¿Quién Debe Cumplir el ENS? Obligatoriedad Empresas 2026

El ENS te obliga si eres empresa privada — pero solo bajo condiciones concretas que muchos proveedores del sector público desconocen, y el coste de ignorarlo va más allá de las sanciones formales.

Una de las preguntas más frecuentes que recibo es directa: ¿mi empresa tiene que cumplir el Esquema Nacional de Seguridad? La respuesta depende de su relación con el sector público y del tipo de servicios que presta. En esta guía analizo con detalle quién está obligado, quién debería estarlo aunque no lo sepa, y qué consecuencias tiene el incumplimiento.

Doy por sabido lo básico, así que si todavía no tiene una visión de conjunto del ENS, le sugiero empezar por un resumen rápido de qué es y volver después a esta lectura.

🛠️ Herramienta gratuita: puedes clasificar el nivel de riesgo de tu sistema de IA según el AI Act — sin registro, con datos oficiales.

Obligación directa: el sector público

El artículo 2 del Real Decreto 311/2022 establece que el ENS es de aplicación a todo el sector público, entendido en los términos de la Ley 40/2015. Esto incluye la Administración General del Estado (ministerios, organismos autónomos, agencias estatales), las Comunidades Autónomas y sus organismos dependientes, las Entidades Locales (ayuntamientos, diputaciones, cabildos, consejos insulares), las Universidades públicas y cualquier entidad de derecho público vinculada o dependiente de las anteriores.

No hay excepciones por tamaño. Un ayuntamiento de 500 habitantes tiene la misma obligación legal de cumplir el ENS que un ministerio, aunque la categoría de sus sistemas será probablemente diferente y, por tanto, los controles aplicables serán menos exigentes.

Obligación indirecta: el sector privado

Aquí es donde muchas empresas descubren que tienen una obligación que desconocían. El mismo artículo 2 del Real Decreto 311/2022 extiende la aplicación del ENS a los sistemas de información de las entidades del sector privado cuando presten servicios o provean soluciones a las entidades del sector público.

Empresas obligadas de facto

Están obligadas a cumplir el ENS todas las empresas que desarrollan, mantienen o evolucionan software utilizado por administraciones públicas. También las que prestan servicios de hosting, cloud computing o infraestructura TI al sector público. Las que gestionan, procesan o almacenan información clasificada por la Administración. Las empresas de outsourcing de servicios TIC para organismos públicos. Los integradores de sistemas que despliegan soluciones en entornos de la Administración. Y las empresas de telecomunicaciones que proveen servicios de comunicaciones al sector público.

La cadena de suministro digital

La obligatoriedad se extiende a toda la cadena de suministro. Si su empresa es subcontratista de un proveedor directo de la Administración y en esa cadena se maneja información del sector público, el ENS le aplica. Esto es algo que muchas empresas de segundo y tercer nivel desconocen hasta que el contratista principal les exige evidencias de cumplimiento.

¿Qué pasa con las empresas que no trabajan con la Administración?

Si su empresa opera exclusivamente en el sector privado y no tiene ninguna relación contractual directa o indirecta con el sector público, el ENS no le obliga legalmente. Sin embargo, cada vez más empresas privadas están adoptando el ENS voluntariamente por varias razones.

La primera es estratégica: muchas empresas prevén trabajar con la Administración en el futuro y quieren estar preparadas. La segunda es competitiva: el ENS demuestra un nivel de seguridad reconocido que aporta confianza a cualquier cliente. La tercera es operativa: el ENS proporciona un marco de seguridad sólido que complementa o sustituye a otros estándares.

El ENS en las licitaciones públicas: cada vez más exigente

La tendencia en la contratación pública es inequívoca. Cada vez más pliegos de licitación incluyen la certificación ENS como requisito de solvencia técnica, esto es, como condición imprescindible para poder presentar oferta, o como criterio de valoración que puntúa a las empresas certificadas frente a las que no lo están. Si lo que necesita es entender cómo se articula esa exigencia dentro del pliego (PCAP o PPT) y qué categoría le van a pedir como proveedor, lo desarrollo con detalle en mi guía sobre ENS para proveedores en licitaciones y pliegos.

En sectores como las TIC, la ciberseguridad, la consultoría tecnológica y los servicios digitales, la certificación ENS se está convirtiendo en un requisito de facto para acceder al mercado público. Las empresas que no se anticipen a esta tendencia se encontrarán excluidas de oportunidades de negocio significativas.

Y el ENS no juega solo en este terreno: sumarle una certificación ISO 9001 multiplica sus opciones en contratación pública, y en esa guía explico qué supone implantarla y certificarla.

Checklist de autodiagnóstico: ¿necesito el ENS?

Responda a las siguientes preguntas para determinar si su organización está obligada a cumplir el ENS.

¿Es su organización un organismo del sector público? Si la respuesta es sí, está obligado. ¿Desarrolla o mantiene software para administraciones públicas? Si es así, está obligado. ¿Presta servicios de hosting, cloud o infraestructura TI a organismos públicos? Obligado. ¿Procesa, almacena o transmite información clasificada por la Administración? Obligado. ¿Es subcontratista de un proveedor directo de la Administración en servicios TIC? Probablemente obligado. ¿Licita o planea licitar en contratos públicos del ámbito TIC? Altamente recomendable.

Si ha respondido afirmativamente a cualquiera de estas preguntas, debería evaluar seriamente su adecuación al ENS.

¿Qué consecuencias tiene incumplimiento?

El incumplimiento del ENS puede acarrear varias consecuencias. La exclusión de licitaciones públicas que exijan la certificación ENS como requisito es la consecuencia más inmediata y tangible. La resolución de contratos vigentes con la Administración es posible si se demuestra que el proveedor no cumple los niveles de seguridad exigidos. Las responsabilidades administrativas pueden derivarse si un incidente de seguridad afecta a datos o servicios públicos por carencias atribuibles al proveedor. Y el daño reputacional de un incidente de seguridad en un servicio público puede ser devastador para la empresa responsable.

El plazo para adecuarse es ahora

El Real Decreto 311/2022 no establece un periodo de gracia. La obligación es inmediata para todas las organizaciones incluidas en su ámbito de aplicación. Si su empresa trabaja con la Administración y aún no ha iniciado el proceso de adecuación, está asumiendo un riesgo legal y operativo que se incrementa con cada día que pasa.

Existen ayudas como el Kit Consulting, que financia el asesoramiento con 6.000 € por servicio dentro de un bono total de 12.000 € para empresas de 10 a 49 empleados, 18.000 € de 50 a 99 y 24.000 € de 100 a 249; la auditoría de certificación no entra en el bono y hoy la convocatoria figura finalizada. Un consultor especializado puede acelerar significativamente el proceso.

Si al llegar hasta aquí ha concluido que le toca adecuarse, el paso siguiente es decidir con quién hacerlo: en mi guía sobre consultoría ENS para empresas explico qué conviene exigirle a un consultor antes de firmar nada.

¿Sigue sin tener claro si el ENS obliga a su empresa? Escríbame y lo miramos. Con saber qué servicios presta al sector público y en qué punto de la cadena está, en una conversación de 30 minutos le digo si le aplica, qué le van a pedir y por dónde empezar. Sale de ahí con una respuesta, no con una propuesta comercial.

Si ha llegado hasta aquí porque un cliente público se lo exige y necesita resolverlo, puedo encargarme yo: así trabajo la consultoría ENS.

Los proveedores de servicios digitales a las AAPP también deben estar atentos al cumplimiento del AI Act, especialmente si sus soluciones incluyen componentes de inteligencia artificial que procesen datos de ciudadanos.