¿Dónde puedes hacer un curso oficial del Esquema Nacional de Seguridad?

TL;DR: hay dos vías oficiales para hacer un curso del Esquema Nacional de Seguridad (ENS), y son muy distintas entre sí. La primera es la plataforma ÁNGELES, del Centro Criptológico Nacional (CCN): cursos online gratuitos, abiertos a cualquier persona que se registre con Cl@ve, pero que no dan certificado al terminarlos. La segunda son los Cursos STIC que convocan cada semestre el INAP y el CCN: sí expiden certificado, pero la convocatoria se dirige a empleados públicos de los subgrupos A1, A2, B y C1 y al personal laboral equivalente, con plazas limitadas por selección, así que el personal de una empresa proveedora de la Administración queda fuera. Y hay un tercer dato que conviene tener claro antes de buscar curso: ninguno de los dos certifica a tu empresa en el ENS. Eso solo lo hace una entidad de certificación acreditada por ENAC (si el sistema es de una Administración, también puede certificarlo un órgano de auditoría técnica del propio sector público); el curso te forma a ti, no certifica tu organización. Si eres una empresa que necesita implantar el ENS (el caso típico de quien llega a esta página: proveedor de una Administración pública), la plataforma ÁNGELES es tu puerta de entrada gratuita; para formar a todo tu equipo con vuestro caso real, la alternativa es una formación in-company.

¿Qué opciones oficiales hay para formarte en el ENS?

Antes de entrar en el detalle de cada una, esta es la comparación que de verdad decide cuál te sirve:

Plataforma ÁNGELES (cursos online)Curso STIC (convocatoria CCN-INAP)Formación in-company
¿Quién puede apuntarse?Cualquier persona registrada con Cl@veEmpleados públicos A1, A2, B, C1 y personal laboral equivalenteTu equipo
CosteGratuitoGratuito (para quien puede acceder)A medida, según el programa
¿Hay selección de plazas?NoSí, por convocatoria y cupoNo aplica
¿Da certificado?NoSí, lo emite el propio INAPNo es formación oficial
¿Se aplica a tu caso concreto?No, temario genéricoNo, temario genéricoSí, es su razón de ser
¿Certifica a la organización en el ENS?NoNoNo

La última fila no cambia en ninguna columna: la certificación de una organización en el ENS —obligatoria en categoría MEDIA y ALTA— la emite siempre una entidad de certificación acreditada por ENAC, nunca un curso ni una consultora. Si todavía no tienes claro qué implica cada categoría o si te obliga el ENS, esa base está en la guía completa del Esquema Nacional de Seguridad y en el hub de cumplimiento ENS; aquí me quedo solo con la parte de formación.

La plataforma ÁNGELES: los cursos online gratuitos del CCN sobre el ENS

ÁNGELES es el portal de formación, capacitación y cultura de ciberseguridad del Centro Criptológico Nacional (CCN), el organismo adscrito al CNI responsable de las guías CCN-STIC y de buena parte de la formación oficial en seguridad de la información en España. El registro es gratuito y se hace identificándote con el sistema Cl@ve (DNI electrónico, certificado electrónico o Cl@ve PIN); según el propio portal, «cualquier usuario con intereses en ciberseguridad puede formarse en ÁNGELES», sin que el acceso esté limitado a empleados públicos.

Dentro del catálogo de formación on-line, a 26 de septiembre de 2026, hay un bloque específico, «Cursos capacitación en el Esquema Nacional de Seguridad», con estos cursos gratuitos:

CursoDuraciónContenido
Esquema Nacional de Seguridad20 horasIntroducción al ENS, requisitos mínimos, infraestructuras y servicios comunes, auditorías y respuesta a incidentes, categorización y medidas, ejercicio práctico
Análisis y Gestión de Riesgos de los Sistemas de Información15 horasGestión, análisis y tratamiento del riesgo
Aproximación práctica al Esquema Nacional de Seguridad40 horasPlan de adecuación, implantación de medidas, contratación en el sector público, comparativa ENS–ISO 27001, auditoría y certificación
Auditorías en el ENS20 horasAuditorías de sistemas de información, auditoría y certificación en el ENS, desarrollo de una auditoría
µCeENS75 horasPensado para «organizaciones con limitaciones para abordar por sí solas el proceso de adecuación»; módulos de concienciación y ciberseguridad básica

Si lo que buscas es un curso de implantación del ENS —cómo poner en marcha las medidas del Anexo II, no solo entender el marco—, «Aproximación práctica al Esquema Nacional de Seguridad» (40 horas) es el de esta lista que más se acerca; para el detalle medida por medida, una vez sepas implantar, está la guía oficial del CCN, la CCN-STIC 804.

Hay un matiz importante que no suele contarse: estos cursos no dan certificado. La propia plataforma lo dice sin rodeos en sus preguntas frecuentes, en la sección «Obtención de certificados»: a la pregunta «¿Los cursos generales de ÁNGELES expiden certificado?», la respuesta es «No. Lamentablemente, los cursos generales no emiten un certificado una vez finalizados». Añade que, desde el 1 de abril de 2025, el CCN solo emite certificados en los cursos STIC oficiales del INAP y en los planes formativos de ÁNGELES asociados a organismos públicos. Y en la página de formación on-line lo repite: «Los cursos de formación on-line no emiten un certificado una vez superados con aprovechamiento». Sirven para formarte de verdad —el temario es sólido y lo escribe el propio CCN— pero no para acreditar nada frente a un cliente o una auditoría. Si lo que necesitas es justificar documentalmente que tu equipo se ha formado, como pide el propio ENS (lo explico más abajo), necesitarás otra forma de registrarlo, porque este curso no da diploma.

¿Hay un curso de PILAR, la herramienta de análisis de riesgos del CCN?

Sí, pero no está en el catálogo abierto de ÁNGELES. El curso on-line «Análisis y Gestión de Riesgos de los Sistemas de Información» (15 horas) trata el método —gestión, análisis y tratamiento del riesgo—, y su temario publicado no menciona la herramienta. PILAR es la herramienta de análisis y gestión de riesgos que desarrolla el propio CCN, y se usa a menudo para el análisis de riesgos que exige la medida op.pl.1 del Anexo II (la valoración de sistemas que lo precede está en la CCN-STIC 803).

El curso específico de PILAR está dentro de la convocatoria semestral de Cursos STIC que explico a continuación: la del segundo semestre de 2026 incluye el «XIX Curso análisis y gestión de riesgos de los sistemas de información (PILAR)», en línea tutorizado, con una fase asíncrona del 19 al 23 de octubre (10 horas) y una fase síncrona del 26 al 30 de octubre (25 horas). Esa vía, igual que el resto de Cursos STIC, se dirige a empleados públicos.

Los Cursos STIC del INAP y el CCN: solo para empleados públicos

La segunda vía oficial es distinta en todo: la organiza el CCN junto con el Instituto Nacional de Administración Pública (INAP), mediante una convocatoria semestral que se publica por resolución del INAP; la del segundo semestre de 2026 es la Resolución de 8 de junio de 2026. No es un curso siempre igual: cada convocatoria trae varias ediciones de distintos cursos STIC. Encaja con la disposición adicional primera del RD 311/2022, que encarga al CCN y al INAP programas de formación «dirigidos al personal de las entidades del sector público».

Dos ejemplos reales, verificados en las fichas oficiales, para que veas el formato:

El plazo de solicitud de esa convocatoria del segundo semestre de 2026 se abrió el 9 de junio de 2026 a las 12:00 h y se cerró el 26 de junio de 2026 a las 23:59 h: si lees esto después de esa fecha, esa ventana ya está cerrada, y toca esperar a la siguiente convocatoria semestral. La solicitud se hace de forma electrónica a través del buscador de cursos del INAP, con selección de plazas. A diferencia de ÁNGELES, aquí sí hay certificado: lo genera directamente el INAP, una vez cerradas las actas, y se consulta identificándose en su portal.

El punto que más me preguntan las empresas: el personal de un proveedor privado de la Administración no entra en el colectivo al que se dirigen los Cursos STIC. La convocatoria se dirige a empleados públicos. Si trabajas en una empresa —aunque seas proveedor ENS de un ayuntamiento o una consejería— tu vía gratuita es la plataforma ÁNGELES.

¿Alguno de estos cursos certifica a mi empresa en el ENS?

No, ninguno de los dos. Esto se confunde con frecuencia porque «certificado» aparece en ambos contextos con significados distintos:

Puedes formarte todo lo que quieras y seguir sin la certificación de tu organización si no has pasado por la auditoría correspondiente. Son procesos independientes: uno forma a personas; el otro certifica sistemas.

¿Por qué el ENS exige formación, más allá de que a ti te interese?

No es solo una recomendación de sentido común: el propio Anexo II del RD 311/2022, dentro del bloque «5.2 Gestión del personal [mp.per]», dedica una medida específica a esto. La medida mp.per.4 (Formación), que aplica en las tres categorías (BÁSICA, MEDIA y ALTA), dice literalmente: «Se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones», «en particular» en configuración de sistemas, detección y reacción ante incidentes, y gestión de la información en cualquier soporte. Añade una coletilla que se pasa por alto a menudo: «se evaluará la eficacia de las acciones formativas llevadas a cabo» — no basta con apuntar a alguien a un curso, hay que poder demostrar que sirvió.

Esta medida (mp.per.4, formación específica según el puesto) es distinta de la mp.per.3 (concienciación general de toda la plantilla), que desarrollo aparte en concienciación en ciberseguridad para el ENS. Si buscas cómo cumplir la obligación de concienciar a toda la plantilla, es esa pieza la que necesitas; esta se centra en dónde formar en profundidad a quien va a implantar, auditar o mantener el ENS.

¿Te sirve un curso genérico o necesitas algo hecho a medida para tu equipo?

Aquí es donde los cursos oficiales, siendo buenos, se quedan cortos para una empresa concreta. Ni ÁNGELES ni los Cursos STIC del INAP entran en tu sistema, tu categoría, tu pliego o tus medidas del Anexo II ya implantadas — son temario general, pensado para cualquier organización o para el perfil medio de un empleado público. Y, como he explicado, uno de los dos ni siquiera está a tu alcance si trabajas en una empresa privada.

Cuando el encargo es formar a un equipo concreto —el responsable de seguridad, el equipo técnico que va a implantar las medidas o el comité que tiene que entender qué aprueba—, la alternativa es una formación in-company: un programa diseñado sobre el caso real de la empresa, no un curso de catálogo. El método que publico para mis programas in-company tiene cuatro fases: un diagnóstico inicial con la dirección para fijar objetivos y nivel de partida, el diseño del temario con casos propios (aquí, vuestro sistema y vuestra categoría), la impartición presencial en vuestras oficinas o en sala externa, con teoría breve, casos y ejercicios, y, si el programa lo incluye, sesiones de seguimiento a 30 y 60 días. Los programas van de 1 a 5 días, con grupos de 8 a 40 participantes. No doy precio ni fecha porque dependen de cada equipo; el formato está en formación in-company.

Antes de apuntarte a un curso: ¿sabes en qué categoría estás y qué te falta?

Un curso rinde mucho más si ya sabes para qué lo necesitas. Si todavía no tienes claro si tu sistema es de categoría BÁSICA, MEDIA o ALTA, ni qué medidas del Anexo II te tocan, te conviene resolver eso antes: el autodiagnóstico ENS te da una primera foto en unos minutos, y a partir de ahí eliges con más criterio si te basta con el curso gratuito de ÁNGELES, si te interesa que tu equipo entero pase por una formación a medida, o si lo que necesitas ya no es formación sino preparar la documentación para la auditoría.

Preguntas frecuentes

¿Es gratis hacer un curso del Esquema Nacional de Seguridad?

Sí, la vía gratuita y abierta a cualquiera es la plataforma ÁNGELES del CCN: te registras con Cl@ve (DNI electrónico, certificado electrónico o Cl@ve PIN) y accedes sin coste al catálogo de cursos online, incluido el bloque de cursos sobre el ENS. La otra vía oficial, el Curso STIC vía INAP, también es gratuita, pero solo para empleados públicos seleccionados en la convocatoria.

¿Puedo hacer el Curso STIC del INAP si trabajo en una empresa privada?

No es la vía para ti. Los Cursos STIC que convocan el INAP y el CCN se dirigen a empleados públicos de los subgrupos A1, A2, B y C1 y al personal laboral equivalente. Si eres una empresa proveedora de una Administración y necesitas formarte en el ENS, tu vía gratuita es la plataforma ÁNGELES; para formar a tu equipo con vuestro caso concreto, la alternativa es una formación in-company.

¿El curso de la plataforma ÁNGELES me da un certificado?

No. La propia plataforma lo confirma en sus preguntas frecuentes: los cursos generales de ÁNGELES no emiten certificado al terminarlos. Desde el 1 de abril de 2025 solo hay certificado en los Cursos STIC oficiales del INAP, que lo emite el propio INAP, y en los planes formativos de ÁNGELES asociados a organismos públicos.

¿Necesito hacer un curso para certificar a mi empresa en el ENS?

Hacer un curso te forma a ti o a tu equipo, pero no certifica a tu organización. La certificación de conformidad con el ENS, obligatoria en categoría MEDIA y ALTA, solo puede emitirla una entidad de certificación acreditada por ENAC, nunca un curso, un diploma ni una consultora. Formarte ayuda a llegar mejor preparado a esa auditoría, pero es un paso distinto e independiente.

Fuentes

¿Prefieres que tu equipo se forme sobre vuestro caso real en lugar de un curso de catálogo? En consultoría ENS para empresas explico cómo trabajo la adecuación completa, o puedes reservar una llamada y lo revisamos juntos.

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Autodiagnóstico ENS →Mide tu nivel de adecuación al Esquema Nacional de Seguridad.ISO 27001 o ENS: ¿cuál necesitas? →Decide cuál necesitas y en qué orden según a quién vendes, con la relación oficial CCN-STIC 825.¿Qué normativa me aplica? →Identifica en 2 minutos qué normativas (ENS, NIS2, DORA, AI Act, RGPD) obligan a tu empresa.