Cumplir el ENS con diez empleados: qué es imprescindible y qué no

Una empresa de diez personas puede cumplir el Esquema Nacional de Seguridad sin montar un departamento de seguridad. Si su sistema es de categoría BÁSICA, el Real Decreto 311/2022 no le exige auditoría externa: el anexo III dice literalmente que «los sistemas de información de categoría BÁSICA no necesitarán realizar una auditoría. Bastará una autoevaluación realizada por el mismo personal que administra el sistema de información o en quien éste delegue». Y de las 73 medidas del anexo II, en BÁSICA aplican 52; las otras 21 aparecen marcadas como «n.a.». Eso es el mínimo viable: 52 medidas, cuatro roles sobre una plantilla corta y un papel firmado que se publica en tu web. Ni más, ni menos.

Esto es para el proveedor pequeño que ha visto en un pliego la palabra «ENS» y ha pensado que se le va de las manos. No se le va, pero tampoco es un trámite de tarde. Si vienes de cero, el contexto está en la guía completa del Esquema Nacional de Seguridad, y el resto del vertical, en el área de ENS.

Por qué a una pyme de diez personas le cae el ENS

El ENS nació para el sector público, pero su artículo 2.3 lo extiende a «los sistemas de información de las entidades del sector privado (…) cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas».

No hay umbral de plantilla, ni de facturación, ni de sector. La puerta de entrada es el contrato. Una consultora de ocho personas que gestiona el gestor documental de un ayuntamiento entra; una empresa de 200 que solo vende material de oficina a ese mismo ayuntamiento, no. Quién está dentro y quién fuera lo desarrollo en quién está obligado a cumplir el ENS.

El mismo artículo 2.3 tiene además consecuencias prácticas que conviene tener claras antes de negociar nada.

El pliego te lo va a pedir por obligación del órgano de contratación, porque la norma ordena que los pliegos contemplen «todos aquellos requisitos necesarios para asegurar la conformidad con el ENS (…) tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad».

La política de seguridad la aprueba la dirección, ya que en una entidad privada «será aprobada (…) por el órgano que ostente las máximas competencias ejecutivas». En una sociedad de diez personas, eso es el administrador o el consejo. No vale que la firme quien lleva los ordenadores.

Y el plazo ya venció: la disposición transitoria única dio veinticuatro meses a los sistemas preexistentes, «incluidos aquellos de los que sean titulares los contratistas del sector privado», y esos veinticuatro meses cuentan desde la entrada en vigor del real decreto —el 5 de mayo de 2022, al día siguiente de su publicación en el «BOE» núm. 106, de 4 de mayo—, así que terminaron en mayo de 2024. Quien hoy siga a medias no está dentro de un periodo transitorio: está fuera de plazo.

Lo que el ENS no exige (y casi todo el mundo cree que sí)

Antes de la lista de deberes, la lista de cosas que puedes tachar si tu sistema es BÁSICA. Estas 21 medidas del anexo II figuran como «n.a.» en esa categoría:

Que no sean exigibles no significa que sobren: un plan de continuidad sigue siendo buena idea y muchas de estas medidas son las que pide una ISO 27001. Pero para declarar conformidad ENS en BÁSICA no hay que acreditarlas, y ahí se va buena parte de lo que cobran las propuestas sobredimensionadas. La sorpresa suele estar en el bloque de recursos externos, que no aplica pese a que una pyme de diez personas lo tiene casi todo externalizado. Es proporcionalidad, no despreocupación: sigues respondiendo del servicio que prestas.

Paso 1 · Delimitar el alcance: el sistema, no la empresa

El error que más caro sale en una empresa pequeña es meter la empresa entera dentro del ENS. La norma no habla de organizaciones, habla de sistemas de información. Lo que entra es el sistema que sustenta el servicio contratado por la Administración.

Si tu producto es una plataforma en la nube que usa un ayuntamiento, el alcance es esa plataforma con su infraestructura y sus operadores. Tu CRM comercial o tu contabilidad quedan fuera, salvo que toquen ese sistema. El anexo II lo permite de forma expresa: cuando existan subsistemas que requieran un nivel distinto al del sistema principal, «podrán segregarse de este último», siempre que puedan delimitarse la información y los servicios afectados.

Escribe el alcance en una página y hazlo firmar antes de empezar. Cada activo que metas de más se traduce en medidas, evidencias y horas.

Paso 2 · Categorizar: por qué muchas pymes salen BÁSICA (y otras no)

La categoría no depende del tamaño de tu empresa. Sale del impacto que tendría un incidente sobre cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada se adscribe a un nivel BAJO, MEDIO o ALTO según el perjuicio sea, en palabras del anexo I, «limitado», «grave» o «muy grave». Y luego se aplica la regla del máximo: el sistema es de la categoría de su dimensión más alta.

Según el anexo I, el «perjuicio limitado» del nivel BAJO incluye «la reducción de forma apreciable de la capacidad de la organización para desarrollar eficazmente sus funciones y competencias, aunque estas sigan desempeñándose» o «el incumplimiento formal de alguna ley o regulación, que tenga carácter de subsanable». El «perjuicio grave» del nivel MEDIO es la reducción significativa, el daño significativo en activos o el incumplimiento material de una ley.

Traducido a un servicio pequeño: una web informativa municipal o una herramienta de gestión de expedientes de bajo volumen, cuya caída de un día molesta pero no paraliza nada, suelen quedarse en BAJO en todas sus dimensiones y por tanto en BÁSICA. Si tu plataforma trata datos personales sensibles o sostiene un padrón, una recaudación o un servicio de emergencias, alguna dimensión sube y la categoría se va a MEDIA, con certificación obligatoria.

Conviene decirlo sin rodeos, porque el marketing del sector abusa de la promesa contraria: no es cierto que una pyme sea BÁSICA por ser pequeña. Lo determina el servicio público que sustenta. Para orientarte, el autodiagnóstico ENS te sitúa en pocos minutos; la valoración formal la hacen los responsables de la información y del servicio, y con ella el responsable de la seguridad fija la categoría (artículo 41). El anexo I obliga además a revisarla «anualmente, o siempre que se produzcan modificaciones significativas».

Paso 3 · Los cuatro roles cuando la plantilla es de diez

Aquí está el nudo real de una empresa pequeña. El artículo 11 exige diferenciar cuatro figuras: responsable de la información, del servicio, de la seguridad y del sistema. Con diez personas, cuatro nombres distintos son a menudo imposibles.

La norma lo previó. El artículo 13.3 dice que el responsable de la seguridad «será distinto del responsable del sistema, no debiendo existir dependencia jerárquica entre ambos», y añade: «En aquellas situaciones excepcionales en las que la ausencia justificada de recursos haga necesario que ambas funciones recaigan en la misma persona (…) deberán aplicarse medidas compensatorias para garantizar la finalidad del principio de diferenciación de responsabilidades».

Tres consecuencias prácticas:

1. La única incompatibilidad dura es seguridad frente a sistema. Los papeles de responsable de la información y del servicio sí pueden concentrarse, y en un contrato público suele ser la entidad contratante quien los ostenta sobre su información y su servicio.
2. Si los juntas, tienes que justificarlo por escrito y describir qué medidas compensatorias aplicas: supervisión externa periódica, revisión por un tercero de los informes de autoevaluación o aprobación por la dirección de las decisiones de seguridad. Lo que no sirve es no decir nada.
3. La salida limpia es externalizar la figura del responsable de seguridad. Es la vía que más usan las pymes que llegan a esto por un pliego, y la desarrollo en externalizar el responsable de seguridad del ENS.

Si externalizas servicios, el artículo 13.5 añade una pieza: la organización prestataria «deberá designar un POC (Punto o Persona de Contacto) para la seguridad de la información tratada y el servicio prestado, que cuente con el apoyo de los órganos de dirección». Tu proveedor de sistemas tiene que ponerte un nombre para seguridad. Pídelo por contrato, porque la responsabilidad última no se subcontrata.

Paso 4 · Los papeles mínimos que sí o sí tienes que tener

En categoría BÁSICA la documentación se reduce a un paquete corto, pero completo:

• Política de seguridad. El artículo 12.1 fija su contenido mínimo: objetivos o misión, marco regulatorio, roles con sus deberes y el procedimiento para designarlos, estructura del comité de seguridad, directrices de la documentación y los riesgos derivados del tratamiento de datos personales. La aprueba la dirección. Cómo se redacta, en la política de seguridad del ENS.
• Análisis de riesgos. El artículo 14 obliga a que cada organización haga el suyo con una metodología reconocida, y el anexo III espera «revisión y aprobación anual». En BÁSICA puede ser sencillo, pero tiene que existir y estar fechado. La vía habitual en España es MAGERIT y la herramienta PILAR.
• Declaración de Aplicabilidad. El artículo 28.2 la define como el documento donde se formaliza la relación de medidas seleccionadas, «firmado por el responsable de la seguridad». Si sustituyes alguna por otra compensatoria, el 28.3 exige indicar en ella «de forma detallada, la correspondencia entre las medidas compensatorias implantadas y las medidas del anexo II que compensan».
• Inventario de activos (op.exp.1) y normativa y procedimientos de seguridad (org.2 y org.3). El inventario es el que más pereza da y el que sostiene todo lo demás; hay un método corto en cómo hacer el inventario de activos del ENS.
• Informe de autoevaluación, con cada medida marcada como implantada o no y su evidencia.

Todo esto cabe en un plan de adecuación con responsables y fechas.

Paso 5 · Las 52 medidas, en versión de empresa pequeña

Las 52 medidas aplicables se reparten en 4 del marco organizativo, 22 del marco operacional y 26 de medidas de protección. En el día a día de una plantilla corta, el grueso del trabajo se concentra en seis frentes:

1. Identidad y acceso (op.acc.1, op.acc.2, op.acc.4, op.acc.5 y op.acc.6). Cuentas nominales, ni una compartida, altas y bajas con procedimiento, y mecanismo de autenticación con los refuerzos que marca la tabla incluso en nivel BAJO. Es la puerta por la que entra el doble factor: lo explico en MFA y autenticación en el ENS.
2. Puesto de trabajo y dispositivos (mp.eq.1, mp.eq.3, mp.eq.4). Mesa despejada, portátiles protegidos y control de lo que se conecta a la red. Nada exótico, mucho hábito.
3. Copias de seguridad (mp.info.6). La medida que más veces se da por hecha y menos veces se prueba: requisitos y errores típicos, en copias de seguridad en el ENS.
4. Registro de actividad y gestión de incidentes (op.exp.7, op.exp.8, op.exp.9). Logs, un procedimiento de incidentes y un registro de lo ocurrido. La notificación, en gestión de incidentes de ciberseguridad y ENS.
5. Nube (op.nub.1). Aplica desde BÁSICA: si tu servicio corre sobre infraestructura de terceros, aquí tienes deberes concretos. Y ojo si tu categoría sube: en MEDIA entra su refuerzo R1, que exige que el servicio del tercero esté certificado bajo una metodología reconocida por el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información —el del CCN—. Eso condiciona con quién puedes contratar, así que conviene mirarlo antes de firmar, no después.
6. Personas (mp.per.2, mp.per.3 y mp.per.4: deberes, concienciación y formación). Es de lo primero que se comprueba, porque el anexo III cita como evidencia el «examen del personal afectado: conocimiento y praxis de las medidas que le afectan». Cómo montarlo sin gastar, en concienciación y formación en el ENS.

Y recuerda el artículo 28: las medidas del anexo II son «mínimos exigibles» ampliables por el responsable de la seguridad, y pueden reemplazarse por compensatorias si justificas por escrito que protegen igual o mejor.

Paso 6 · Declarar la conformidad y publicarla

En BÁSICA la conformidad se acredita mediante autoevaluación y declaración. El artículo 38.1 lo dice así: «los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoría de certificación».

Quién la hace: según el anexo III, «el mismo personal que administra el sistema de información o en quien éste delegue». El resultado «debe estar documentado, indicando si cada medida de seguridad está implantada y sujeta a revisión regular, así como las evidencias que sustentan la valoración anterior». Después lo analiza el responsable de la seguridad, que eleva conclusiones al responsable del sistema.

Cada cuánto: el artículo 31.1 fija la revisión ordinaria «al menos cada dos años», y el 38.1 remite el procedimiento de autoevaluación a ese mismo artículo y al anexo III. Hay además revisión extraordinaria «siempre que se produzcan modificaciones sustanciales en los sistemas de información».

Y hay que enseñarla: el artículo 38.2 obliga a dar publicidad a declaraciones y certificaciones «en los correspondientes portales de internet o sedes electrónicas». El paso a paso está en la declaración de conformidad de nivel básico.

Un matiz comercial: aunque tu categoría sea BÁSICA, hay pliegos que piden certificado. En ese caso pasarás por una entidad certificadora acreditada por ENAC, con su coste y su calendario.

Qué se puede externalizar y qué no

El artículo 16 exige que la seguridad esté «atendida y (…) revisada y auditada por personal cualificado», y que se pida a los proveedores de servicios de seguridad profesionales cualificados «de manera objetiva y no discriminatoria». No obliga a tener ese perfil en nómina.

Calendario y coste realistas

Una adecuación en categoría BÁSICA para una empresa de diez personas se mueve entre tres y seis meses: alcance y categorización en las dos primeras semanas, análisis de riesgos y documentación en el mes siguiente, implantación de lo que falte durante dos o tres meses y autoevaluación al final. El cuello de botella casi nunca es la consultoría: son las medidas técnicas que descubres que no tenías.

En dinero, y como horquilla orientativa de mercado a julio de 2026, una autoevaluación acompañada se mueve entre 3.000 y 9.000 euros; hacerla con recursos propios puede salir a cero de gasto externo, a cambio de semanas de trabajo interno. No existe tarifa oficial: ni el CCN ni ENAC publican precios. El desglose por partidas está en cuánto cuesta el ENS.

Los cuatro errores que más caro salen

1. Meter toda la empresa en el alcance. Multiplica el trabajo sin mejorar la seguridad del servicio contratado.
2. Dar por hecha la categoría BÁSICA. Si el servicio del pliego, al fallar, causaría un perjuicio grave, la valoración se irá a MEDIA y con ella la certificación obligatoria.
3. Juntar los roles de seguridad y de sistema sin justificarlo. El artículo 13.3 lo permite en situaciones excepcionales, pero exige justificación y medidas compensatorias documentadas.
4. Tratarlo como un proyecto que termina. Hay revisión de categoría anual, revisión del análisis de riesgos y ciclo de autoevaluación de dos años. Qué toca después de firmar, en mantenimiento del ENS.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191), texto consolidado del BOE: artículos 2.3, 11, 12, 13, 14, 16, 28, 31, 38 y 41; anexos I, II y III; disposición transitoria única.
• Recuento propio sobre ese texto consolidado: 73 medidas en el anexo II, 21 de ellas marcadas «n.a.» en categoría BÁSICA.
• Centro Criptológico Nacional: guías CCN-STIC y perfiles de cumplimiento específicos validados conforme al artículo 30.3.
• Entidad Nacional de Acreditación (ENAC): entidades acreditadas para certificar la conformidad con el ENS.