Esquema Nacional de Seguridad (ENS): Guía Completa 2026

El Esquema Nacional de Seguridad lleva más de una década en vigor, pero la versión actual — la del RD 311/2022 — tiene diferencias críticas respecto a la anterior que muchas guías todavía no recogen correctamente.

El Esquema Nacional de Seguridad es el marco normativo que establece los principios y requisitos mínimos de seguridad que deben cumplir todos los sistemas de información de las Administraciones Públicas españolas y de las empresas que les prestan servicios tecnológicos. Regulado por el Real Decreto 311/2022, de 3 de mayo, el ENS no es una opción: es una obligación legal cuyo incumplimiento puede suponer la exclusión de licitaciones públicas, sanciones administrativas y, sobre todo, una exposición inaceptable a ciberamenazas en un entorno donde los ataques al sector público crecen año tras año.

Si usted gestiona una empresa que trabaja con la Administración o dirige un organismo público que maneja información de los ciudadanos, esta guía le proporcionará una visión completa y práctica de todo lo que necesita saber para cumplir con el ENS en 2026.

La primera duda que conviene despejar es la del ámbito: le explico qué empresas y proveedores están obligados a cumplir el ENS y en qué supuestos la obligación llega por vía indirecta.

El Esquema Nacional de Seguridad: qué es y por qué existe

El ENS nació con la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos, que reconocía el derecho de los ciudadanos a relacionarse electrónicamente con la Administración. Ese derecho exigía un marco de seguridad que garantizase la protección de la información y los servicios electrónicos. El primer ENS se aprobó mediante el Real Decreto 3/2010, y fue completamente renovado por el Real Decreto 311/2022, que es la versión vigente.

El ENS persigue cuatro objetivos fundamentales. En primer lugar, crear las condiciones de seguridad necesarias para generar confianza en el uso de los medios electrónicos. En segundo lugar, establecer una política de seguridad común para todas las entidades del sector público. En tercer lugar, proporcionar un lenguaje y unos elementos comunes que faciliten la interacción entre administraciones y la comunicación de requisitos de seguridad a la industria. Y en cuarto lugar, servir como referencia de buenas prácticas de seguridad de la información.

Marco legal vigente

El marco legal del ENS se sustenta en varias normas. La Ley 40/2015, de Régimen Jurídico del Sector Público, establece en su artículo 156 que el Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito del sector público. El Real Decreto 311/2022 desarrolla esta previsión con 41 artículos, 4 disposiciones adicionales, una transitoria, una derogatoria y 4 anexos técnicos.

Además, el ENS se relaciona estrechamente con otras normativas como el Reglamento General de Protección de Datos (la normativa de protección de datos), la Directiva NIS2 , cuya transposición española sigue pendiente, y la Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía en tramitación.

A quién obliga el ENS: ámbito de aplicación completo

El ámbito de aplicación del ENS es más amplio de lo que muchas organizaciones creen. La obligación directa recae sobre todo el sector público: la Administración General del Estado, las Administraciones de las Comunidades Autónomas, las Entidades que integran la Administración Local, las Universidades públicas y las entidades de derecho público vinculadas o dependientes de las Administraciones Públicas.

La obligación indirecta para el sector privado

El artículo 2 del Real Decreto 311/2022 establece que el ENS también se aplica a los sistemas de información de las entidades del sector privado cuando presten servicios o provean soluciones a las entidades del sector público para el ejercicio de sus competencias y potestades administrativas. Esto incluye a todas las empresas que manejen, procesen, almacenen o transmitan información clasificada por la Administración, así como a los proveedores de servicios TIC que den soporte a sistemas públicos.

En la práctica, esto significa que si su empresa desarrolla software para un ayuntamiento, gestiona la infraestructura tecnológica de una consejería autonómica, presta servicios cloud a un ministerio o simplemente procesa datos de ciudadanos por encargo de una entidad pública, está obligada a cumplir con el ENS en el nivel que corresponda al sistema de información al que da soporte.

Este encaje del sector privado tiene matices —qué servicios entran, con qué categoría y qué se exige en cada caso— que desarrollo en cuándo aplica el ENS al sector privado y en el ENS para proveedores de la Administración en licitaciones y pliegos.

El ENS en las licitaciones públicas

La tendencia es clara: cada vez más pliegos de contratación pública exigen la certificación ENS como requisito de solvencia técnica o como criterio de valoración. Esto convierte al ENS no solo en una obligación legal, sino en una ventaja competitiva real para las empresas que licitan con la Administración. En mi trabajo como consultor en Castilla y León lo veo cada semana en pliegos de la Junta, diputaciones y ayuntamientos.

Las cinco dimensiones de seguridad: DICAT

El ENS evalúa la seguridad de la información en cinco dimensiones, conocidas por el acrónimo DICAT. Cada dimensión se valora de forma independiente y su nivel determina la categoría del sistema.

La Disponibilidad garantiza que los servicios y la información estén accesibles cuando se necesitan. La Integridad asegura que la información no ha sido alterada de forma no autorizada. La Confidencialidad protege la información contra accesos no autorizados. La Autenticidad garantiza que la identidad de las personas y entidades que acceden al sistema es verificable. Y la Trazabilidad permite reconstruir quién hizo qué, cuándo y sobre qué información.

Cada dimensión se valora en tres niveles (BAJO, MEDIO, ALTO) en función del impacto que tendría un incidente de seguridad en esa dimensión concreta.

Categorías del ENS: BÁSICA, MEDIA y ALTA

La categoría del sistema se determina en función del nivel más alto alcanzado en cualquiera de las cinco dimensiones DICAT. Es decir, si cuatro dimensiones están en nivel BAJO pero una está en nivel ALTO, el sistema completo se categoriza como de categoría ALTA.

Categoría BÁSICA

Se aplica cuando un incidente de seguridad tendría un impacto limitado sobre las funciones de la organización, los activos o los individuos afectados. Es la categoría más frecuente en ayuntamientos pequeños y sistemas de información de bajo impacto. Requiere una declaración de conformidad (no certificación formal) y la aplicación de un subconjunto reducido de los 73 controles.

Categoría MEDIA

Corresponde a sistemas donde un incidente tendría un impacto grave. Es la categoría habitual para la mayoría de organismos de la Administración y para sus proveedores tecnológicos. Exige certificación formal por una entidad acreditada por ENAC y la aplicación de un conjunto más amplio de controles, incluyendo requisitos reforzados de autenticación, monitorización y gestión de incidentes.

Categoría ALTA

Se aplica cuando un incidente tendría un impacto muy grave o catastrófico. Es la categoría de los sistemas que manejan información clasificada, infraestructuras críticas o servicios esenciales de alto impacto. Requiere la totalidad de los 73 controles en su máxima exigencia, auditorías más frecuentes y mecanismos de protección avanzados.

La frontera entre las tres categorías no siempre es evidente, y de ella dependen los controles exigibles y el modo de acreditar la conformidad. Profundizo en esa decisión en cómo elegir entre las categorías BÁSICA, MEDIA y ALTA del ENS.

Los 73 controles del ENS: visión general

Los controles del ENS se organizan en tres grandes marcos que cubren la seguridad desde la gobernanza hasta la implementación técnica.

Marco organizativo (4 controles)

El marco organizativo establece los cimientos de la seguridad. Incluye la política de seguridad (org.1), que define el compromiso de la dirección; la normativa de seguridad (org.2), que desarrolla la política en normas operativas; los procedimientos de seguridad (org.3), que detallan cómo se ejecutan las normas; y el proceso de autorización (org.4), que regula la aprobación de nuevos sistemas o modificaciones significativas.

Marco operacional (31 controles)

El marco operacional cubre la planificación, la gestión del acceso, la explotación de los sistemas, los servicios externos, la continuidad del servicio y la monitorización. Aquí se encuentran controles como la planificación de la seguridad (op.pl), el control de acceso (op.acc), la gestión de la configuración (op.exp), la contratación de servicios externos (op.ext), la continuidad del servicio (op.cont) y la monitorización del sistema (op.mon).

Medidas de protección (38 controles)

Las medidas de protección abordan la seguridad de las instalaciones (mp.if), la gestión del personal (mp.per), la protección de los equipos (mp.eq), la seguridad de las comunicaciones (mp.com), la protección de los soportes de información (mp.si), la seguridad de las aplicaciones (mp.sw), la protección de la información (mp.info), la protección de los servicios (mp.s) y la criptografía (mp.c - nuevo en RD 311/2022).

Cada control se exige con distinto nivel de intensidad según la categoría del sistema. Desgloso los tres marcos, control a control, en los 73 controles del ENS: marco organizativo, operacional y medidas de protección, y explico cómo leer el Anexo II del ENS y sus medidas de seguridad.

El análisis de riesgos: piedra angular del ENS

El análisis de riesgos no es un trámite burocrático: es el ejercicio que determina qué controles son necesarios, con qué nivel de exigencia, y dónde deben concentrarse los recursos de seguridad. El ENS exige un análisis de riesgos formal basado en una metodología reconocida.

La metodología de referencia en España es la metodología MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información), desarrollada por el Consejo Superior de Administración Electrónica. MAGERIT se apoya en la herramienta PILAR, desarrollada por el Centro Criptológico Nacional (CCN), que automatiza gran parte del proceso de análisis.

El proceso de análisis de riesgos comprende varias etapas: la identificación y valoración de los activos de información, la identificación de las amenazas que pueden afectar a cada activo, la estimación del impacto y la probabilidad de materialización, el cálculo del riesgo, la selección de salvaguardas y la determinación del riesgo residual aceptable.

Ese recorrido, etapa por etapa y aplicado a una empresa pequeña, lo desarrollo en el análisis de riesgos con MAGERIT paso a paso para una PYME.

El proceso de certificación ENS

El camino hacia la certificación ENS varía según la categoría del sistema.

Declaración de conformidad (categoría BÁSICA)

Los sistemas de categoría BÁSICA no requieren certificación externa. Basta con una declaración de conformidad firmada por el responsable del sistema, que acredite que se cumplen los requisitos aplicables del ENS. Esta declaración debe renovarse cada dos años o cuando se produzcan cambios significativos en el sistema.

Certificación formal (categorías MEDIA y ALTA)

Los sistemas de categoría MEDIA y ALTA deben obtener una certificación emitida por una entidad de certificación acreditada por ENAC (Entidad Nacional de Acreditación). El proceso incluye una auditoría de fase 1 (revisión documental y planificación) y una auditoría de fase 2 (evaluación in situ del cumplimiento). La certificación tiene una validez de dos años, con una auditoría de seguimiento intermedia.

Costes orientativos

Los costes de adecuación y certificación varían enormemente según el tamaño de la organización, la complejidad de los sistemas y la categoría. Como orientación general, un proyecto de implantación para una PYME con categoría MEDIA puede situarse entre 8.000 y 40.000 euros (consultoría incluida) — el extremo bajo es un proyecto pequeño con buena parte del trabajo ya hecho —, mientras que la certificación propiamente dicha (auditoría externa) oscila entre 3.000 y 15.000 euros adicionales.

Estas horquillas varían según el alcance y el punto de partida, así que conviene contrastarlas con el detalle del proceso de certificación ENS, sus requisitos y sus costes y con los plazos de adecuación al ENS.

Qué cambia en el ENS de aquí a 2027

El Esquema Nacional de Seguridad que habrá que cumplir en 2027 es, casi con toda seguridad, el mismo que hay que cumplir hoy: el marco de requisitos mínimos de seguridad para los sistemas de información del sector público y de sus proveedores privados. El texto consolidado del Real Decreto 311/2022 no registra ninguna modificación posterior al 7 de noviembre de 2024, y esa única modificación no tocó los controles ni las categorías. Lo que sí se mueve de aquí a 2027 es el entorno: el reloj de la auditoría periódica, el desarrollo técnico del marco y tres calendarios normativos que van a caer sobre el mismo equipo de sistemas. Esa es la parte que descoloca la planificación, no el articulado.

La única modificación desde 2022 fue a la disposición adicional segunda

Conviene decirlo con precisión porque circula mucha confusión. El Real Decreto 311/2022 ha sido modificado una sola vez, por la disposición final segunda del Real Decreto 1125/2024, de 5 de noviembre, que regula la organización y los instrumentos operativos para la Administración Digital de la Administración del Estado. Lo que se cambió fue la disposición adicional segunda del ENS, la que habilita la aprobación de las instrucciones técnicas de seguridad de obligado cumplimiento.

La nueva redacción separa dos cosas que suelen confundirse: las instrucciones técnicas de seguridad las aprueba la persona titular del Ministerio para la Transformación Digital y de la Función Pública, a propuesta de la Comisión Sectorial de Administración Electrónica y a iniciativa del Centro Criptológico Nacional, y se publican mediante resolución de la persona titular de la Secretaría de Estado de Función Pública. Además ordena tener en cuenta las normas armonizadas por la Unión Europea, prevé la constitución de grupos de trabajo en los órganos colegiados de administración digital y autoriza expresamente al Centro Criptológico Nacional a elaborar las guías CCN-STIC, en particular las de la serie 800.

Traducido a consecuencias prácticas: los 73 controles, las cinco dimensiones y las tres categorías siguen exactamente igual, pero el canal por el que llegan las obligaciones de detalle está más engrasado. Lo que puede cambiar su día a día entre hoy y 2027 no es el real decreto, sino una instrucción técnica de seguridad nueva o una revisión de guía CCN-STIC. Quien vigile solo el BOE buscando reformas del ENS se va a quedar con la foto antigua. Desarrollo cómo funciona ese escalón en las instrucciones técnicas de seguridad y las guías CCN-STIC.

El plazo de adecuación venció en mayo de 2024

La disposición transitoria única daba veinticuatro meses a los sistemas preexistentes —incluidos los de los contratistas privados del artículo 2— para alcanzar la plena adecuación al ENS. El real decreto entró en vigor el 5 de mayo de 2022, así que ese plazo terminó en mayo de 2024.

Esto tiene una lectura que a menudo se pasa por alto: no queda periodo transitorio al que acogerse. Si en 2026 una empresa sigue con la adecuación a medias, no está dentro de un calendario, está fuera de plazo. La conversación con el órgano de contratación cambia mucho según se llegue con un plan de adecuación fechado o con un «estamos en ello». Si su caso es ese, el orden de trabajo lo detallo en los plazos de adecuación al ENS y cuánto tiempo lleva realmente.

Lo que sí vence en 2027: el ciclo de dos años

El artículo 31 fija auditorías ordinarias con una periodicidad de al menos dos años, y auditorías extraordinarias cuando se produzcan modificaciones sustanciales en el sistema. Contempla también una prórroga de hasta tres meses por causa de fuerza mayor debidamente justificada, y prevé que en categoría ALTA pueda llegar a suspenderse temporalmente el sistema si los hallazgos lo justifican.

De ahí sale el calendario real de 2027. Quien pasó su auditoría o firmó su declaración de conformidad en 2025 tiene el siguiente hito en 2027, y quien lo hizo en 2026 lo tendrá en 2028. No es una fecha del ENS, es la fecha de cada organización. Merece la pena sacarla del cajón ahora por dos motivos: la agenda de las entidades de certificación acreditadas por ENAC se llena, y el artículo 38 obliga a dar publicidad a las declaraciones y certificaciones de conformidad en el portal o la sede electrónica correspondiente, con lo que un vencimiento sin renovar queda a la vista de cualquiera que mire. Cómo se sostiene ese ciclo lo trato en mantenimiento y renovación del ENS después de certificar y en cada cuánto toca la auditoría de conformidad y quién audita.

Los perfiles de cumplimiento específicos, la vía del artículo 30

Es la palanca menos usada del ENS y la que más sentido tiene revisar antes de 2027. El artículo 30 permite implementar perfiles de cumplimiento específicos: conjuntos de medidas que, partiendo del análisis de riesgos preceptivo, resultan idóneas para una categoría concreta y para un tipo de entidad o sector. El propio artículo contempla la validación de esos perfiles por el CCN y esquemas de acreditación de entidades de implementación de configuraciones seguras, además de condiciones para las implantaciones locales de servicios en nube.

Para un ayuntamiento pequeño o una pyme proveedora, un perfil validado significa no partir de una hoja en blanco con los 73 controles delante. Lo explico con detalle en qué son los perfiles de cumplimiento específicos del ENS.

Tres calendarios que caen sobre el mismo equipo en 2027

Aquí está el argumento de planificación que suele faltar en las guías del ENS. En la mayoría de las pymes proveedoras, la persona que lleva el ENS es la misma que lleva todo lo demás. Y 2027 concentra tres relojes distintos sobre esa misma persona:

Las dos primeras fechas están fijadas en norma vigente: la disposición final cuarta del Real Decreto 1007/2023 en su texto consolidado, y el artículo 113 del Reglamento (UE) 2024/1689 en la redacción que le dio el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA. La tercera no: el anteproyecto de ley de coordinación y gobernanza de la ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y, a fecha de esta actualización, no hay texto publicado en el BOE. El estado de la tramitación lo mantengo al día en la ley de coordinación y gobernanza de la ciberseguridad, y el encaje concreto con el ENS, en cómo encajan ENS y NIS2 en una empresa.

La conclusión operativa es de calendario, no de contenido: si la renovación del ENS de su organización cae en 2027, conviene adelantarla al primer semestre y no dejarla junto al resto.

Qué revisar antes de que acabe el año

Cuatro comprobaciones que llevan una tarde y evitan sustos:

1. Buscar la fecha exacta de la última auditoría o declaración de conformidad y contar veinticuatro meses desde ahí. Esa es su fecha, no la del ENS.
2. Comprobar la publicidad del artículo 38: si la declaración o el certificado están publicados en su web y siguen vigentes.
3. Revisar si el alcance sigue siendo el mismo. Un cambio de proveedor cloud, un ERP nuevo o el software de facturación adaptado a Verifactu pueden ser modificación sustancial y disparar una auditoría extraordinaria. Si el cambio es de proveedor, conviene rehacer también el reparto: qué se puede heredar de un proveedor certificado y qué no se hereda nunca.
4. Situar su punto de partida antes de pedir presupuestos. Para eso está el autodiagnóstico ENS, que en unos minutos le dice qué categoría le encaja y qué le van a exigir; las horquillas de inversión, en cuánto cuesta el ENS entre adecuación y certificación.

Lo que he publicado este trimestre sobre el ENS

Las piezas nuevas del otoño, por si alguna resuelve lo que tiene ahora mismo encima de la mesa:

• Gestión de vulnerabilidades y parcheo: el ENS no tiene una medida con ese nombre, tiene siete que forman el ciclo.
• El inventario de activos, que es lo que sostiene todo lo demás, y el plan de adecuación, con lo que tiene que contener.
• El borrado seguro de soportes, la medida que más veces se descubre en la auditoría.
• El informe INES, cómo se prepara y quién tiene deber de reportar.
• Cumplir el ENS con diez empleados: qué es imprescindible en una plantilla corta y qué no.
• Heredar medidas de un proveedor certificado: qué entra, qué no y cómo se justifica.

El resto de guías del marco están en el área de cumplimiento ENS.

Herramientas del CCN para el cumplimiento

El Centro Criptológico Nacional pone a disposición de las organizaciones un ecosistema de herramientas gratuitas que facilitan enormemente el cumplimiento del ENS.

PILAR es la herramienta de análisis de riesgos oficial, que implementa la metodología MAGERIT. INES (Informe Nacional del Estado de Seguridad) es la plataforma para reportar el estado de adecuación al ENS. LUCIA es el sistema de gestión de incidentes del CCN-CERT. CLARA permite la verificación automatizada del cumplimiento de la configuración de seguridad. ANA es la herramienta de análisis de vulnerabilidades. Y microCLOUD ofrece servicios cloud seguros para entidades con recursos limitados.

Relación del ENS con otras normas y marcos

El ENS no opera de forma aislada. Se complementa con ISO 27001 (sistema de gestión de seguridad de la información), compartiendo muchos requisitos pero con diferencias significativas en alcance y enfoque. Ambas certificaciones las emiten entidades acreditadas por ENAC; he comparado precios y procesos en mi artículo sobre certificación ISO en España: organismos y costes. También se relaciona con el RGPD en lo relativo a la protección de datos personales tratados por medios electrónicos, con la Directiva NIS2 para operadores de servicios esenciales e importantes, y con el marco DORA para el sector financiero.

Una estrategia inteligente consiste en abordar el cumplimiento de forma integrada, aprovechando las sinergias entre normas para reducir duplicidades y costes. Si parte de la base de el sistema de gestión de calidad, conviene tener claro de antemano cuánto cuesta certificarse en ISO 9001 antes de sumar la adecuación al ENS.

Si duda entre el ENS y la ISO 27001, he comparado ambos marcos en las diferencias entre el ENS y la ISO 27001 y aclaro cuál de los dos necesita para trabajar con la Administración.

Preguntas frecuentes sobre el ENS

¿Cuánto tiempo lleva adecuarse al ENS?

Un proyecto de adecuación típico requiere entre 4 y 12 meses, dependiendo de la categoría, el punto de partida de la organización y los recursos disponibles.

¿Puedo certificarme en ENS e ISO 27001 a la vez?

Sí, y es una estrategia recomendable. Ambas normas comparten la estructura de sistema de gestión y muchos controles coinciden. Una implantación simultánea puede reducir costes en un 30-40% respecto a hacerlo por separado.

¿Qué pasa si no cumplo el ENS?

El incumplimiento puede suponer la exclusión de licitaciones públicas, responsabilidades administrativas por incidentes de seguridad que afecten a datos de ciudadanos, y sanciones en el marco de la legislación de ciberseguridad aplicable.

¿Necesito un consultor para implantar el ENS?

No es obligatorio, pero sí altamente recomendable, especialmente para organizaciones que abordan el ENS por primera vez. Un consultor especializado aporta experiencia en categorización, análisis de riesgos, selección de controles y preparación de la auditoría.

Si necesita asesoramiento profesional, le interesa saber cómo elegir bien: he resumido los criterios en mi guía sobre consultoría ISO en España y cómo elegir la mejor, aplicables también a un proyecto de adecuación al ENS.

Conclusión: el ENS como oportunidad estratégica

El Esquema Nacional de Seguridad no debería verse únicamente como una obligación regulatoria, sino como una oportunidad para mejorar la postura de seguridad de su organización, acceder a licitaciones públicas y generar confianza en sus clientes del sector público. En un contexto donde los ciberataques a administraciones y sus proveedores se multiplican cada año, contar con la certificación ENS no es solo cumplir la ley: es demostrar profesionalidad y compromiso con la protección de la información de los ciudadanos.

Si desea evaluar su situación respecto al ENS o iniciar un proceso de adecuación, no dude en contactarnos. Analizaremos su caso concreto y le proporcionaremos un plan de acción adaptado a sus necesidades y recursos.

Si tiene por delante la adecuación al ENS y no sabe por dónde empezar, escríbame. Cuénteme qué servicio presta, a qué entidad y cuál es su punto de partida, y le respondo con mi lectura del caso: en qué categoría encaja su sistema, qué se le va a exigir en la práctica y en qué orden conviene abordarlo. Le contesto yo, no un comercial: puede escribirme desde la página de contacto.

Esta guía le da el mapa completo. Si lo que quiere es que alguien lo recorra con usted, puedo hacerlo: así trabajo la consultoría ENS para empresas. Y en el área de ENS encontrará el resto de guías del marco.

Preguntas frecuentes

¿Quién debe cumplir el ENS?

Lo deben cumplir todas las administraciones públicas y los proveedores privados que presten servicios TIC al sector público. El Esquema Nacional de Seguridad es el marco normativo que establece los principios y requisitos mínimos de seguridad que deben cumplir todos los sistemas de información de las Administraciones Públicas españolas y de las empresas que les prestan servicios tecnológicos.

¿Cuáles son las categorías del ENS?

El ENS tiene tres categorías: BÁSICA, MEDIA y ALTA, según el impacto que tendría un incidente de seguridad sobre la información tratada. El ENS nació con la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos, que reconocía el derecho de los ciudadanos a relacionarse electrónicamente con la Administración.

¿Cuál es el plazo para cumplir el ENS?

El Real Decreto 311/2022 dio veinticuatro meses a los sistemas preexistentes desde su entrada en vigor, el 5 de mayo de 2022, así que ese plazo terminó en mayo de 2024: hoy no queda periodo transitorio al que acogerse. Además, el ENS se relaciona estrechamente con otras normativas como el Reglamento General de Protección de Datos (RGPD), la Directiva NIS2 , cuya transposición española sigue pendiente, y la Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía en tramitación.

¿Qué pasa si no se cumple el ENS?

El incumplimiento del ENS impide contratar con la Administración pública y puede derivar en sanciones según la normativa sectorial aplicable. El incumplimiento puede suponer la exclusión de licitaciones públicas, responsabilidades administrativas por incidentes de seguridad que afecten a datos de ciudadanos, y sanciones en el marco de la legislación de ciberseguridad aplicable.

¿Cuánto cuesta la certificación ENS?

El coste depende de la categoría: para una PYME en categoría MEDIA, contando implantación (8.000-40.000 €) y auditoría (3.000-15.000 € adicionales), suele situarse entre 11.000 y 55.000 €, sumando adecuación y auditoría externa. Los proyectos pequeños o con buena parte del trabajo de seguridad ya hecho pueden quedar bastante por debajo de esa cifra; los costes varían enormemente según el tamaño de la organización, la complejidad de los sistemas y la categoría.