ENS para proveedores: ¿me obliga la Administración?

En breve: Si prestas servicios o provees soluciones a la Administración, el Esquema Nacional de Seguridad (ENS) puede aparecer en el pliego como requisito de solvencia o condición de ejecución. No es una obligación universal del sector privado: te obliga cuando el órgano de contratación lo exige porque sus sistemas se apoyan en los tuyos. El Real Decreto 311/2022 fija esa exigencia para la cadena de suministro pública.

Si tu empresa presta servicios o provee soluciones a la Administración, el Esquema Nacional de Seguridad (ENS) puede aparecer en el pliego como requisito de solvencia o condición de ejecución. No es una obligación universal del sector privado: te obliga cuando el órgano de contratación lo exige porque sus sistemas de información se apoyan en los tuyos. El propio RD 311/2022 ordena a las Administraciones incluir esa exigencia en sus contratos. La categoría (Básica, Media o Alta) la fija quien licita, según la información que vas a manejar.

Llega mucha consulta a mi mesa que empieza igual: "Nos hemos presentado a una licitación y en el pliego pone que hay que acreditar la conformidad con el ENS. No tenemos nada. ¿Estamos fuera?". La respuesta corta es que probablemente sigues dentro si actúas a tiempo, pero el ENS no se improvisa la semana antes de presentar la oferta. En este artículo me centro en el ángulo que más le importa a una empresa que quiere vender a las AAPP: cómo entra el ENS en los pliegos de contratación pública, qué categoría te van a exigir y cómo organizar el trabajo para llegar a la fecha límite. Si lo que buscas es el panorama general de la obligación, lo tienes desarrollado en el artículo sobre el ENS obligatorio para empresas y proveedores; aquí bajo al terreno concreto de las licitaciones.

Si el ENS obliga a las empresas privadas

El ENS nació para las Administraciones Públicas, no para el sector privado. Su base legal está en la Ley 40/2015 de Régimen Jurídico del Sector Público, y su desarrollo vigente es el Real Decreto 311/2022, de 3 de mayo. Una empresa privada que no trabaja con ninguna entidad pública no tiene, por este motivo, ninguna obligación de cumplir el ENS.

El matiz que lo cambia todo está en el artículo 2.3 del RD 311/2022. Ese apartado extiende la aplicación del ENS a los sistemas de información de las entidades del sector privado cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio de sus competencias y potestades administrativas. Dicho de otro modo: el ENS no te alcanza por ser privado, te alcanza por ser proveedor de lo público. Cuando tu sistema se convierte en una pieza del sistema de información de un organismo, tu seguridad pasa a ser parte de la suya.

Conviene tener clara la diferencia entre dos preguntas que se confunden a menudo. Una es "¿estoy dentro del ámbito del ENS?", que responde el artículo 2.3. La otra es "¿me lo van a exigir en este contrato concreto?", que responde el pliego de la licitación. Puedes estar potencialmente dentro del ámbito y no necesitar acreditar nada porque el servicio que prestas no toca información del organismo; o estar claramente dentro y tener que presentar una certificación auditada. El detonante práctico, casi siempre, es la cláusula del pliego.

¿Por qué me piden el ENS en una licitación?

Porque la propia norma se lo ordena al órgano de contratación. El artículo 2.3 del RD 311/2022 no se limita a definir el ámbito: también establece que los pliegos de prescripciones administrativas o técnicas de los contratos que celebren las entidades del sector público contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se apoyen los servicios prestados por los contratistas, tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS.

Esto significa que la Administración no está siendo exigente "de más" cuando te pide el ENS: está cumpliendo su propia obligación legal. Por eso ves cada vez con más frecuencia cláusulas de ENS en contratos de desarrollo de software, alojamiento, mantenimiento de aplicaciones, plataformas SaaS, servicios cloud, gestión documental, atención al ciudadano o cualquier servicio que toque datos del organismo. Y por eso ignorarlo no es una opción: si el pliego lo pide y tú no lo acreditas, tu oferta se excluye, por buena que sea técnica o económicamente.

El artículo 2.3 añade una cautela que muchas pymes pasan por alto: esa exigencia se extiende también a la cadena de suministro del contratista, en la medida en que sea necesario y de acuerdo con los resultados del análisis de riesgos. Si tú subcontratas parte del servicio (por ejemplo, el hosting a un tercero), ese tercero también queda dentro del foco. No te basta con estar tú conforme: tienes que poder responder por los eslabones de los que dependes.

Cómo aparece el ENS en el pliego: PCAP o PPT

Una licitación pública se gobierna por dos documentos, ambos regulados por la Ley 9/2017 de Contratos del Sector Público (LCSP). El Pliego de Cláusulas Administrativas Particulares (PCAP) fija las reglas del procedimiento y de la ejecución del contrato. El Pliego de Prescripciones Técnicas (PPT) describe el objeto y los requisitos técnicos. El ENS puede aparecer en cualquiera de los dos, y dónde aparezca cambia su naturaleza jurídica.

En la práctica verás la exigencia del ENS materializada de tres formas distintas, que no son lo mismo a efectos de oferta:

• Como requisito de solvencia técnica. El pliego pide acreditar la conformidad con el ENS para poder presentarse. Si no la tienes en el momento de licitar (o de adjudicar, según el pliego), quedas excluido. Es la versión más dura: la conformidad es una condición de entrada.
• Como condición especial de ejecución. El pliego permite licitar sin tener el ENS, pero obliga a obtenerlo en un plazo determinado tras la adjudicación (por ejemplo, antes del inicio del servicio o en los primeros meses). Da margen, pero el compromiso es vinculante y su incumplimiento puede acarrear penalidades o incluso resolución del contrato.
• Como criterio de adjudicación o mejora. Tener el ENS suma puntos frente a competidores que no lo tienen, aunque no sea estrictamente obligatorio. Aquí el ENS deja de ser un trámite y se convierte en ventaja competitiva.

Mi consejo cuando reviso un pliego con un cliente es leer con lupa el apartado de solvencia y el de condiciones de ejecución antes de decidir si nos presentamos. Si el ENS figura como solvencia y no lo tenemos, hay que valorar si llegamos a tiempo o si esa licitación concreta no es para esta vuelta. Confundir "condición de ejecución" con "requisito de solvencia" puede costar una exclusión o un compromiso imposible de cumplir.

Qué categoría del ENS te exigen como proveedor

Esta es la pregunta del millón, y la respuesta honesta es: la que decida el órgano de contratación. No la eliges tú. El ENS define tres categorías de seguridad (Básica, Media y Alta) en función del impacto que tendría un incidente sobre las cinco dimensiones de la seguridad (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad). El organismo valora esa información mediante su análisis de riesgos y fija en el pliego la categoría que te va a exigir.

Como orientación, y siempre sujeta a lo que diga el pliego concreto, esta es la lógica habitual:

• Categoría Básica. Servicios cuyo compromiso tendría un impacto limitado para el organismo. La conformidad se acredita mediante una Declaración de Conformidad, basada en una autoevaluación. No exige auditoría externa.
• Categoría Media. La más frecuente en contratos de cierto peso (SaaS, alojamiento de datos, aplicaciones de gestión). Exige Certificación de Conformidad, que solo puede emitir una entidad de certificación acreditada por ENAC tras una auditoría.
• Categoría Alta. Servicios críticos o que manejan información muy sensible. También exige certificación auditada, con los requisitos técnicos y organizativos más estrictos.

La frontera entre declaración y certificación la marca el artículo 38.1 del RD 311/2022: los sistemas de categoría Básica pueden acreditar su conformidad mediante una autoevaluación (Declaración), mientras que los de categoría Media o Alta necesitan obligatoriamente una auditoría para la Certificación. La guía CCN-STIC-809 del Centro Criptológico Nacional detalla los modelos de declaración, los procedimientos de certificación y los distintivos de cumplimiento. Conviene leerla antes de prometer plazos: una certificación Media no se obtiene en dos semanas. Si necesitas afinar la categoría, lo trato con detalle en mi guía sobre los niveles y categorías del Esquema Nacional de Seguridad.

Hoja de ruta: qué categoría te exigen y cómo llegar a tiempo

La tabla siguiente es una guía de criterio propia, construida a partir del articulado del RD 311/2022 y de la experiencia de preparar empresas para licitaciones reales. No sustituye al pliego (que siempre manda), pero te ayuda a estimar por dónde van los tiros antes de leerlo a fondo: qué categoría es probable según el servicio, por qué vía se acredita la conformidad y cuánto tiempo realista necesitas.

Los plazos no son caprichosos: una certificación de categoría Media implica un análisis de riesgos, la implantación del Anexo II de medidas, un periodo de funcionamiento del sistema con las medidas operando y, después, la auditoría por la entidad acreditada. Cada fase tiene su tiempo, y comprimirlas suele salir caro en calidad. Por eso insisto a mis clientes en lo mismo: la conformidad con el ENS se empieza antes de que salga el pliego que te interesa, no cuando ya está publicado con un mes de plazo de presentación.

Los pasos para preparar la conformidad

La hoja de ruta para llegar a una licitación con el ENS en orden tiene una secuencia bastante estable, la ajustes para Básica o para Media/Alta:

• 1. Determina el alcance y la categoría. Identifica qué sistema concreto soporta el servicio que vas a ofrecer a la Administración y categoriza según el impacto en las cinco dimensiones. Si ya tienes un pliego sobre la mesa, la categoría viene dada.
• 2. Redacta la política de seguridad. El artículo 12 del RD 311/2022 exige a las entidades del sector privado en el ámbito del ENS disponer de la política de seguridad de la información. Es el documento fundacional del que cuelga todo lo demás.
• 3. Haz el análisis de riesgos. Con una metodología reconocida (MAGERIT es la de referencia en el sector público español). De aquí salen las medidas que de verdad necesitas.
• 4. Implanta las medidas del Anexo II. Las que correspondan a tu categoría. No es solo tecnología: hay medidas de marco organizativo, operacional y de protección.
• 5. Declara o certifica. Para Básica, una Declaración de Conformidad por autoevaluación. Para Media o Alta, contratas la auditoría con una entidad acreditada por ENAC y obtienes la Certificación.
• 6. Mantente conforme. El ENS no es una foto fija: las certificaciones se renuevan y el sistema se audita periódicamente. La conformidad es un estado que se mantiene, no un sello que se cuelga y se olvida.

Si ya tienes una ISO 27001 implantada, parte de este camino está recorrido: el sistema de gestión de la seguridad y buena parte de los controles se reaprovechan. La relación entre ambos marcos la explico en la guía de ISO 27001 para la seguridad de la información; no son lo mismo, pero se solapan lo suficiente como para que tener una facilite la otra.

En qué momento del procedimiento se acredita el ENS

Que el pliego lo pida no es un capricho del técnico. El artículo 2.3 del RD 311/2022 obliga a que los pliegos administrativos o técnicos contemplen los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en que se sustenten los servicios del contratista, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad». Es una obligación del órgano de contratación, no una recomendación.

En un procedimiento abierto la secuencia tiene tres estaciones, y el papel solo aparece en la segunda:

1. Con la oferta, declaración responsable. El artículo 140.1.a) exige que las proposiciones vayan acompañadas de una declaración ajustada al formulario del DEUC, donde manifiestas, entre otras cosas, que cumples los requisitos de solvencia técnica del pliego. El modelo lo recoge el propio pliego (artículo 141.1).
2. Tras la clasificación, el requerimiento. El artículo 150.2 obliga a requerir al licitador con la mejor oferta para que en diez días hábiles, desde el siguiente a la recepción del requerimiento, aporte la documentación justificativa de lo declarado —también la de las empresas a cuyas capacidades recurra—, acredite que dispone de los medios que se comprometió a adscribir y constituya la garantía definitiva. Ese es el momento de la Declaración o la Certificación de Conformidad.
3. La adjudicación. El artículo 150.3 la sitúa dentro de los cinco días hábiles siguientes a la recepción de esa documentación.

Aquí está la trampa que arruina licitaciones. El artículo 140.4 dispone que las circunstancias de capacidad, solvencia y ausencia de prohibiciones de contratar deberán concurrir en la fecha final de presentación de ofertas y subsistir en el momento de perfección del contrato. Los diez días hábiles no son un plazo para adecuar un sistema ni para pasar una auditoría: son el plazo para enseñar lo que ya tenías el día que presentaste la oferta.

Y el reloj tiene sanción. Ese mismo artículo 150.2 establece que, si el requerimiento no se cumplimenta adecuadamente en plazo, se entiende que el licitador ha retirado su oferta y se le exige una penalidad del 3 por ciento del presupuesto base de licitación, IVA excluido, que se cobra en primer lugar contra la garantía provisional si se hubiera constituido; después se requiere al siguiente clasificado. No poder enseñar el papel a tiempo no te deja donde estabas: te deja fuera y con una factura.

El abierto simplificado corre más

Si el contrato va por el artículo 159 cambian dos cosas. El plazo: el artículo 159.4.f).4.º da siete días hábiles y los cuenta desde el envío de la comunicación electrónica, no desde que la lees. Y el registro: el artículo 159.4.a) exige estar inscrito en el ROLECE, o en el registro autonómico que proceda, en la fecha final de presentación de ofertas, siempre que ello no limite la concurrencia. Si no te ha dado tiempo hay una salida tasada: vale haber solicitado la inscripción antes de esa fecha, acreditándolo con el acuse de recibo del registro y una declaración responsable de haber aportado la documentación preceptiva y no haber recibido requerimiento de subsanación.

Este procedimiento se admite en obras de valor estimado igual o inferior a 2.000.000 de euros y, en suministros y servicios, por debajo de los umbrales de los artículos 21.1.a) y 22.1.a): 140.000 euros para la Administración General del Estado y asimilados, y 216.000 para el resto del sector público, según la actualización vigente a 31 de julio de 2026.

Los tres papeles que no son lo mismo

Cuando un pliego pide «acreditación de la conformidad con el ENS» puede estar pidiendo cosas distintas, y ni el coste ni el plazo se parecen:

El distintivo explica por qué hay pliegos que piden la URL: el técnico del organismo la comprueba sin esperar a tu respuesta. Cómo verificar que la acreditación de la certificadora es real lo tienes en la guía de certificadoras del ENS acreditadas por ENAC.

Que la categoría BÁSICA no necesite auditoría no significa que se resuelva con una hoja de cálculo y buena voluntad. El anexo III, apartado 2.1.a), admite que baste una autoevaluación hecha por el propio personal que administra el sistema o por quien este delegue, pero exige que el resultado esté documentado, indicando si cada medida está implantada y sujeta a revisión regular, y con las evidencias que lo sustentan. Tampoco te saca del ciclo del artículo 31.1: la comprobación regular sigue tocando al menos cada dos años, solo que en formato de autoevaluación.

Y hay un detalle del artículo 38.1 que casi nadie aprovecha: un sistema BÁSICA puede someterse igualmente a auditoría de certificación aunque la norma no se la exija. Si el pliego pide literalmente «certificación», esa puerta existe. Al revés no: una declaración no cubre una exigencia de certificación.

Tampoco la cubre una ISO 27001, y la confusión tiene origen concreto: el artículo 93.2 de la LCSP obliga, en contratos armonizados, a reconocer certificados equivalentes de otros Estados miembros y a aceptar otras pruebas de medidas equivalentes. Pero ese artículo habla de normas de garantía de la calidad, y la conformidad con el Esquema se determina por los procedimientos del artículo 38 del RD 311/2022. Acorta el camino; no sustituye al distintivo.

Cuatro comprobaciones antes de dar por buena tu conformidad

He visto rechazar documentación auténtica por no encajar con el pliego. Revísala antes de confiarte:

1. El alcance. Es el fallo caro. El certificado ampara un sistema concreto, con sus sedes y servicios. Si cubre tu ERP interno y el contrato va de una aplicación alojada en otra infraestructura, no sirve. Lee el anexo de alcance, no la portada.
2. La categoría. Un certificado de categoría BÁSICA no cubre una exigencia de MEDIA. Si no sabes dónde cae tu servicio, el autodiagnóstico ENS gratuito te orienta en unos minutos.
3. La vigencia. El artículo 31.1 del RD 311/2022 impone auditoría regular ordinaria al menos cada dos años, y extraordinaria siempre que haya modificaciones sustanciales que puedan repercutir en las medidas de seguridad. La extraordinaria reinicia el cómputo de los dos años, plazo que solo se extiende tres meses por fuerza mayor no imputable a la entidad titular.
4. El titular. Tiene que estar a nombre de la sociedad que licita. Si el sello es de la matriz o de tu proveedor de nube, estás en el supuesto siguiente.

Si no tienes el expediente a mano, este guion le pide a la certificadora exactamente lo que necesitas:

«Solicito copia del certificado de conformidad con el ENS de [RAZÓN SOCIAL] y de su anexo de alcance vigente, para acreditarlo ante [ÓRGANO DE CONTRATACIÓN] en el expediente [Nº DE EXPEDIENTE], cuyo objeto es [OBJETO DEL CONTRATO] y que exige categoría [BÁSICA / MEDIA / ALTA]. Confirmadme la fecha de la última auditoría, la fecha límite de la siguiente y si [SISTEMA O SERVICIO CONCRETO] queda dentro del alcance.»

Después de firmar: la conformidad hay que mantenerla viva

Cuando el ENS entra como condición especial de ejecución, el artículo 202.1 exige que esté vinculada al objeto del contrato, que no sea directa ni indirectamente discriminatoria, que sea compatible con el Derecho de la Unión Europea y que se indique en el anuncio y en los pliegos. El artículo 202.3 permite además que el pliego fije penalidades por su incumplimiento o le atribuya el carácter de obligación contractual esencial, lo que abre la vía de resolución del artículo 211.1.f); si te exigieron adscribir medios concretos, el artículo 76.2 integra esos compromisos en el contrato con el mismo tratamiento.

Hay una obligación que ni siquiera depende de que el pliego se acuerde de ella. Si la ejecución implica que la entidad pública te ceda datos, el artículo 202.1 impone al órgano incluir una condición especial de ejecución de sometimiento a la normativa de protección de datos, advirtiendo de que tiene carácter de obligación contractual esencial a efectos del artículo 211.1.f). En ese supuesto no hay margen de negociación: viene de serie.

Y dos piezas del ENS que se olvidan. La primera: el artículo 2.3 del RD 311/2022 obliga a las entidades privadas de su ámbito a contar con la política de seguridad del artículo 12, aprobada por el órgano que ostente las máximas competencias ejecutivas. No basta la firma del responsable de sistemas. La segunda: el artículo 33.7 obliga a las organizaciones privadas que prestan servicios a entidades públicas a notificar al INCIBE-CERT los incidentes que les afecten, a través de su equipo de respuesta a incidentes; el INCIBE-CERT lo traslada de inmediato al CCN-CERT. Rige desde el primer día de ejecución, así que el canal conviene tenerlo identificado antes de necesitarlo. El encaje del conjunto está en la guía completa del Esquema Nacional de Seguridad.

Qué pasa si no tienes el ENS y quieres licitar

Depende de cómo figure en el pliego. Si el ENS es requisito de solvencia y no lo acreditas en el momento exigido, tu oferta se excluye: no entras a valoración. Si es condición especial de ejecución, puedes licitar y comprometerte a obtenerlo en plazo, pero ese compromiso es vinculante; incumplirlo abre la puerta a penalidades e incluso a la resolución del contrato con sus consecuencias. Y si es criterio de adjudicación, no quedas fuera por no tenerlo, pero partes en desventaja frente a quien sí lo presenta.

En ningún escenario "no tener el ENS" es neutral cuando el pliego lo menciona. La buena noticia es que la mayoría de empresas que pierden una licitación por esto no es porque el ENS sea inalcanzable, sino porque llegaron tarde a enterarse de que lo necesitaban. Si trabajas con la Administración o aspiras a hacerlo, lo razonable es anticiparse: revisar tu cartera de licitaciones objetivo, ver qué categoría es previsible y arrancar la conformidad con margen. Para eso está la consultoría de implantación del ENS, que precisamente ordena este trabajo para que el sello llegue antes que la fecha de presentación.

Apoyarte en un tercero: medios externos, UTE y subcontratación

El artículo 75.1 de la LCSP admite basarse en la solvencia y medios de otras entidades, sea cual sea la naturaleza jurídica del vínculo, siempre que demuestres que durante toda la duración de la ejecución dispondrás efectivamente de esa solvencia y esos medios, y que la entidad a la que recurres no está incursa en prohibición de contratar. Las agrupadas en unión temporal pueden recurrir igual a capacidades ajenas a la UTE.

Los papeles van en dos momentos distintos, y ahí es donde la gente se equivoca. Con la oferta, cada entidad de la que te apoyes presenta su propia declaración responsable con el formulario del DEUC (artículo 140.1.c). El compromiso por escrito de esa entidad se aporta después: el artículo 75.2 lo sitúa en el requerimiento del artículo 150.2. La excepción es el abierto simplificado, donde la declaración del modelo de oferta ya tiene que pronunciarse sobre la existencia de ese compromiso (artículo 159.4.c). Traducido: si el ENS lo pone tu proveedor de alojamiento, el acuerdo con él tiene que estar cerrado antes de presentarte, aunque el documento se entregue más tarde.

La subcontratación va por otra vía y tiene dos tiempos. Si el pliego lo prevé, el artículo 215.2.a) obliga a indicar ya en la oferta la parte que piensas subcontratar, su importe y el nombre o el perfil empresarial del subcontratista. En todo caso, el artículo 215.2.b) exige comunicar por escrito la intención de subcontratar tras la adjudicación y, a más tardar, al iniciar la ejecución, con la identidad del subcontratista, la justificación de su aptitud y la acreditación de que no está incurso en prohibición de contratar.

Y hay una regla que impide subcontratar el problema: el artículo 202.4 dispone que todas las condiciones especiales de ejecución que formen parte del contrato serán exigidas igualmente a todos los subcontratistas que participen en él. Si el ENS entró como condición especial, alcanza a toda la cadena. Súmale la cautela del artículo 2.3 del RD 311/2022, que extiende los requisitos de conformidad a la cadena de suministro del contratista en la medida en que sea necesario y según el análisis de riesgos.

ENS, ISO 27001 y RGPD: el pack para licitar

En muchas licitaciones el ENS no viaja solo. Es habitual que el mismo pliego pida también certificación ISO 27001 y garantías de cumplimiento del RGPD, porque casi cualquier servicio a un organismo implica tratar datos personales. Abordarlos por separado es ineficiente: comparten análisis de riesgos, comparten controles y comparten documentación. Tiene mucho más sentido planificarlos juntos.

Para empresas que quieren posicionarse de forma estable como proveedoras de las AAPP he articulado una vía combinada que cubre los tres frentes a la vez; la detallo en el pack ISO 27001 + ENS + RGPD para licitaciones con las AAPP. La idea es sencilla: si vas a invertir en cumplimiento para vender a lo público, que la inversión sirva para el máximo de pliegos posibles y no haya que rehacer el trabajo en cada concurso.

Trabajo este tipo de proyectos desde consultor de digitalización en Castilla y León y Canarias, con empresas que licitan con ayuntamientos, diputaciones, consejerías y organismos autónomos. El patrón se repite: la conformidad bien planificada deja de ser un obstáculo y pasa a ser una llave que abre concursos a los que antes ni te podías presentar.

Preguntas frecuentes

¿El ENS es obligatorio para empresas privadas?

No con carácter general. Una empresa privada que no trabaja con el sector público no tiene obligación de cumplir el ENS. El artículo 2.3 del RD 311/2022 lo extiende al sector privado solo cuando, en virtud de una relación contractual, presta servicios o provee soluciones a entidades del sector público. La obligación práctica nace de la cláusula del pliego del contrato concreto.

¿Por qué me piden el ENS en una licitación?

Porque el RD 311/2022 obliga al órgano de contratación a incluir en sus pliegos los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en que se apoyan los servicios contratados, incluida la presentación de declaraciones o certificaciones de conformidad. No es exceso de celo del organismo: es el cumplimiento de su propia obligación legal.

¿Qué categoría del ENS me exigen como proveedor?

La fija el órgano de contratación en el pliego, según el análisis de riesgos sobre la información que vas a manejar. Como orientación: Básica para servicios de impacto limitado (se acredita por Declaración), Media para SaaS y tratamiento de datos de impacto moderado (Certificación auditada por entidad ENAC) y Alta para servicios críticos o información muy sensible. No la eliges tú.

¿Necesito certificación o basta una declaración?

Depende de la categoría. Según el artículo 38.1 del RD 311/2022, los sistemas de categoría Básica pueden acreditar su conformidad mediante autoevaluación (Declaración de Conformidad), mientras que los de categoría Media o Alta necesitan una Certificación de Conformidad emitida por una entidad acreditada por ENAC tras auditoría.

¿Qué pasa si no tengo el ENS y quiero licitar?

Depende de cómo figure en el pliego. Si es requisito de solvencia, quedas excluido si no lo acreditas. Si es condición especial de ejecución, puedes licitar comprometiéndote a obtenerlo en plazo, con penalidades si incumples. Si es criterio de adjudicación, no quedas fuera pero pierdes puntos. En todos los casos conviene anticiparse y empezar la conformidad antes de que salga el pliego.

¿Mis subcontratistas también tienen que cumplir el ENS?

Pueden tener que hacerlo. El artículo 2.3 del RD 311/2022 extiende la cautela a la cadena de suministro del contratista, en la medida necesaria y según el análisis de riesgos. Si subcontratas, por ejemplo, el alojamiento del servicio, ese tercero entra en el foco y debes poder responder por su conformidad en lo que afecte al contrato.

¿Cuánto tiempo tardo en estar conforme con el ENS para licitar?

Orientativamente, de cero: 2 a 4 meses para una Declaración de categoría Básica y 4 a 8 meses para una Certificación de categoría Media, porque esta última incluye análisis de riesgos, implantación de medidas, periodo de operación y auditoría. La categoría Alta puede llegar a 12 meses. Por eso conviene arrancar antes de que se publique el pliego objetivo, no después.

Si le están pidiendo esto en un pliego y el plazo aprieta, puedo encargarme yo: así trabajo la consultoría ENS para empresas.

¿Tengo que tener ya el ENS el día que presento la oferta?

Sí. Con la oferta solo va la declaración responsable en el formulario del DEUC (artículo 140.1.a de la LCSP), pero el artículo 140.4 exige que las circunstancias de capacidad y solvencia concurran en la fecha final de presentación de ofertas y subsistan al perfeccionarse el contrato. Los diez días hábiles del artículo 150.2 son para documentar la conformidad, no para obtenerla.

¿Pueden excluirme si el certificado no cubre el servicio del contrato?

Sí. El certificado ampara un sistema delimitado; si el alcance no incluye la infraestructura y los servicios con los que vas a ejecutar el contrato, no acreditas lo que el pliego pide. Es el rechazo más habitual entre empresas que sí tienen conformidad. Compara el anexo de alcance con el objeto del contrato antes de presentarte.

¿Puedo acreditar el ENS con el certificado de mi proveedor de hosting?

Puedes apoyarte en él por la vía del artículo 75 de la LCSP, si demuestras que dispondrás efectivamente de esos medios durante toda la ejecución, que la entidad no está incursa en prohibición de contratar y aportas su compromiso por escrito (artículo 75.2). Lo que no cabe es presentar el certificado ajeno como si fuera propio.

¿Qué pasa si no llego a tiempo con la documentación?

El artículo 150.2 de la LCSP lo resuelve sin margen: si no cumplimentas adecuadamente el requerimiento en los diez días hábiles, se entiende que has retirado la oferta y se te exige una penalidad del 3 por ciento del presupuesto base de licitación, IVA excluido, que se cobra en primer lugar contra la garantía provisional si se constituyó. En el abierto simplificado el plazo es de siete días hábiles desde el envío de la comunicación (artículo 159.4.f.4.º).

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE, texto consolidado) — art. 2.3 (ámbito sector privado y pliegos), art. 12 (política de seguridad), art. 38 (conformidad por categorías).
• Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP) — PCAP y PPT, solvencia técnica y condiciones especiales de ejecución.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público — base legal del Esquema Nacional de Seguridad.
• Portal ENS del Centro Criptológico Nacional (CCN) — Distintivos de conformidad — declaración vs. certificación y categorías.
• Guía CCN-STIC-809: Declaración y Certificación de Conformidad con el ENS — procedimientos y distintivos.
• ENAC — Acreditación de entidades de certificación del ENS — quién puede emitir certificaciones de conformidad Media y Alta.
• Real Decreto 311/2022, de 3 de mayo, del Esquema Nacional de Seguridad (BOE, texto consolidado) — arts. 2.3, 31.1, 33.7 y 38, y anexo III, apartado 2.1.
• Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (BOE, texto consolidado) — arts. 21.1, 22.1, 75, 76.2, 93.2, 140, 141, 150, 159, 202 y 215.2.
• Orden HAC/1517/2025, de 18 de diciembre (BOE-A-2025-26605), que actualiza los umbrales de regulación armonizada a los que remite el artículo 159.1.a) de la LCSP.
• Centro Criptológico Nacional — portal del ENS, área de conformidad y distintivos.
• ENAC — buscador de acreditados, para comprobar la acreditación de la certificadora y su alcance.

Contenido elaborado por Summum Marketing para angelortegacastro.com. Información divulgativa verificada contra fuentes primarias; no sustituye el asesoramiento sobre un pliego concreto. ¿Tienes una licitación con cláusula ENS sobre la mesa? Hablemos y vemos si llegas a tiempo.