y te explico qué pasos seguiría el proceso. No necesitas firmar nada para esa sesión. Si tras ella decidimos trabajar juntos, formalizo una propuesta cerrada con alcance, plazos y honorarios. El proyecto arranca cuando la propuesta está aceptada y el primer hito facturado. No trabajo con contratos ambiguos ni con honorarios variables no pactados: todo queda por escrito antes de empezar. Reserva aquí tu sesión inicial.
El proceso completo de adecuación al ENS puede realizarse íntegramente en remoto para cualquier organización en España: diagnóstico, categorización, análisis de riesgos, elaboración de la documentación y preparación de la auditoría se gestionan por videollamada, plataformas de trabajo colaborativo y entrega de documentación digital. Cuando el proyecto lo requiere —visita a instalaciones, reuniones con el equipo técnico in situ, acompañamiento presencial durante la auditoría—, también trabajo de forma presencial, especialmente en Castilla y León y en Canarias, donde tengo sede física. La modalidad se decide en función de lo que necesite tu organización.
La certificación ISO 27001 es un punto de partida valioso pero no equivale al ENS ni permite sustituir el proceso de adecuación. Lo que sí permite es aprovechar la documentación existente (política de seguridad, análisis de riesgos, inventario de activos, registros de incidentes) para reducir el esfuerzo del proyecto ENS. La categorización y la Declaración de Aplicabilidad (DdA) referenciada al Anexo II del RD 311/2022 son específicas del ENS y deben elaborarse siempre. En la práctica, una organización con ISO 27001 madura puede completar la adecuación ENS de categoría básica o media en menos tiempo y con menos documentación nueva que una que parte de cero.
Solo si prestas servicios o provees soluciones a una entidad del sector público en virtud de una relación contractual, para que esa entidad ejerza sus competencias y potestades administrativas. Lo dice el artículo 2.3 del RD 311/2022. Si vendes únicamente a clientes privados, el ENS no te aplica por sí mismo, aunque puedan aplicarte otras normas.
No. La Instrucción Técnica de Seguridad de Auditoría prohíbe expresamente que las tareas de auditoría incluyan actividades de consultoría sobre el sistema auditado, incluida la redacción de los documentos que exige el ENS. El consultor prepara y la entidad acreditada por ENAC certifica, y tienen que ser distintos.
Al menos cada dos años. El artículo 31.1 del RD 311/2022 fija una auditoría regular ordinaria con esa periodicidad, y la misma cadencia se aplica a la autoevaluación de categoría BÁSICA. Si haces cambios sustanciales en el sistema hay que auditar de forma extraordinaria, y esa fecha reinicia el cómputo de los dos años.
No. El artículo 14.2 exige emplear «alguna metodología reconocida internacionalmente», sin nombrar ninguna. MAGERIT es la que uso porque es la del sector público español y la que espera el auditor, pero una organización que ya trabaja con otra metodología reconocida no tiene que cambiarla para cumplir el ENS.
Trabajo desde Valladolid y Las Palmas para toda España. Si tu organización está en una de estas plazas, la página de tu territorio explica qué administración te aplica y qué plazos maneja.
Primera sesión sin coste y sin compromiso. Evaluamos tu alcance, estimamos la categoría de tus sistemas y te explico cómo avanzar. Si encajamos, te paso una propuesta cerrada. Si no, te llevas un diagnóstico inicial útil para empezar por tu cuenta.