Niveles y Categorías del ENS (Básica, Media, Alta): Cómo Elegir la Tuya

El ENS tiene tres categorías —básica, media y alta— y la que te corresponde no se elige, se deduce. Valoras las cinco dimensiones de seguridad de tu sistema (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) en niveles bajo, medio o alto, y luego aplicas la regla del artículo 40 del Real Decreto 311/2022: el sistema es de categoría alta si alguna dimensión llega a nivel alto; media si alguna llega a medio (y ninguna a alto); y básica si alguna llega a bajo (y ninguna a medio ni alto). La pregunta correcta no es "¿qué nivel quiero?", sino "¿qué daño causaría un incidente?".

Esta es la duda con la que arranca casi todo el mundo que se enfrenta al ENS por primera vez, y es donde más se equivoca: o se quedan cortos por desconocimiento, o se pasan "por si acaso" y se cargan con medidas que no necesitan. Esta guía es deliberadamente práctica: te doy la regla, un árbol de decisión, ejemplos por tipo de servicio y el detalle de cuántos controles y qué coste implica cada categoría, para que aciertes con la tuya.

Ayudo a empresas y entidades a categorizar sus sistemas desde Castilla y León y Canarias, y el método siempre es el mismo: primero el impacto, después el nivel, nunca al revés.

El ENS no numera sus categorías: qué significa cada «nivel 2» que circula

El anexo I del Real Decreto 311/2022 es explícito: «Se definen tres categorías de seguridad: BÁSICA, MEDIA y ALTA» y cada dimensión afectada «se adscribirá a uno de los siguientes niveles de seguridad: BAJO, MEDIO o ALTO». Ni una cifra. Todo lo numerado que ves fuera de la norma es traducción de terceros. Las cuatro lecturas que me llegan:

1. Categoría media, contando básica como 1, media como 2 y alta como 3. Es la intención habitual y casi siempre la correcta.
2. Nivel MEDIO de una dimensión concreta, el segundo escalón del anexo I. No es lo mismo: una dimensión en medio implica al menos categoría media —el apartado 4.1.b) exige además que ninguna alcance un nivel superior—, pero el pliego puede estar hablando solo de la disponibilidad, no de las cinco.
3. Nivel de madurez L2 del apartado 6 del anexo II. Este sí existe con ese número en el texto legal, y corresponde a la categoría básica.
4. El apartado 2.2 del anexo III, que titula su epígrafe 2 «Niveles de auditoría» y lo divide en 2.1 (BÁSICA) y 2.2 (MEDIA o ALTA). Quien haya leído el anexo por encima puede llamar «nivel 2» a lo que allí se numera 2.2.

Y un quinto error de vocabulario muy extendido: los pliegos que piden «ENS categoría baja». No existe. Bajo es un nivel de dimensión; la categoría se llama básica. Si el documento mezcla ambos vocabularios, la categoría no se ha derivado de un análisis de impacto y merece la pena preguntar antes de dimensionar la oferta.

Cuántos niveles tiene el ENS

El ENS define tres categorías de seguridad para los sistemas: básica, media y alta. No hay una cuarta ni medias tintas. Lo que sí tiene matices es cómo se llega a cada una, porque la categoría es el resultado de valorar antes cinco dimensiones de seguridad en tres niveles (bajo, medio, alto).

Conviene no confundir conceptos: las dimensiones (qué garantías protege el sistema) se valoran en niveles, y de esos niveles se deriva la categoría del sistema completo. Las cinco dimensiones —el conjunto CIDAT— las explico a fondo en las 5 dimensiones de seguridad del ENS.

La regla del impacto: cómo se determina la categoría

El corazón de la decisión está en el artículo 40 del RD 311/2022. La categoría del sistema la fija la dimensión más exigente: no se promedia, se toma el máximo. Esta es la regla, sin ambigüedad:

La consecuencia es importante: basta con que una sola dimensión sea alta para que todo el sistema sea de categoría alta, con todo lo que eso implica en medidas y refuerzos del Anexo II. Por eso valorar bien cada dimensión —ni por exceso ni por defecto— es la decisión más rentable de toda la adecuación.

Cómo saber si tu sistema es de nivel básico, medio o alto

El nivel de cada dimensión se determina por el impacto que tendría un incidente que afectara a esa garantía. El RD 311/2022 lo gradúa así:

• Nivel BAJO: el incidente causaría un perjuicio limitado a las funciones, los activos o las personas afectadas.
• Nivel MEDIO: el incidente causaría un perjuicio grave.
• Nivel ALTO: el incidente causaría un perjuicio muy grave, incluso irreparable.

La valoración examina el efecto sobre la capacidad de la organización para cumplir sus objetivos, proteger sus activos, atender sus obligaciones de servicio y respetar la legalidad y los derechos de las personas. No es un juicio caprichoso: se argumenta dimensión a dimensión.

Árbol de decisión para categorizar tu sistema

Aplica esta secuencia, una dimensión cada vez. Hazte estas preguntas para confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad:

1. ¿Un incidente en esta dimensión causaría un perjuicio muy grave o irreparable? Si sí → la dimensión es ALTA. Detente: el sistema completo será de categoría alta.
2. ¿Causaría un perjuicio grave (pero no irreparable)? Si sí → la dimensión es MEDIA.
3. ¿Causaría solo un perjuicio limitado? Si sí → la dimensión es BAJA.
4. ¿La dimensión no aplica al sistema? No se le asigna nivel.

Cuando hayas valorado las cinco, quédate con el nivel más alto que haya aparecido: ese determina la categoría. Es un sistema deliberadamente conservador, porque el ENS prioriza no infravalorar el riesgo.

Ejemplos por tipo de servicio

Los ejemplos ayudan a calibrar, aunque cada caso real exige su propia valoración. Esta tabla orienta sobre dónde suelen caer distintos servicios:

El patrón es claro: en cuanto entra en juego un dato especialmente protegido o un servicio cuya indisponibilidad tendría consecuencias graves, la categoría escala. Un portal que solo informa rara vez pasará de básica. Como referencia, la categoría básica es habitual en intranets corporativas sin datos sensibles, webs meramente informativas y sistemas de pequeños ayuntamientos; la media, en gestores documentales, plataformas de contratación electrónica y sistemas de gestión económico-financiera; y la alta, en sistemas con información clasificada nacional, infraestructuras críticas, servicios esenciales de sanidad o justicia y plataformas de voto electrónico.

Qué cambia entre básico, medio y alto

Subir de categoría no es una etiqueta: cambia el esfuerzo real de cumplimiento en tres frentes.

• Medidas del Anexo II. A mayor categoría, más medidas aplicables y, sobre todo, más refuerzos activos sobre cada medida. Lo detallo en el Anexo II explicado.
• Verificación. Básica admite autoevaluación; el artículo 31 somete a todos los sistemas a una verificación regular ordinaria al menos cada dos años; lo que cambia con la categoría es el instrumento, porque en básica el anexo III admite una autoevaluación documentada en lugar de la auditoría. Lo trato en el Anexo III y la auditoría de conformidad.
• Coste y plazos. Cada salto de categoría incrementa el trabajo de implantación y la documentación de evidencia.

De ahí la importancia de no sobredimensionar: declararte de categoría alta "para ir sobre seguro" te obliga a sostener medidas, refuerzos y auditorías que quizá tu sistema no necesita. La categoría correcta es la que se ajusta al impacto real, ni más ni menos.

Cuántos controles del Anexo II aplican según la categoría

Para dimensionar el esfuerzo real, conviene tener una cifra de referencia: de las 73 medidas del Anexo II, 45 se seleccionan por la categoría del sistema y 28 por el nivel de cada dimensión afectada. El techo de una categoría básica con todas sus dimensiones en bajo son 52 medidas; el de una media con todas en medio, 68; el de una alta con todas en alto, las 73. Por bloques: el marco organizativo son 4 medidas, el marco operacional 33 y las medidas de protección 36, que suman las 73 del anexo; cuántas de ellas te aplican depende de tu categoría y del nivel de cada dimensión, no del bloque.

La verificación también tiene un coste asociado a la categoría: la certificación de categoría media o alta debe emitirla una entidad acreditada por ENAC mediante auditoría externa formal, mientras que en básica basta con una declaración de conformidad firmada por el responsable del sistema, sin auditoría externa. Como referencia orientativa, en una PYME la adecuación más auditoría de categoría media suele moverse entre 8.000 y 25.000 €; en básica el coste se reduce de forma notable al no requerir auditoría.

El «2» que sí está en la norma: el nivel de madurez L2

El apartado 6 del anexo II introduce el modelo de madurez de capacidad (CMM) para valorar cómo de implantada está cada medida, no cuáles aplican. Anuncia cinco niveles y enumera seis etiquetas, de L0 a L5: inexistente, inicial ad hoc, reproducible pero intuitivo, proceso definido, gestionado y medible, y optimizado. Y fija un mínimo por categoría:

De ahí sale la confusión más cara. Si alguien lee «nivel 2» como L2 y lo aplica a un sistema categorizado como medio, se queda un escalón por debajo del mínimo: la media pide L3, con normativa y procedimientos detallados y documentados, no procedimientos que existen pero «no están suficientemente documentados o no cubren todos los aspectos requeridos», que es la definición literal de L2 en el anexo.

Esto explica también por qué dos organizaciones con la misma categoría reciben informes muy distintos: una puede tener las medidas bien seleccionadas y suspender por madurez, con procedimientos que se aplican de memoria y sin registro. Selección y madurez son ejes independientes, y el anexo II los evalúa por separado.

Ejemplo completo: categorizar paso a paso una sede electrónica

Veamos el método aplicado de principio a fin. Imagina la sede electrónica de un ayuntamiento mediano, donde la ciudadanía presenta solicitudes, consulta expedientes y recibe notificaciones con valor jurídico. Recorremos sus cinco dimensiones:

1. Confidencialidad: maneja datos personales de los ciudadanos (no especialmente protegidos). Una filtración causaría un perjuicio grave, pero no irreparable. → MEDIA.
2. Integridad: alterar un expediente o una resolución tendría consecuencias jurídicas serias. → ALTA.
3. Disponibilidad: su caída afecta a plazos administrativos, aunque existen vías presenciales alternativas. → MEDIA.
4. Autenticidad: debe garantizarse que quien presenta o firma es quien dice ser; un fallo abriría la puerta a fraudes. → ALTA.
5. Trazabilidad: el valor probatorio de las notificaciones depende de registros fiables. → ALTA.

El nivel más alto que ha aparecido es ALTO (en tres dimensiones). Por tanto, el sistema es de categoría alta, aunque dos de sus dimensiones sean solo medias. Este es justo el efecto de la regla del máximo: no importa que la mayoría sean medias; basta con una alta para fijar la categoría. Ese sistema deberá implantar las medidas de categoría alta del Anexo II, con sus refuerzos, y someterse a auditoría formal cada dos años.

Fíjate en lo que habría pasado si hubiéramos valorado mal una sola dimensión: rebajar la integridad a media "porque rara vez pasa" habría cambiado toda la categoría y, con ella, el alcance del cumplimiento. De ahí la importancia de argumentar cada nivel con honestidad.

¿Cuánto esfuerzo supone cada categoría?

Subir de categoría no es gratis, y conviene tenerlo presente al valorar para no infraestimar ni sobredimensionar. A título orientativo, así crece el esfuerzo:

El salto más relevante en términos de carga suele ser el de básica a media, porque introduce la auditoría formal. De media a alta, el incremento viene sobre todo de los refuerzos y de la profundidad de la evidencia. Por eso una categorización honesta —ni a la baja por comodidad ni al alza por miedo— es la decisión que más impacto tiene en el coste total de la adecuación.

Quién decide la categoría del sistema

La categorización no es decisión del equipo técnico en solitario. Es una decisión de negocio y de responsabilidad: el artículo 41 reparte el papel en dos. Las valoraciones de impacto corresponden al responsable o responsables de la información y de los servicios afectados (41.1); a partir de ellas, la determinación de la categoría de seguridad del sistema corresponde al responsable o responsables de la seguridad (41.2). No es una decisión técnica, pero tampoco es una decisión conjunta: cada uno firma lo suyo. El equipo técnico aporta el conocimiento de la arquitectura, pero quién valora el daño de un incidente es quien responde de la información.

Esta valoración no es para siempre: cuando el sistema cambia de forma sustancial —nuevos datos, nuevos servicios, nueva criticidad—, hay que revisarla; y, en todo caso, todos los años: el apartado 1 del anexo I obliga a reevaluar la categoría anualmente, o antes si cambian de forma significativa los criterios de determinación. Una categoría asignada hace años y nunca revisada es uno de los hallazgos habituales en auditoría. También debe revisarse cuando cambien los requisitos legales o contractuales, durante la revisión periódica de la política de seguridad y siempre antes de renovar la certificación. Una recategorización al alza —de básica a media, o de media a alta— exige implantar controles adicionales y puede requerir un proyecto de adecuación complementario.

Errores frecuentes al elegir el nivel

• Promediar las dimensiones. La categoría la fija la dimensión más alta, no la media. Una sola dimensión alta hace alto todo el sistema.
• Elegir "por seguridad" un nivel superior. Sobredimensionar dispara medidas, refuerzos y auditorías innecesarias.
• Valorar el sistema sin valorar el dato. El nivel nace del impacto sobre la información y el servicio, no de la tecnología empleada.
• No revisar tras los cambios. La categoría se revalida cuando el sistema evoluciona; no es una foto fija.

Qué exige de verdad un pliego que pide «ENS de nivel medio»

Que el pliego hable de ENS no es costumbre del sector, está en el artículo 2.3 del Real Decreto: los pliegos «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS», y mencionan «la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad». El mismo apartado añade algo que muchas ofertas pasan por alto: esa cautela se extiende a la cadena de suministro del contratista, según el análisis de riesgos. Si subcontratas el alojamiento o el desarrollo, entra en el perímetro.

La diferencia entre los dos documentos la fija el artículo 38: media y alta necesitan auditoría para la certificación, mientras que básica solo requiere autoevaluación para su declaración de conformidad, sin perjuicio de que pueda certificarse igualmente. La certificación la emite una entidad acreditada por ENAC, en los términos de la Instrucción Técnica de Seguridad de conformidad. Y el apartado 2 obliga a dar publicidad a declaraciones y certificaciones en el portal o la sede electrónica: si dudas de lo que tiene un competidor, ahí debería estar. El proceso lo desarrollo en ENS para proveedores de la Administración.

Sobre plazos, el artículo 31 dice más de lo que suele citarse. Somete a todos los sistemas del ámbito de aplicación a una verificación regular ordinaria «al menos cada dos años» —lo que cambia con la categoría es el instrumento, porque en básica el anexo III admite una autoevaluación documentada en lugar de la auditoría—, y añade una extraordinaria ante modificaciones sustanciales que puedan repercutir en las medidas exigidas, que además reinicia el cómputo de los dos años. El plazo puede extenderse tres meses por fuerza mayor no imputable. Y en categoría alta, según la gravedad de las deficiencias, el responsable del sistema puede suspender temporalmente el tratamiento, el servicio o la operación completa hasta subsanar.

Cuántas medidas aplican en categoría media: 45 por categoría y 28 por dimensión

Aquí conviene afinar la cifra que circula. Las 73 medidas del anexo II no se reparten de forma uniforme: la tabla de correspondencia del apartado 2.4 indica, medida a medida, si se selecciona por categoría del sistema o por el nivel de las dimensiones afectadas.

Las cifras del anexo II, contadas sobre el consolidado

Por bloques, el reparto real es 4 medidas de marco organizativo, 33 de marco operacional y 36 de protección. La consecuencia práctica: no hay «las medidas de la media». Hay las que te tocan según tu categoría y el nivel de cada dimensión, y si alguna se queda en bajo, el número baja. Los refuerzos pesan más de lo que parece: buena parte del salto de esfuerzo entre categorías no está en medidas nuevas, sino en refuerzos sobre medidas que ya tenías.

La categoría media no obliga a subir todas las dimensiones

Es el punto que más discusiones ahorra en una mesa de contratación, y está en el apartado 4.2 del anexo I: determinar la categoría no altera el nivel de seguridad de las dimensiones que no han influido en esa determinación. Que la integridad esté en medio y arrastre al sistema a categoría media no sube la trazabilidad a medio. Cada dimensión conserva su nivel y las medidas que dependen de ella se aplican en el escalón que le corresponde.

El anexo II ofrece además una vía que casi nadie usa: su apartado 2.2 permite segregar subsistemas que requieran un nivel de medidas distinto al del sistema principal, siempre que puedan delimitarse la información y los servicios afectados. Si tienes un servicio crítico conviviendo con un portal informativo en la misma infraestructura, segregar es la diferencia entre certificar todo en alta o certificar en alta solo lo que lo necesita.

Cómo responder a un pliego que dice «nivel 2»

1. Pregunta en la fase de consultas. «¿Categoría media conforme al artículo 40 y el anexo I del RD 311/2022?» es una aclaración legítima y deja constancia escrita.
2. Comprueba quién ha fijado la categoría. El artículo 41 reparte el papel: las valoraciones de impacto corresponden al responsable de la información o de los servicios; la determinación de la categoría, al responsable de la seguridad. Si nadie sabe quién firmó, la categoría del pliego es una estimación.
3. Delimita el alcance por escrito antes de presupuestar: qué sistema, qué servicios, qué dimensiones y qué subsistemas quedan dentro.
4. Verifica qué documento piden. Declaración y certificación no cuestan lo mismo ni tardan lo mismo, y en media o alta solo vale la segunda.
5. Mide dónde estás antes de comprometerte con un plazo, con el autodiagnóstico ENS, la guía del Esquema Nacional de Seguridad y el resumen del RD 311/2022. Y si lo que tienes delante no es un pliego concreto sino la duda de por dónde empezar y en qué orden, eso se decide antes de categorizar nada: cómo se prioriza la adecuación. Todo el Esquema está ordenado en el hub de ENS.

Categoría del sistema frente a perfiles de cumplimiento

Conviene anticipar un matiz que aparece en cuanto profundizas: la categoría no siempre es la última palabra sobre qué medidas te aplican. El RD 311/2022 introdujo los perfiles de cumplimiento específicos, conjuntos de medidas adaptados a un tipo de entidad o sector concreto y aprobados por el Centro Criptológico Nacional. Existen perfiles, por ejemplo, para entidades locales pequeñas o para determinados sectores, pensados para ajustar la exigencia a su realidad.

Esto significa que dos sistemas de la misma categoría pueden acabar con conjuntos de medidas distintos si a uno le aplica un perfil específico. Para la mayoría de organizaciones, sin embargo, el camino es el general: valorar dimensiones, derivar categoría y seleccionar las medidas del Anexo II correspondientes. Los perfiles son una capa de ajuste posterior, no un atajo para saltarse la categorización. Si tu entidad encaja en uno de esos colectivos, merece la pena comprobar si existe un perfil aplicable antes de abordar la adecuación.

Qué hacer una vez conoces tu categoría

Determinar la categoría no es el final, sino el punto de partida de la adecuación. Con la categoría en la mano, la hoja de ruta habitual es:

1. Documentar la valoración. Deja constancia escrita de cómo has valorado cada dimensión y por qué; el auditor lo pedirá.
2. Seleccionar las medidas del Anexo II que aplican a tu categoría, con sus refuerzos.
3. Redactar la Declaración de Aplicabilidad, justificando qué aplicas, qué excluyes y qué medidas compensatorias usas.
4. Implantar y evidenciar cada medida, ordenando la documentación que la respalda.
5. Verificar la conformidad: autoevaluación si eres categoría básica, auditoría formal si eres media o alta.

Cada uno de estos pasos tiene su propia complejidad, pero todos arrancan de una buena categorización. Si la base está bien puesta, el resto del proceso fluye; si la categoría está mal valorada, todo lo que viene después hereda el error.

Preguntas frecuentes sobre los niveles del ENS

¿Cuántos niveles tiene el ENS?

El ENS define tres categorías de sistema: básica, media y alta. Se derivan de valorar las cinco dimensiones de seguridad en tres niveles (bajo, medio, alto) y tomar el más exigente.

¿Cómo saber si mi sistema es de nivel básico, medio o alto?

Valora el impacto de un incidente en cada dimensión: perjuicio limitado es nivel bajo, perjuicio grave es medio y perjuicio muy grave es alto. La categoría del sistema la fija la dimensión con el nivel más alto, según el artículo 40 del RD 311/2022.

¿Qué cambia entre básico, medio y alto?

A mayor categoría, más medidas y refuerzos del Anexo II, verificación más exigente (misma periodicidad bienal en las tres, pero autoevaluación documentada en básica frente a auditoría en media y alta) y mayor coste de implantación y documentación.

¿Quién decide la categoría del sistema?

El artículo 41 reparte el papel en dos: las valoraciones de impacto corresponden al responsable o responsables de la información y de los servicios afectados (41.1) y, a partir de ellas, la determinación de la categoría de seguridad del sistema corresponde al responsable o responsables de la seguridad (41.2). No es una decisión técnica, pero tampoco conjunta: cada uno firma lo suyo.

¿Puedo tener un sistema con dimensiones de distinto nivel?

Sí, y es lo habitual: cada dimensión se valora por separado. La categoría del sistema completo la determina la dimensión que alcance el nivel más alto.

¿Tengo que elegir la categoría más alta para ir sobre seguro?

No. Sobredimensionar la categoría obliga a implantar medidas, refuerzos y auditorías que el sistema quizá no necesita. La categoría correcta es la que se ajusta al impacto real del sistema, justificada dimensión a dimensión.

Si no las tiene todas consigo con la categoría que le toca, es la clase de decisión que conviene no equivocar: puedo fijarla con usted dentro de la certificación ENS.

¿Existe el «nivel 2» en el ENS?

No como categoría. El RD 311/2022 define tres categorías con nombre —básica, media y alta— y tres niveles de dimensión —bajo, medio y alto—, sin numerarlos. El único nivel numerado de la norma es el de madurez L2 del apartado 6 del anexo II, que es el mínimo exigido a la categoría básica.

¿«ENS nivel 2» es lo mismo que categoría media?

Casi siempre esa es la intención de quien lo escribe, contando básica como 1 y media como 2. Pero no es terminología de la norma y conviene confirmarlo por escrito, porque leído como madurez L2 significaría justo lo contrario: el mínimo de la categoría básica. La media exige madurez L3.

¿Cuántas medidas del Anexo II aplican a un sistema de categoría media?

No hay un número fijo. De las 73 medidas, 45 se seleccionan por categoría —44 aplican en media— y 28 por el nivel de la dimensión, de las que 24 aplican con la dimensión en medio. El máximo para una categoría media con todas las dimensiones en medio son 68 medidas de 73.

¿Qué presento si el pliego pide «certificado ENS nivel 2»?

Si la categoría del sistema es media, un certificado de conformidad con el ENS emitido tras auditoría por una entidad de certificación acreditada por ENAC, conforme al artículo 38. Una declaración de conformidad por autoevaluación solo es suficiente en categoría básica.

Fuentes

• Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191) — artículo 40 (categorías) y Anexo I.
• Portal del ENS — CCN (ens.ccn.cni.es) — guías de categorización CCN-STIC 803 y 804.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191), texto consolidado consultado el 1 de agosto de 2026: artículos 2.3, 31, 38, 40 y 41; anexo I, apartados 1, 3 y 4; anexo II, apartados 2 y 6, y tabla de correspondencia del apartado 2.4; anexo III, apartado 2.
• Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad: Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas (BOE-A-2016-10109), publicada el 2 de noviembre de 2016 y vigente a 1 de agosto de 2026.
• Recuento de medidas y refuerzos: elaboración propia sobre la tabla de correspondencia del apartado 2.4 del anexo II del texto consolidado.