En breve: El ENS no es exclusivo de la Administración: desde el Real Decreto 311/2022 alcanza también al sector privado cuando una empresa presta servicios a una entidad pública y sus sistemas de información se apoyan en los del proveedor. En esos casos, el órgano de contratación exige la conformidad con el ENS, en la categoría correspondiente, como requisito del pliego. Fuera de esa cadena de suministro público, el ENS no obliga.

Existe la idea, muy extendida, de que el Esquema Nacional de Seguridad (ENS) es un asunto exclusivo de ayuntamientos, ministerios y diputaciones. Es una verdad a medias que cada vez deja fuera a más empresas. Desde la entrada en vigor del Real Decreto 311/2022, el ENS alcanza de lleno a buena parte del tejido empresarial privado, aunque no a cualquier empresa ni en cualquier circunstancia. Conviene saber con precisión dónde está la línea.

¿Aplica el ENS a una empresa privada? Sí, pero solo en supuestos concretos: cuando prestas servicios o provees soluciones al sector público mediante contrato (artículo 2.3 del RD 311/2022), cuando formas parte de la cadena de suministro de un contratista público, o cuando eres una entidad privada vinculada o dependiente de la Administración. Fuera de esos casos, el ENS no obliga directamente a una empresa privada.

El ENS no es solo de la Administración: dónde empieza el sector privado

El punto de partida es el artículo 2 del Real Decreto 311/2022, que regula el ámbito de aplicación del ENS. Su apartado 1 dice que el ENS se aplica «a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015». Hasta aquí, la lectura clásica: Administración General del Estado, comunidades autónomas, entidades locales, universidades públicas y el llamado sector público institucional.

La clave para el sector privado está en el apartado 3 del mismo artículo, que muchos pasan por alto. Su redacción es inequívoca: este real decreto «también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas».

Es decir: el ENS no nace para regular a la empresa privada por el hecho de serlo, sino que la atrae a su órbita cuando esa empresa se convierte en un eslabón de la cadena que sostiene un servicio público digital. La obligación no es genérica, es contextual. Por eso es tan importante distinguir los supuestos en los que aplica de verdad de aquellos en los que no, porque exigir conformidad ENS donde no toca es tan costoso como ignorarla donde sí. Si quieres el panorama completo del marco, parte de la guía completa del Esquema Nacional de Seguridad.

¿Cuándo está obligada una empresa privada al ENS?

ENS en el sector privado: ¿cuándo aplica a tu empresa?
Foto: jonathan mcintosh (CC BY 2.0)

La casuística práctica se reduce a tres grandes vías de entrada, más un cuarto supuesto de borde que conviene vigilar. Esta es la tabla que conviene tener delante antes de decidir si tu empresa necesita o no demostrar conformidad con el ENS.

¿Cuándo aplica el ENS a una empresa privada? Supuestos, base legal y qué exige
Supuesto Base legal ¿Aplica el ENS? Qué exige en la práctica
Proveedor que presta servicios o provee soluciones a una entidad del sector público (alojamiento, SaaS, desarrollo, soporte, tratamiento de datos administrativos…) Art. 2.3 RD 311/2022 Sí, de forma directa Política de seguridad (art. 12), adecuación al ENS y Declaración o Certificación de Conformidad según la categoría del sistema (básica, media o alta).
Subcontratista dentro de la cadena de suministro de un adjudicatario de contrato público Art. 2.3 RD 311/2022 (último párrafo) Sí, «en la medida que sea necesario» según análisis de riesgos El adjudicatario traslada requisitos del ENS a sus subcontratistas; conformidad proporcional al riesgo que aporta el eslabón.
Entidad privada vinculada o dependiente de una Administración (sociedad mercantil pública, fundación del sector público, consorcio) Art. 2.2 b) Ley 40/2015 + art. 2.1 RD 311/2022 Sí, como parte del sector público institucional cuando ejerce potestades administrativas Tratamiento equivalente al de la Administración matriz: política de seguridad, adecuación y conformidad.
Operador de sector regulado (servicios esenciales, financiero, telecomunicaciones) sin contrato público NIS2, DORA, normativa sectorial (reenvío) Indirecto: el ENS puede exigirse como marco de referencia o equivalente Marco de seguridad sectorial que, en algunos casos, toma el ENS como referente o lo exige por reenvío normativo.
Empresa privada sin vínculo con el sector público — No, el ENS no obliga directamente Cumplimiento voluntario; lo natural es la ISO/IEC 27001 como sistema de gestión de seguridad reconocido.

Como ves, la frontera no la marca el tamaño de la empresa ni su sector de actividad por sí mismos, sino la relación con el sector público: contractual, de control orgánico o de reenvío normativo. Profundizamos en la obligación general del proveedor en el artículo sobre cuándo es obligatorio el ENS para empresas y proveedores; aquí nos centramos en delimitar el alcance real de cada supuesto.

Supuesto 1: proveedores que prestan servicios al sector público

Es, con diferencia, la vía de entrada más frecuente. Si tu empresa firma un contrato con una entidad pública para prestar un servicio o suministrar una solución que da soporte a sus competencias y potestades administrativas, el ENS te aplica directamente. No hace falta que manejes información clasificada ni datos especialmente sensibles: basta con que el sistema de información que usas para prestar ese servicio sustente, total o parcialmente, la actividad administrativa del cliente público.

Los ejemplos abundan: una empresa que aloja en su nube el gestor de expedientes de un ayuntamiento; un desarrollador que mantiene la sede electrónica de una consejería; una compañía de soporte que administra el correo corporativo de un organismo; un proveedor SaaS de facturación, nóminas o expedientes sanitarios para una entidad pública. En todos ellos, los sistemas que sostienen el servicio entran en el ámbito del ENS.

El propio apartado 3 añade una obligación expresa y mínima incluso para el proveedor: contar con la política de seguridad del artículo 12, que en estas entidades «será aprobada por el órgano que ostente las máximas competencias ejecutivas». Es decir, la dirección de la empresa asume formalmente el compromiso de seguridad, igual que lo haría un órgano de gobierno público. A partir de ahí, la profundidad de la adecuación dependerá de la categoría del sistema.

¿Cómo llega el ENS a través de los pliegos de contratación?

El mecanismo concreto por el que el ENS aterriza en una empresa privada es la contratación pública. El último párrafo relevante del artículo 2.3 lo formula así: los pliegos de prescripciones administrativas o técnicas de los contratos que celebren las entidades del sector público «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas, tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS».

Dicho de otro modo: la Administración está obligada a meter el ENS en sus pliegos. Esto conecta directamente con la Ley 9/2017, de Contratos del Sector Público, que es el cauce por el que esos requisitos de solvencia técnica y de seguridad llegan a los licitadores. Para muchas empresas, la consecuencia operativa es contundente: sin conformidad ENS no se puede ni licitar a determinados contratos, o se queda fuera en la fase de admisión. La conformidad deja de ser una mejora «nice to have» y pasa a ser un requisito de acceso al mercado público.

Esto cambia el momento de la planificación. Si tu empresa aspira a contratos públicos de servicios digitales, la adecuación al ENS hay que tenerla resuelta antes de que salga la licitación, no después de leer el pliego. Adecuarse lleva meses; un plazo de presentación de ofertas, días. Anticiparse es la diferencia entre presentarte o mirar cómo el contrato se lo lleva otro. Para el desglose completo de categorías, plazos y cómo distinguir un requisito de solvencia de una condición especial de ejecución dentro del pliego, puede consultar la guía de ENS para proveedores en licitaciones y pliegos de la Administración.

Supuesto 2: la cadena de suministro del contratista

El artículo 2.3 cierra con una cautela que amplía notablemente el alcance: «Esta cautela se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Aquí está la segunda vía de entrada, y la que pilla por sorpresa a más empresas.

Significa que no hace falta ser tú quien firma con la Administración. Si eres subcontratista, proveedor de un proveedor, o aportas un componente o servicio que el adjudicatario integra en lo que entrega al cliente público, puedes verte arrastrado a las exigencias del ENS. El adjudicatario, para poder garantizar su propia conformidad, trasladará requisitos hacia atrás en su cadena: a su proveedor de hosting, a su empresa de mantenimiento, a su desarrollador externo.

La extensión no es automática ni ilimitada. El propio texto la modula con dos condiciones: que sea «necesario» y que resulte «de acuerdo con los resultados del correspondiente análisis de riesgos». Es decir, se aplica de forma proporcional al riesgo que cada eslabón aporta. Un proveedor de papelería no entra; un proveedor de infraestructura cloud crítica, casi con seguridad sí. El criterio es técnico, no formal, y lo fija el análisis de riesgos del contrato. Las guías de la serie 800 del CCN-STIC (en particular las de cumplimiento y verificación de la conformidad) dan el detalle metodológico para trasladar esos requisitos a la cadena de suministro.

¿Qué son las entidades vinculadas o dependientes?

El tercer supuesto no nace de un contrato, sino del control orgánico. La remisión del artículo 2.1 del RD 311/2022 a la Ley 40/2015 trae consigo una categoría que tiene apariencia privada pero naturaleza pública a estos efectos: las entidades del sector público institucional.

El artículo 2 de la Ley 40/2015 incluye en el sector público no solo a las Administraciones territoriales, sino a los organismos y entidades vinculados o dependientes de ellas. Entre ellos hay entidades de derecho privado —sociedades mercantiles estatales, autonómicas o locales, fundaciones del sector público, consorcios— que, pese a su forma jurídica privada, están controladas por la Administración. La propia Ley 40/2015 precisa que estas entidades privadas vinculadas o dependientes se rigen por las normas que les sean específicamente aplicables y, «en todo caso, cuando ejerzan potestades administrativas», por el derecho administrativo.

La consecuencia para el ENS es clara: una sociedad mercantil pública de agua, transporte o vivienda, o una fundación dependiente de una consejería, está dentro del ámbito del ENS como cualquier organismo público, aunque su CIF y su forma societaria parezcan los de una empresa al uso. No es proveedor de la Administración: es sector público a efectos de seguridad de la información. Conviene revisar la naturaleza jurídica exacta de la entidad antes de concluir nada, porque la línea entre «sociedad pública» y «empresa privada con cliente público» tiene efectos muy distintos.

¿El ENS afecta a los sectores regulados?

El cuarto supuesto es más difuso y conviene tratarlo con cautela para no exagerar. Hay empresas privadas que, sin prestar servicios a la Administración y sin ser entidades vinculadas, acaban en la órbita de marcos de seguridad equiparables o que toman el ENS como referente. Es el caso de operadores de servicios esenciales y entidades de sectores regulados, donde normas como la Directiva NIS2 (ciberseguridad de servicios esenciales y digitales) o el Reglamento DORA (resiliencia operativa digital del sector financiero) imponen obligaciones de seguridad propias.

En estos casos, el ENS no aplica como obligación directa, pero entra en escena de dos maneras. Por un lado, como marco de referencia: una empresa que ya tiene su sistema adecuado al ENS parte con buena parte del trabajo hecho para NIS2 o para otras exigencias sectoriales, porque las medidas se solapan. Por otro lado, por reenvío normativo: ciertas normas sectoriales o ciertos pliegos remiten al ENS o a sus medidas como estándar de control. Conviene mapear cómo encajan ENS, el cumplimiento del RGPD, NIS2 y DORA antes de decidir qué marco te exige cada cliente o cada norma.

La regla práctica: si operas en un sector regulado, no asumas automáticamente que el ENS te obliga, pero tampoco lo descartes sin analizarlo. El detonante real será siempre una norma concreta o una cláusula contractual, no el ENS por sí solo.

ENS o ISO 27001: ¿qué necesita realmente tu empresa privada?

Una confusión habitual es plantear ENS e ISO/IEC 27001 como alternativas excluyentes. No lo son. El ENS es un marco obligatorio y de origen legal cuando concurren los supuestos vistos; la ISO 27001 es un estándar voluntario e internacional que cualquier empresa puede adoptar para gestionar su seguridad, tenga o no relación con el sector público.

Para una empresa privada sin vínculo público, la ISO 27001 es el camino lógico: aporta un sistema de gestión reconocido, mejora la posición frente a clientes y aseguradoras y no impone una obligación legal que no existe. Para una empresa que sí entra en el ámbito del ENS, la buena noticia es que ambos marcos comparten una parte importante de controles, de modo que tener una ISO 27001 madura reduce el esfuerzo de adecuación al ENS. Hemos desarrollado esta comparación en la guía completa de la ISO 27001, que ayuda a decidir el orden de prioridades según el perfil de cada empresa.

El error que más cuesta dinero es el inverso al que abre este artículo: empresas que se certifican en ISO 27001 creyendo que con eso cubren la exigencia de un pliego público y descubren tarde que el cliente pedía conformidad ENS, que es otra cosa. Identificar qué marco necesitas —y cuándo— es la primera decisión, y la más rentable.

Cómo anticiparse: pasos para una empresa privada

Si sospechas que tu empresa puede entrar en el ámbito del ENS, conviene no esperar a leerlo en un pliego. Una hoja de ruta razonable:

  1. Determina tu supuesto. Revisa con la tabla de arriba si eres proveedor directo, eslabón de una cadena de suministro, entidad vinculada o dependiente, u operador de sector regulado. De ahí depende todo lo demás.
  2. Identifica los sistemas afectados. No todo tu parque tecnológico entra: solo los sistemas de información que sustentan el servicio prestado al sector público. Acotar el alcance evita sobredimensionar el proyecto.
  3. Categoriza el sistema. Básica, media o alta, en función del impacto sobre las dimensiones de seguridad. La categoría decide si basta una autoevaluación (Declaración de Conformidad) o hace falta una auditoría de certificación.
  4. Aprueba tu política de seguridad. Es obligación expresa del artículo 12 incluso para el proveedor privado, y debe aprobarla la dirección.
  5. Adecúate y demuestra conformidad. Implanta las medidas del Anexo II proporcionales a tu categoría y obtén la Declaración o Certificación de Conformidad que te pedirá el pliego.

Este recorrido tiene plazos que se miden en meses, no en semanas, y un acompañamiento experto evita callejones sin salida. Para la parte de implantación contamos con un servicio específico de consultoría de implantación del ENS, y para verificar que llegas en condiciones a la certificación, con la preparación de la auditoría ENS. Trabajamos con empresas de toda España; si estás en Canarias, puedes ver nuestro enfoque desde la consultoría de cumplimiento en Las Palmas.

La casuística general del artículo 2.3 se traduce de forma distinta según el sector de actividad. Estos son los perfiles que con más frecuencia preguntan por su encaje en el ENS:

Consultoría y servicios profesionales: cuándo entra el ENS

Las firmas de consultoría estratégica, auditoría, ingeniería, arquitectura o servicios jurídicos que trabajan para la Administración no quedan al margen del ENS solo por no ser empresas tecnológicas. El criterio que activa la obligación es si el servicio se apoya en sistemas de información que sustentan la actividad administrativa del cliente público: una consultora que opera una plataforma de gestión de subvenciones, una ingeniería que administra el sistema de información geográfica de un ayuntamiento, o un despacho que gestiona un aplicativo de tramitación de expedientes entran en el ámbito del artículo 2.3. Si el encargo se limita a informes o dictámenes puntuales, sin acceso continuado a sistemas ni tratamiento de datos administrativos, el ENS no se activa; conviene revisar el objeto real del contrato antes de asumir que aplica o que no aplica.

Tecnología y SaaS que da servicio a las Administraciones Públicas

Es el supuesto más directo: proveedores de software como servicio, hosting, ciberseguridad o integración de sistemas cuyo producto sostiene, total o parcialmente, la actividad de un organismo público. Aquí no importa el tamaño del proveedor ni si es una empresa consolidada o una startup: lo relevante es que el sistema contratado forma parte de la infraestructura desde la que la Administración ejerce sus competencias. Un ERP de gestión municipal alojado en la nube, una plataforma de tramitación electrónica o un sistema de videovigilancia urbana conectado en red son ejemplos habituales de este supuesto. La categoría del sistema —básica, media o alta— determina si basta con una Declaración de Conformidad o si hace falta Certificación por entidad acreditada, y el propio pliego suele fijar el plazo para aportarla tras la adjudicación.

Gestorías y asesorías que tramitan ante la Administración

Las gestorías y asesorías fiscales, laborales o administrativas trabajan a diario con sedes electrónicas y registros públicos en nombre de sus clientes, y eso por sí solo no las convierte en sujetos obligados por el ENS: actuar como representante ante la Administración usando los sistemas propios de esta no equivale a prestarle un servicio. La obligación aparece cuando la gestoría firma un contrato con un organismo público para gestionar, con sistemas propios, algún proceso administrativo por cuenta de este —por ejemplo, la tramitación externalizada de ayudas o expedientes de un ayuntamiento sin medios propios—. En ese momento la asesoría deja de ser un mero intermediario de sus clientes y pasa a ser proveedora de la Administración, con las obligaciones del artículo 2.3.

Seguridad privada: vigilancia, control de accesos y videovigilancia en edificios públicos

Las empresas de seguridad privada que prestan vigilancia, control de accesos o central receptora de alarmas para edificios públicos entran en el ámbito del ENS cuando esos servicios se apoyan en sistemas de información conectados o integrados con los del organismo contratante: videovigilancia con grabación centralizada, control de accesos con base de datos de personal público, o plataformas de gestión de incidencias compartidas con la Administración. Un servicio de vigilante físico sin sistemas conectados no activa el ENS por sí mismo; una central que recibe y gestiona señales de varias dependencias públicas a través de una plataforma propia, sí. El pliego de este tipo de contratos suele detallar con precisión qué sistemas quedan sujetos a la exigencia de conformidad.

Sanidad concertada: cuándo alcanza el ENS a un centro privado con concierto público

Los hospitales, clínicas o centros sociosanitarios privados que operan bajo concierto con un servicio público de salud no entran automáticamente en el ENS por el mero hecho de atender pacientes derivados de la sanidad pública. La obligación surge cuando el centro interconecta sistemas de información —historia clínica electrónica, citación, facturación de la actividad concertada— con los sistemas del servicio de salud, sustentando así una competencia administrativa de este. Ocurre, por ejemplo, en centros que deben volcar resultados en la plataforma clínica autonómica o que facturan la actividad concertada a través de un sistema integrado con el organismo pagador. Cuanto mayor sea esa integración de sistemas, mayor la probabilidad de que el convenio o el pliego exija conformidad ENS proporcional a la exposición.

Preguntas frecuentes

¿El ENS aplica a empresas privadas?

Sí, pero no a cualquier empresa privada ni en cualquier circunstancia. El artículo 2.3 del RD 311/2022 lo aplica a las entidades del sector privado cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones al sector público para el ejercicio de sus competencias y potestades administrativas. También alcanza a su cadena de suministro y a las entidades privadas vinculadas o dependientes de la Administración. Una empresa privada sin ningún vínculo con el sector público no está obligada directamente por el ENS.

¿Cuándo está obligada una empresa privada al ENS?

En tres supuestos principales: cuando es proveedor que presta servicios o suministra soluciones a una entidad pública (art. 2.3); cuando forma parte de la cadena de suministro de un contratista público, en la medida que resulte del análisis de riesgos; y cuando es una entidad privada vinculada o dependiente de la Administración, que entra como sector público institucional vía artículo 2 de la Ley 40/2015. La exigencia concreta se materializa habitualmente en los pliegos de contratación.

¿Qué son las entidades vinculadas o dependientes?

Son organismos y entidades —incluidas algunas de forma jurídica privada, como sociedades mercantiles públicas, fundaciones del sector público o consorcios— controladas por una Administración y, por ello, integradas en el sector público institucional según el artículo 2 de la Ley 40/2015. Aunque tengan apariencia de empresa privada, a efectos del ENS se tratan como parte del sector público, especialmente cuando ejercen potestades administrativas.

¿El ENS afecta a los sectores regulados?

No de forma directa por el solo hecho de operar en un sector regulado. Sin embargo, normas como NIS2 o DORA imponen obligaciones de seguridad propias que se solapan con el ENS, y algunas exigencias sectoriales o pliegos toman el ENS como marco de referencia o lo exigen por reenvío normativo. Por eso una empresa de un sector regulado debe analizar caso por caso si alguna norma o contrato le acaba exigiendo conformidad ENS o un marco equivalente.

Fuentes

Si tras leer esto cree que a su empresa le aplica y no sabe por dónde empezar, puedo hacerlo con usted: así trabajo la certificación ENS para empresas.