Acceso remoto y teletrabajo bajo el ENS: qué te van a exigir
El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, no contiene la palabra «teletrabajo» ni una sola vez. Y aun así lo regula con bastante detalle.
Si tu organización está dentro del ámbito del ENS y alguien trabaja desde fuera de las instalaciones, el texto consolidado te exige:
- Una política específica de acceso remoto, con autorización expresa (op.acc.4.5).
- Doble factor de autenticación para todo acceso que llegue desde o a través de Internet (op.acc.6, refuerzo R8).
- Tráfico cifrado y registro de cada conexión remota (op.acc.6, refuerzo R9).
- Red privada virtual cifrada cuando la comunicación salga de tu dominio de seguridad (mp.com.2).
- Protección específica de los portátiles que salen de la oficina (mp.eq.3).
- Autorización formal del uso de equipos móviles, equipo a equipo (org.4.7).
Esta guía recorre esas exigencias una a una, tal y como figuran en el texto consolidado del BOE, y las convierte en decisiones operativas.
Si estás situando el ENS por primera vez, conviene leer antes la guía completa del Esquema Nacional de Seguridad; aquí doy por sabido qué es el ENS, a quién obliga y cómo funcionan sus categorías.
Qué dice el RD 311/2022 sobre el teletrabajo
El anclaje general está en el artículo 22 («Protección de información almacenada y en tránsito»), que ordena prestar «especial atención a la información almacenada o en tránsito a través de los equipos o dispositivos portátiles o móviles, los dispositivos periféricos, los soportes de información y las comunicaciones sobre redes abiertas, que deberán analizarse especialmente para lograr una adecuada protección».
Es decir: el escenario de teletrabajo —un portátil corporativo conectado por la fibra doméstica o por una red móvil a los sistemas de la organización— es exactamente el supuesto que el artículo 22 señala como zona de riesgo. El desarrollo concreto no está en el articulado, sino en el Anexo II, repartido entre el marco organizativo (org), el marco operacional (op) y las medidas de protección (mp).
Un matiz importante: estas obligaciones no afectan solo a las Administraciones públicas. Los proveedores privados cuyos sistemas dan servicio a una Administración también deben cumplirlas en el alcance correspondiente, algo cada vez más presente en pliegos de contratación. El detalle de medidas, familia por familia, lo tienes en el Anexo II del ENS explicado.
Las medidas del Anexo II que afectan al acceso remoto
org.4 — Proceso de autorización
Aplica a las tres categorías. La organización debe mantener un proceso formal de autorizaciones que cubra, entre otros, «la utilización de equipos móviles» (org.4.7), entendiendo por tales «ordenadores portátiles, tabletas, teléfonos móviles u otros de naturaleza análoga», el establecimiento de enlaces de comunicaciones con otros sistemas (org.4.4) y la utilización de servicios de terceros (org.4.8). Traducción: el teletrabajo no puede ser una situación de hecho; alguien con autoridad tiene que haberlo autorizado formalmente, equipo a equipo y servicio a servicio.
op.acc.4 — Gestión de derechos de acceso
En todos los niveles, el punto op.acc.4.5 es tajante: «Se establecerá una política específica de acceso remoto, requiriéndose autorización expresa». No basta un párrafo genérico en la política de seguridad: el auditor buscará un documento (o apartado) propio que diga quién puede conectarse desde fuera, a qué recursos, desde qué equipos y con qué autorización. Los permisos, además, se revisan de forma periódica.
op.acc.6 — Autenticación de los usuarios de la organización
Es la medida con más carga para el teletrabajo, porque dos de sus refuerzos aplican en los tres niveles (bajo, medio y alto):
- Refuerzo R8 (zonas no controladas). Para el acceso «desde o a través de zonas no controladas se requerirá un doble factor de autenticación». El propio texto pone el ejemplo: «Un ejemplo de zona no controlada es Internet». Los segundos factores admitidos son los de los refuerzos R2 (contraseña más OTP u otro factor), R3 (certificado cualificado protegido por PIN o biometría) o R4 (certificado en dispositivo físico con algoritmos autorizados por el CCN).
- Refuerzo R9 (acceso remoto). El acceso remoto debe: a) estar autorizado por la autoridad correspondiente; b) circular cifrado; c) permanecer inhabilitado cuando no se use de manera constante, habilitándose solo cuando sea necesario; y d) generar registros de auditoría de las conexiones. El refuerzo remite además a la Instrucción Técnica de Seguridad de interconexión de sistemas de información.
A partir del nivel medio se suma el refuerzo R5 (registro de accesos con éxito y fallidos, e información al usuario de su último acceso), y en nivel alto los refuerzos R6 (renovación de la autenticación en puntos definidos) y R7 (suspensión de credenciales tras un periodo sin uso).
mp.com — Protección de las comunicaciones
- mp.com.1 (perímetro seguro), en las tres categorías: un sistema de protección perimetral separa la red interna del exterior y «todo el tráfico deberá atravesar dicho sistema», con los flujos autorizados previamente. El túnel del teletrabajador no es una excepción: debe entrar por el perímetro.
- mp.com.2 (confidencialidad): «Se emplearán redes privadas virtuales cifradas cuando la comunicación discurra por redes fuera del propio dominio de seguridad». En nivel medio, con algoritmos y parámetros autorizados por el CCN (R1); en nivel alto, además, con dispositivos hardware (R2) y productos certificados (R3).
- mp.com.3 (integridad y autenticidad): obliga a asegurar la autenticidad del otro extremo del canal y a prevenir ataques activos (alteración de información en tránsito, inyección, secuestro de sesión). Desde nivel medio incorpora sus propios refuerzos de VPN y algoritmos autorizados.
- mp.com.4 (separación de flujos): no aplica en categoría básica, pero desde la media exige segmentar la red (mediante VLAN u otras alternativas que el propio anexo gradúa) para acotar a qué puede llegar cada conexión.
mp.eq — Protección de los equipos
- mp.eq.1 (puesto de trabajo despejado) aplica desde categoría básica: el escritorio de casa también cuenta.
- mp.eq.2 (bloqueo de puesto): desde el nivel medio de autenticidad, el puesto se bloquea tras un tiempo de inactividad.
- mp.eq.3 (protección de dispositivos portátiles) es la medida estrella del teletrabajo. Para los equipos «que sean susceptibles de salir de las instalaciones de la organización y no puedan beneficiarse de la protección física correspondiente» exige: inventario de portátiles con responsable identificado y control regular (mp.eq.3.1); procedimiento para comunicar pérdidas o sustracciones al servicio de gestión de incidentes (mp.eq.3.2); cuando el portátil se conecte remotamente por redes no controladas, limitar «la información y los servicios accesibles a los mínimos imprescindibles», con autorización previa de los responsables de la información y los servicios (mp.eq.3.3); y evitar que el equipo almacene claves de acceso remoto que no sean imprescindibles (mp.eq.3.4). En categoría alta se añaden el cifrado del disco (R1) y la restricción del uso a entornos protegidos, «a salvo de hurtos y miradas indiscretas» (R2). El propio texto del refuerzo R1 vincula el cifrado del disco al nivel MEDIO de confidencialidad de la información almacenada, así que en la práctica muchos sistemas de categoría media lo acaban aplicando también.
Un detalle menor que sorprende en auditoría: desde el nivel medio de confidencialidad, mp.si.1 permite exigir marca de agua en pantalla en los equipos que acceden a escritorios remotos o virtuales, según lo que fije la política de seguridad.
Requisitos según la categoría del sistema
La categoría del sistema (básica, media o alta) y los niveles por dimensión determinan qué refuerzos activan estas medidas. Si aún no tienes clara la categorización, ese es el paso previo: cómo elegir entre categoría básica, media y alta.
| Exigencia en acceso remoto | Básica | Media | Alta |
|---|---|---|---|
| Autorización formal del teletrabajo (org.4) | Sí | Sí | Sí |
| Política específica de acceso remoto (op.acc.4.5) | Sí | Sí | Sí |
| Doble factor desde Internet (op.acc.6 R8) | Sí | Sí | Sí |
| Acceso remoto autorizado, cifrado, deshabilitado si no se usa y con registro (op.acc.6 R9) | Sí | Sí | Sí |
| Perímetro por el que atraviesa todo el tráfico (mp.com.1) | Sí | Sí | Sí |
| Inventario y protección de portátiles (mp.eq.3) | Sí | Sí | + disco cifrado (R1) y uso en entornos protegidos (R2) |
| VPN cifrada al salir del dominio de seguridad (mp.com.2) | Sí | + algoritmos y parámetros autorizados por el CCN (R1) | + dispositivos hardware (R2) y productos certificados (R3) |
| Registro de accesos con éxito y fallidos (op.acc.6 R5) | — | Sí | Sí |
| Separación de flujos en la red (mp.com.4) | No aplica | Sí (VLAN, VPN o medios físicos) | Sí (VPN o medios físicos) + refuerzo R4 |
| Bloqueo de puesto por inactividad (mp.eq.2) | — | Sí | Sí |
| Renovación de la autenticación (R6) y suspensión de credenciales sin uso (R7) | — | — | Sí |
Una precisión sobre la tabla: op.acc.5, op.acc.6, mp.eq.2 y mp.si.1 no se modulan por la categoría del sistema, sino por el nivel de cada dimensión (confidencialidad, integridad, trazabilidad y autenticidad). La equivalencia funciona porque la categoría se deriva del nivel más alto de esas dimensiones, pero un sistema de categoría media puede tener una dimensión en nivel alto y arrastrar sus refuerzos.
Y dos avisos que la tabla se deja fuera. La categoría básica no se libra del doble factor en remoto: el refuerzo R8 figura en los tres niveles, y es la primera sorpresa de muchas auditorías. El cifrado de disco de los portátiles tampoco espera a la categoría alta, porque el propio refuerzo lo vincula al nivel medio de confidencialidad de la información almacenada.
Cómo montar un acceso remoto conforme: pasos operativos
- Autoriza el teletrabajo formalmente. Acta o resolución de la autoridad correspondiente que cubra el uso de equipos móviles y los enlaces de comunicación (org.4). Sin este papel, todo lo demás cojea.
- Redacta la política específica de acceso remoto (op.acc.4.5): quién puede conectarse, a qué sistemas, desde qué equipos, con qué método de autenticación y quién concede y revisa las autorizaciones. Encaja como anexo de la política de seguridad de la información.
- Despliega doble factor para todo acceso desde Internet (op.acc.6 R8): contraseña más OTP, certificado con PIN o certificado en soporte físico, según categoría y riesgo. Para todos los usuarios, no solo administradores.
- Canaliza las conexiones por VPN cifrada que entre por el perímetro (mp.com.1 y mp.com.2). En categoría media, revisa que los algoritmos estén entre los autorizados por el CCN; en alta, valora productos del catálogo CPSTIC (cómo elegirlos).
- Minimiza lo accesible en remoto (mp.eq.3.3): publica solo los servicios imprescindibles, con autorización previa de los responsables de la información y del servicio, y apóyate en la segmentación de red (mp.com.4) para que una conexión comprometida no lo alcance todo.
- Endurece los portátiles (mp.eq.3): inventario con responsable, bloqueo automático, procedimiento de comunicación de pérdida o robo, cifrado de disco cuando proceda y prohibición de almacenar credenciales de acceso remoto en el equipo.
- Registra y revisa. Registros de auditoría de cada conexión remota (R9.d), accesos con éxito y fallidos desde categoría media (R5) y revisión periódica de los permisos concedidos (op.acc.4). Deshabilita el acceso remoto que no se use de forma constante y habilítalo solo cuando haga falta (R9.c).
Antes de dar el conjunto por bueno, pásalo por el autodiagnóstico ENS: en unos minutos localiza qué familias de medidas tienes flojas para tu categoría.
Guías CCN-STIC de apoyo
El propio Anexo II delega en las guías CCN-STIC el desarrollo técnico: op.acc.6 les encarga definir «los mecanismos y calidades exigibles a cada tipo de factor de autenticación», y el refuerzo R9 remite a la Instrucción Técnica de Seguridad de interconexión de sistemas de información para los requisitos del perímetro. El CCN-CERT publica además informes de buenas prácticas específicos sobre teletrabajo y dispositivos móviles, con recomendaciones de configuración que los auditores suelen usar como referencia. El mapa completo de la serie está en las instrucciones técnicas de seguridad y guías CCN-STIC.
Si el acceso remoto de tu organización pasa por servicios en la nube (escritorios virtuales, SaaS corporativo), esa pata tiene su propia regulación en la guía CCN-STIC 823: la desgrano en ENS y servicios en la nube.
Errores que aparecen en casi todas las auditorías
- Doble factor solo para administradores. El refuerzo R8 aplica a los usuarios de la organización en los tres niveles; dejar al personal «normal» con contraseña sola en el acceso desde casa es no conformidad directa.
- Política de acceso remoto genérica o inexistente. Op.acc.4.5 pide una política específica con autorización expresa, no una frase en el documento general.
- VPN siempre abierta y sin registros. R9 exige deshabilitar el acceso que no se usa de forma constante y conservar registros de auditoría de las conexiones.
- Portátiles sin inventario ni responsable. Mp.eq.3.1 pide lista de equipos, persona responsable de cada uno y control regular de que sigue bajo su control.
- Credenciales guardadas en el equipo. Contraseñas de la VPN memorizadas en el cliente o claves SSH sin proteger chocan con mp.eq.3.4.
- Equipos personales sin autorizar. Un ordenador doméstico conectado a los sistemas sin pasar por el proceso de autorización de org.4.7 ni por las medidas de mp.eq.3 es de lo primero que un auditor señala.
- Tráfico que esquiva el perímetro. Mp.com.1.1 es literal: todo el tráfico debe atravesar el sistema de protección perimetral. Las conexiones directas «para ir más rápido» rompen la medida.
La preparación completa del examen, con lo que revisa el auditor familia por familia, está en cómo preparar la auditoría del ENS. Y si tu duda es de encaje general —qué te aplica y con qué alcance—, el punto de partida es la sección de cumplimiento ENS.
Preguntas frecuentes
¿El ENS prohíbe el teletrabajo?
No. El RD 311/2022 ni siquiera usa esa palabra. Lo que hace es condicionarlo: autorización formal del uso de equipos móviles, política específica de acceso remoto, doble factor desde redes no controladas, tráfico cifrado, registro de conexiones y protección de los portátiles. Cumplidas esas medidas, teletrabajar dentro del ámbito del ENS es perfectamente posible.
¿Es obligatorio el doble factor también en categoría básica?
Sí, cuando el acceso llega desde o a través de una zona no controlada, e Internet lo es por definición del propio anexo. El refuerzo R8 de op.acc.6 figura en los tres niveles de la medida, así que el teletrabajo con solo usuario y contraseña no se sostiene ni en el escalón más bajo del ENS.
¿Puede un empleado teletrabajar con su ordenador personal?
El texto no prohíbe expresamente el equipo personal, pero lo somete a condiciones difíciles de cumplir sin gestión corporativa: el uso de cualquier equipo móvil requiere autorización formal (org.4.7) y el dispositivo debe estar inventariado, con responsable, procedimiento de pérdida, acceso limitado a lo imprescindible y sin credenciales almacenadas (mp.eq.3). En la práctica, un equipo no gestionado por la organización rara vez supera esas medidas, y en categoría alta el cifrado de disco y el uso en entornos protegidos lo hacen aún más cuesta arriba.
Si la aplicación ya va cifrada por HTTPS, ¿hace falta VPN?
Mp.com.2 exige «redes privadas virtuales cifradas cuando la comunicación discurra por redes fuera del propio dominio de seguridad», y mp.com.1 obliga a que todo el tráfico atraviese el perímetro con flujos autorizados. Exponer la aplicación directamente a Internet, aunque use TLS, deja fuera esas dos medidas y el control de conexión del refuerzo R9; el criterio concreto para cada arquitectura lo marcan las guías CCN-STIC y, en última instancia, el auditor sobre tu Declaración de Aplicabilidad.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Texto consolidado (BOE-A-2022-7191), en particular el artículo 22 y el Anexo II (org.4, op.acc.4, op.acc.6, mp.com, mp.eq y mp.si): boe.es/buscar/act.php?id=BOE-A-2022-7191. Consultado en julio de 2026.
- Centro Criptológico Nacional — portal CCN-CERT, serie de guías CCN-STIC e informes de buenas prácticas: ccn-cert.cni.es.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.