Roles obligatorios del ENS: seguridad, sistema y servicio

Cuando una organización empieza a implantar el Esquema Nacional de Seguridad (ENS), uno de los primeros tropiezos llega al repartir los papeles. ¿Quién decide qué? ¿Puede el jefe de informática ser también el responsable de seguridad? ¿Dónde encaja el delegado de protección de datos? Estas dudas son comprensibles, porque el ENS exige una estructura organizativa concreta que no siempre coincide con la jerarquía habitual de una entidad.

En esta guía explico, con la norma en la mano, los cuatro roles que define el ENS, qué decide cada uno y por qué la separación entre el responsable de la seguridad y el responsable del sistema no es un capricho burocrático, sino una garantía de control. Si vienes de leer la guía completa del Esquema Nacional de Seguridad, aquí profundizamos en la parte organizativa que muchos proyectos descuidan.

¿Cuáles son los roles obligatorios del ENS y dónde están regulados?

La base normativa es el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Su artículo 11, titulado precisamente «Diferenciación de responsabilidades», obliga a que la política de seguridad de cada entidad identifique con claridad a los responsables de las siguientes funciones:

• Responsable de la información: determina los requisitos de la información tratada.
• Responsable del servicio: determina los requisitos de los servicios prestados.
• Responsable de la seguridad: determina las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios, supervisa la implantación de las medidas necesarias y reporta sobre estas cuestiones.
• Responsable del sistema: por sí o a través de recursos propios o contratados, desarrolla la forma concreta de implementar la seguridad en el sistema y supervisa su operación diaria, pudiendo delegar en administradores u operadores bajo su responsabilidad (artículo 13.2.d).

El desarrollo concreto de cómo se organiza el proceso de seguridad lo encontramos en el artículo 13 del RD 311/2022, «Organización e implantación del proceso de seguridad». Y a un nivel más operativo, la guía CCN-STIC-801, «Responsabilidades y funciones en el ENS», publicada por el Centro Criptológico Nacional, desarrolla en detalle cada figura, sus tareas y las relaciones entre ellas. Esta guía es la referencia práctica que utilizo en cualquier proyecto de implantación, porque traduce la norma a una estructura de gobierno aplicable.

Conviene tener clara una idea de partida: estos cuatro roles son funciones, no necesariamente cuatro personas distintas. Una misma persona puede acumular varias de estas funciones, salvo en una combinación concreta que la norma prohíbe expresamente y que veremos más adelante.

¿Quién es el responsable de la información?

El responsable de la información es quien decide qué necesita la información para estar adecuadamente protegida. Dicho de otro modo, fija los requisitos de seguridad de la información en función de su valor para la organización: qué nivel de confidencialidad, integridad, trazabilidad y autenticidad exige cada conjunto de datos.

Es una figura de negocio, no técnica. Normalmente recae en quien tiene la responsabilidad última sobre los datos tratados: el titular de un área, un director de un departamento o el responsable funcional de un determinado tipo de información. Su decisión sobre los requisitos de la información condiciona después la categorización del sistema y, con ella, las medidas de seguridad que habrá que aplicar.

Un error frecuente es dejar este rol vacío o asignarlo por defecto al área de informática. No tiene sentido: el departamento técnico no es quien mejor conoce el valor de negocio de la información ni las consecuencias de su pérdida o difusión. Esa valoración corresponde a quien gestiona el dato desde la perspectiva de la actividad de la entidad.

¿Quién es el responsable del servicio?

El responsable del servicio es el equivalente al anterior, pero referido a los servicios que la entidad presta. Determina los requisitos de seguridad de cada servicio: cuánta disponibilidad necesita, qué nivel de continuidad es aceptable, qué tiempo máximo de interrupción puede tolerarse sin causar un perjuicio grave.

Pensemos en un servicio público electrónico, como la presentación telemática de una solicitud o la consulta de un expediente. El responsable del servicio es quien decide que ese servicio debe estar disponible en un horario determinado, que una caída prolongada tendría un impacto alto y que, por tanto, exige unas garantías concretas. De nuevo, es una decisión de negocio o de prestación, no técnica.

Tanto el responsable de la información como el del servicio alimentan la categorización del sistema. Sus exigencias, traducidas a niveles en las dimensiones de seguridad, determinan si el sistema es de categoría básica, media o alta, y eso a su vez fija el conjunto de medidas obligatorias. Si quieres entender cómo se estructuran esas medidas, lo explico en el artículo sobre los controles del ENS: marcos organizativo, operacional y de protección.

¿Quién es el responsable de la seguridad en el ENS?

El responsable de la seguridad es la figura central del ENS desde el punto de vista de la gestión. Según el artículo 13.2.c, le corresponde determinar las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios, supervisar la implantación de las medidas necesarias y reportar sobre estas cuestiones a la dirección.

Es importante entender qué significa esto en la práctica. El responsable de la seguridad no opera el sistema ni configura los servidores. Su trabajo es decidir cómo se protege la información y el servicio para cumplir los requisitos que fijaron los responsables de la información y del servicio, vigilar que esas medidas se implanten de verdad y dar cuenta del estado de la seguridad. Es un rol de dirección y supervisión, no de ejecución técnica.

Entre sus funciones habituales están: mantener la política de seguridad alineada con la norma, impulsar el análisis de riesgos, validar la Declaración de Aplicabilidad, hacer seguimiento de las medidas, coordinar la respuesta ante incidentes y servir de interlocutor con la dirección y, en su caso, con el Centro Criptológico Nacional. Para que pueda desempeñar este papel necesita autoridad real y acceso directo a la dirección de la entidad.

La política de seguridad que da soporte a todo esto debe estar redactada con rigor, porque es el documento que nombra los roles y reparte las responsabilidades. Si tu organización trabaja también con la la norma ISO 27001, conviene alinear ambos marcos desde la política de seguridad de la información (ISO 27001 y ENS) para no duplicar estructuras de gobierno.

¿Quién es el responsable del sistema?

El responsable del sistema es quien opera el sistema de información: se ocupa de su gestión, explotación y mantenimiento en el día a día. Es la figura más técnica de las cuatro y la que está más cerca de la infraestructura.

Sus tareas incluyen el desarrollo, la operación y el mantenimiento del sistema durante todo su ciclo de vida, la definición de su topología y sistema de gestión, la aplicación de los procedimientos operativos de seguridad y la suspensión del manejo de información o la prestación del servicio si detecta deficiencias graves de seguridad, comunicándolo al responsable de la seguridad. En entornos grandes este rol puede apoyarse en administradores de seguridad del sistema, que ejecutan tareas concretas bajo su dirección.

Aquí es donde aparece la regla de separación más conocida del ENS, y la que da sentido a todo el reparto de roles.

¿Por qué el responsable de la seguridad no puede ser el del sistema?

El artículo 11 del RD 311/2022 enuncia el principio de diferenciación y el artículo 13.3 lo concreta en una regla tajante: el responsable de la seguridad será distinto del responsable del sistema, y no existirá dependencia jerárquica entre ambos. Esta separación es el corazón del principio de diferenciación de responsabilidades.

La razón es de control. El responsable del sistema es quien opera, configura y mantiene; el responsable de la seguridad es quien supervisa que esa operación cumple los requisitos de seguridad y reporta sobre ello. Si ambas funciones recayeran en la misma persona, esa persona estaría supervisando su propio trabajo: sería juez y parte. La separación garantiza que quien vigila la seguridad no es quien decide cómo se ejecuta la operación, de manera que las deficiencias se detecten y se eleven, en lugar de quedar tapadas por conveniencia o por presión operativa.

La ausencia de dependencia jerárquica refuerza esta independencia. No basta con que sean dos personas: el responsable de la seguridad no puede estar subordinado al responsable del sistema (ni a la inversa), porque entonces la supervisión perdería su valor. Por eso el responsable de la seguridad debe reportar a la dirección o a un órgano de gobierno, no a la cadena técnica.

Es la misma lógica de separación de funciones que se aplica en otros ámbitos de control, como la auditoría interna frente a la operación, o la gestión de riesgos frente a la toma de decisiones de negocio. Quien ejecuta no se controla a sí mismo.

¿Se pueden acumular roles en una misma persona?

Sí, con un límite claro. Como los cuatro roles son funciones y no necesariamente cuatro personas, en organizaciones pequeñas es habitual y legítimo que una misma persona asuma varias de ellas. Por ejemplo, el responsable de la información y el del servicio pueden coincidir, o el responsable de la seguridad puede asumir tareas de coordinación adicionales.

La única combinación que la norma prohíbe con carácter general es la de responsable de la seguridad y responsable del sistema en la misma persona, por la razón de control que acabamos de ver. Ahora bien, el propio artículo 13.3 contempla una excepción: en situaciones excepcionales, y por una falta justificada de recursos, esas dos funciones podrán recaer en la misma persona o en personas con relación jerárquica entre sí. Pero esa excepción no es gratuita.

Cuando una entidad se acoge a ella, debe aplicar medidas compensatorias que garanticen la finalidad del principio de diferenciación de responsabilidades. Es decir, hay que demostrar que, pese a la acumulación, existe un mecanismo que preserva el control: por ejemplo, una supervisión externa, una auditoría reforzada, la intervención de un comité de seguridad o un reporte independiente a la dirección. La excepción se documenta, se justifica y se compensa; no se da por hecho.

Asignación mínima de roles: quién asume qué según el tamaño

El Real Decreto 311/2022 no fija un número mínimo de personas. Fija una incompatibilidad, y de ella se deduce la aritmética: como los cuatro papeles son funciones, sobre el papel bastarían dos personas, una con información, servicio y seguridad, y otra con el sistema.

El problema es que el artículo 13.3 prohíbe dos cosas, no una. Prohíbe que el responsable de la seguridad y el del sistema sean la misma persona, y prohíbe además que exista dependencia jerárquica entre ambos. Ese segundo requisito descoloca a las entidades pequeñas, porque la asignación intuitiva lo incumple casi siempre: si la gerencia asume la seguridad y el único informático de la casa es el responsable del sistema, el informático depende de la gerencia y la separación se ha roto sin que nadie lo note. El artículo lo trata como situación excepcional que exige medidas compensatorias, igual que si ambas funciones recayeran en una sola persona.

De ahí sale este reparto orientativo, que no sustituye al análisis de riesgos: sirve para ver dónde va a chirriar la estructura.

La última fila tiene apoyo expreso en la norma: el artículo 12.5 permite que los municipios dispongan de una política de seguridad común elaborada por la entidad local comarcal o provincial que asuma la responsabilidad de la seguridad de la información de los sistemas municipales. Es la vía prevista para el ayuntamiento que no puede sostener cuatro figuras por sí solo.

Antes de repartir conviene saber en qué categoría estás, porque de ella dependen las medidas exigibles: puedes hacerte una idea con el autodiagnóstico ENS, y el encaje completo está en la guía del Esquema Nacional de Seguridad.

Cómo se nombra a cada responsable

Nombrar no es enviar un correo. La designación es una medida de seguridad con nombre propio, org.1, en el marco organizativo del anexo II, y aplica en las tres categorías, básica, media y alta. No hay entidad lo bastante pequeña como para librarse.

Lo que org.1 exige que precise la política es concreto: los roles o funciones de seguridad, con los deberes y responsabilidades de cada cargo y el procedimiento para su designación y renovación [org.1.3], más la estructura del comité o comités de seguridad con su ámbito de responsabilidad y las personas integrantes [org.1.4]. El artículo 12.1.c repite la exigencia en el articulado.

Qué debe contener el documento de nombramiento

Ese «procedimiento para su designación y renovación» es la parte que más veces falta. Una política que nombra los cuatro roles pero no dice quién los designa ni cada cuánto se revisan deja la medida a medias. Estos son los ocho campos que el auditor busca, y que caben en una hoja:

Todo ello va al mismo documento, y por eso merece la pena redactarlo bien: lo desarrollo en cómo redactar la política de seguridad de la información del ENS.

La certificación personal que aún no existe

El artículo 13.4 anuncia que una Instrucción Técnica de Seguridad regulará el Esquema de Certificación de Responsables de la Seguridad. Comprobado el 31 de julio de 2026 en el listado oficial de instrucciones técnicas publicadas del portal del ENS: constan cuatro —conformidad, informe del estado de la seguridad, auditoría y notificación de incidentes— y esa no está entre ellas. La habilitación está en la norma; el desarrollo, pendiente en esa fecha. Conviene no anunciar a la dirección un requisito de certificación personal que no está aprobado, y conviene también volver a mirar el listado antes de dar la afirmación por buena: es de las cosas que cambian sin aviso.

¿Dónde encaja el Comité de Seguridad de la Información?

Muchas políticas de seguridad incorporan, además de los cuatro roles, un Comité de Seguridad de la Información como órgano de coordinación y gobierno. No es uno de los cuatro responsables del artículo 11, sino una figura colegiada que sirve para coordinar las decisiones de seguridad entre las distintas áreas, resolver conflictos de prioridades y dar respaldo institucional al responsable de la seguridad.

Su utilidad es notable en entidades de cierto tamaño: reúne a la dirección, a los responsables de la información y del servicio, al responsable de la seguridad y, según el caso, a otras figuras como el delegado de protección de datos. Es también el órgano donde se aprueban la política de seguridad y las grandes líneas del programa, y donde se rinde cuentas del estado de la seguridad. La guía CCN-STIC-801 lo encuadra en el nivel de gobierno, por encima de los niveles de supervisión y operativo.

Si tu organización está empezando, no necesitas montar un comité elaborado desde el primer día, pero sí conviene prever cómo se coordinarán las decisiones. En proyectos de consultoría de implantación del ENS suelo recomendar definir el comité en la propia política, aunque al principio se reúna con una frecuencia modesta.

¿Es lo mismo el responsable de la seguridad que el DPO?

No, y conviene insistir en ello porque es una confusión frecuente. El responsable de la seguridad del ENS y el delegado de protección de datos (DPO) del Reglamento General de Protección de Datos son figuras distintas, con marcos normativos, funciones y objetivos diferentes.

El responsable de la seguridad vela por la seguridad de los sistemas de información y los servicios conforme al ENS: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de toda la información y los servicios, sean datos personales o no. El DPO, en cambio, supervisa el cumplimiento de la normativa de protección de datos personales y actúa como punto de contacto con la autoridad de control y con los interesados. Su perímetro es el dato personal; el del responsable de la seguridad, todo el sistema.

Pueden y deben coordinarse, porque la seguridad de la información es uno de los pilares de la protección de datos, pero no se sustituyen ni deben concentrarse sin más en la misma persona sin valorar conflictos de funciones. Si quieres entender bien la figura del delegado, lo desarrollo en el artículo sobre el delegado de protección de datos: cuándo es obligatorio y qué funciones tiene.

Externalizar la función, no la responsabilidad

Es la duda que más aparece en las entidades pequeñas, y la respuesta corta es que se puede apoyar la función en un tercero pero no trasladar la responsabilidad. El artículo 13.5 prevé para los servicios externalizados que la organización prestataria designe un POC (Punto o Persona de Contacto) para la seguridad, y cierra con la frase que zanja la discusión: todo ello sin perjuicio de que la responsabilidad última resida en la entidad del sector público destinataria de los servicios. Contratar a un tercero no vacía la figura interna.

Quién puede ser ese POC, qué exige el auditor cuando la función está fuera, qué vías hay y qué se pierde con cada una lo desarrollo entero en una guía específica sobre externalizar el responsable de seguridad del ENS. Aquí basta con el efecto sobre el reparto: el rol no desaparece del organigrama por contratarlo fuera, y el proveedor tampoco se libra de tener los suyos, porque el artículo 2.3 le extiende la obligación de contar con la política de seguridad del artículo 12 —y si la política es obligatoria, los roles que debe identificar también, como detallo en ENS para proveedores.

Qué comprueba el auditor sobre los roles

El anexo III enumera qué se constata en la auditoría, y tres de sus seis puntos van directos al reparto de funciones:

• Que la política define los roles y funciones de los responsables del sistema, la información, los servicios y la seguridad.
• Que existen procedimientos para la resolución de conflictos entre dichos responsables.
• Que se han designado personas para dichos roles a la luz del principio de diferenciación de responsabilidades.

Definir no basta: hay que designar. Y designar no basta: hay que tener previsto qué ocurre cuando el responsable de la seguridad pide una medida que el del sistema considera inviable. Ese procedimiento de resolución de conflictos, que enlaza con el mandato del artículo 11.3, es el que con más frecuencia falta en las políticas que reviso. La auditoría se sustenta en evidencias, y una de ellas es el examen del personal afectado: un rol asignado a alguien que no sabe que lo tiene se cae en la primera entrevista.

Un apunte sobre la categoría básica, porque es donde más gente se confunde. El ciclo del artículo 31.1 —al menos cada dos años— alcanza a todos los sistemas comprendidos en el ámbito de aplicación del real decreto, sin distinguir categoría. Lo que cambia es cómo se cumple: el anexo III, apartado 2.1.a), dice que los sistemas de categoría básica «no necesitarán realizar una auditoría» y que basta una autoevaluación del propio personal que administra el sistema, con el resultado documentado. En básica no hay auditor externo, pero sí hay ciclo, sí hay documento y sí hay que repetirlo.

Y hay un detalle de ese mismo anexo que afecta directamente al reparto de roles: esos informes serán analizados por el responsable de la seguridad, que elevará las conclusiones al responsable del sistema para que adopte las medidas correctoras. Incluso en el escalón más bajo la norma da por hecho que son dos personas distintas; si coinciden, el circuito se cierra sobre sí mismo. Preparar esa revisión con tiempo es lo que trato en auditoría del ENS, y el resto de guías del clúster está en el hub de cumplimiento ENS.

Cómo aterrizar los roles en tu organización

La teoría es clara; lo difícil es llevarla a una entidad real sin generar fricción. Algunas pautas que aplico al definir la estructura de roles del ENS:

1. Nombrar por escrito. Los cuatro roles se identifican en la política de seguridad, con nombres y apellidos o, al menos, con cargos concretos. Un rol sin titular no existe a efectos de cumplimiento.
2. Respetar la separación seguridad/sistema. Antes de asignar, comprueba que el responsable de la seguridad no es el responsable del sistema ni depende de él jerárquicamente. Si no hay más remedio, documenta la excepción y diseña las medidas compensatorias.
3. Dar autoridad al responsable de la seguridad. Necesita reportar a la dirección y capacidad real para impulsar medidas. Un responsable de seguridad sin acceso a la dirección es una figura decorativa.
4. Coordinar con protección de datos. Define cómo se relacionan el responsable de la seguridad y el DPO, sin confundir sus papeles.
5. Apoyarse en la guía CCN-STIC-801. Es la referencia que detalla funciones, relaciones y modelos de organización según el tamaño de la entidad.

Este reparto de funciones es uno de los puntos que más se revisan en una auditoría del ENS, porque es fácil de comprobar y muy revelador del grado de madurez de la organización. Lo mismo ocurre cuando se integra con un sistema de gestión basado en la ISO 27001: ambos marcos exigen una asignación clara de responsabilidades de seguridad, y conviene unificarla para no mantener dos estructuras paralelas.

Trabajo estos proyectos desde Castilla y León y Las Palmas, acompañando a entidades en la definición de su estructura organizativa de seguridad y en la implantación completa del ENS.

Preguntas frecuentes

¿Qué roles define el ENS?

El Esquema Nacional de Seguridad, en sus artículos 11 y 13.2 del RD 311/2022, define cuatro roles: el responsable de la información (fija los requisitos de la información), el responsable del servicio (fija los requisitos de los servicios), el responsable de la seguridad (decide cómo satisfacer los requisitos de seguridad, supervisa y reporta) y el responsable del sistema (opera el sistema). Son funciones diferenciadas que la política de seguridad de cada entidad debe identificar con claridad.

¿Qué diferencia hay entre responsable del sistema y del servicio?

El responsable del servicio es una figura de negocio que determina los requisitos de seguridad de los servicios prestados (disponibilidad, continuidad, impacto de una interrupción). El responsable del sistema es una figura técnica que opera el sistema de información: su gestión, explotación y mantenimiento. Uno fija qué necesita el servicio; el otro hace funcionar la infraestructura que lo soporta.

Nombrar los roles es fácil; sostenerlos es lo que cuesta. Si quiere apoyo para que no se quede en un organigrama, así trabajo la consultoría ENS.

¿Cuántas personas hacen falta como mínimo para cubrir los roles del ENS?

La norma no fija un número. Como los cuatro roles son funciones acumulables salvo la pareja seguridad/sistema, en teoría bastan dos personas. En la práctica hay que comprobar además que entre esas dos no exista dependencia jerárquica, porque el artículo 13.3 la prohíbe igual que la coincidencia en la misma persona. Si el responsable del sistema depende de quien asume la seguridad, estás en la excepción y necesitas medidas compensatorias justificadas y documentadas.

¿Puede una empresa externa ser el responsable de la seguridad de un ayuntamiento?

Puede prestar el servicio y aportar el POC de seguridad que exige el artículo 13.5, pero la responsabilidad última sigue residiendo en la entidad del sector público destinataria. Para municipios pequeños, el artículo 12.5 prevé además que la entidad local comarcal o provincial asuma la responsabilidad de la seguridad de la información de los sistemas municipales mediante una política común.

¿Hay que certificarse como responsable de seguridad del ENS?

El artículo 13.4 anuncia una Instrucción Técnica de Seguridad que regulará el Esquema de Certificación de Responsables de la Seguridad. A la fecha de este artículo esa instrucción no figura entre las publicadas, de modo que el requisito está previsto en la norma pero pendiente de desarrollo. Lo exigible hoy es que la organización determine los requisitos de formación y experiencia del puesto, conforme al artículo 16.3.

¿Qué pasa si el responsable de la seguridad deja la organización?

La política debe recoger el procedimiento de designación y renovación de los roles, según org.1.3 y el artículo 12.1.c. Una vacante prolongada deja sin cubrir una medida exigible en las tres categorías, y es un hallazgo fácil de detectar porque se comprueba con el anexo de nombramientos y una entrevista. Conviene nombrar por cargo además de por persona, prever suplencia y comprobar que quien suple no queda bajo la cadena técnica.

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191) — artículo 11, «Diferenciación de responsabilidades».
• Artículo 13 del RD 311/2022, «Organización e implantación del proceso de seguridad» (Soporte ENS, Centro Criptológico Nacional).
• Guía CCN-STIC-801, «Responsabilidades y funciones en el ENS» (CCN-CERT, Centro Criptológico Nacional).
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, texto consolidado (BOE-A-2022-7191): artículos 2.3, 11, 12.1, 12.5, 13.2 a 13.5, 15.1 y 16.
• Anexo II del RD 311/2022, marco organizativo, medida org.1 «Política de seguridad», requisitos org.1.3 y org.1.4.
• Anexo III del RD 311/2022, «Auditoría de la seguridad», apartados 1.1, 1.2 y 2.1.
• Relación oficial de Instrucciones Técnicas de Seguridad publicadas, portal del ENS del Centro Criptológico Nacional (consultada el 31-07-2026).