Contratar fuera al responsable de seguridad: hasta dónde llega lo externalizable
La función se puede contratar fuera; la responsabilidad, no. El Real Decreto 311/2022 no prohíbe que quien ejerce el papel de responsable de la seguridad sea alguien ajeno a la plantilla, y de hecho el anexo II menciona el «personal» externo entre los recursos que una organización puede utilizar. Lo que la norma no permite es que la entidad se desprenda del papel: en servicios externalizados, el artículo 13.5 cierra el asunto diciendo que todo ello opera «sin perjuicio de que la responsabilidad última resida en la entidad del sector público destinataria de los citados servicios».
Traducido a la práctica: puedes comprar horas de un profesional, un servicio gestionado o un despacho entero, pero la designación, las decisiones y las consecuencias siguen dentro de casa. Esa distinción, que parece un matiz de abogado, es la que separa un contrato que aguanta una auditoría de uno que se cae en la primera entrevista.
Qué se externaliza de verdad: la función, no la responsabilidad
El anexo II del ENS abre su sección de recursos externos con una frase que conviene leer dos veces: «Cuando la organización utilice recursos externos (servicios, productos, instalaciones o personal), mantendrá la plena responsabilidad de los riesgos para la información tratada o los servicios prestados, debiendo adoptar las medidas necesarias para ejercer su responsabilidad y mantener el control en todo momento».
El personal externo está expresamente contemplado, así que nadie puede sostener que la norma exija empleados propios. La contrapartida es «mantener el control en todo momento», y eso no se demuestra con una factura mensual.
De ahí sale la regla de oro. El artículo 13.2.c encarga al responsable de la seguridad determinar las decisiones para satisfacer los requisitos de seguridad, supervisar la implantación de las medidas y reportar sobre ello. Un tercero puede preparar el análisis, redactar la propuesta y llevar el seguimiento. Quien tiene que quedarse con el «determinar» y con el «reportar a la dirección» es la entidad. Si el contrato traslada también eso, lo externalizado no es la función, es el mando.
Si aún no tienes claro qué figura es cada una y qué hace cada rol, el punto de partida es la pieza sobre los roles obligatorios del ENS; aquí damos por sabido el reparto y vamos directos a la variante de contratación.
Cuándo conviene contratarlo fuera, y cuándo no
No publico tarifas, pero sí tengo criterio sobre cuándo esta figura funciona fuera. Conviene en cuatro situaciones:
- No hay perfil interno con independencia suficiente. Es el caso más frecuente y el más legítimo: el artículo 13.3 impide que quien vela por la seguridad sea también quien explota el sistema o dependa de él. En una entidad con un único técnico de informática, cumplirlo por dentro obliga a inventar un organigrama.
- El pico de trabajo es la adecuación, no el régimen de crucero. Redactar la política, hacer el análisis de riesgos y montar la Declaración de Aplicabilidad concentra el esfuerzo en unos meses. Contratar plantilla para eso y luego no saber qué hacer con ella es peor negocio que comprar el pico.
- El alcance es pequeño y la categoría, básica o media. Con dos o tres sistemas, la dedicación real cabe en un contrato de horas con mínimo mensual.
- Hace falta oficio de auditoría que no se tiene. Quien ha pasado por veinte procesos de conformidad detecta en una tarde lo que a un equipo interno le cuesta un ciclo entero descubrir.
Y tres en las que no lo recomiendo: cuando el mismo proveedor opera los sistemas —la objeción que el auditor plantea primero—; cuando dentro no queda nadie con capacidad de decidir, porque el consultor propone y sin interlocutor que apruebe el artículo 13.2.c queda sin cumplir; y cuando el contrato es de horas a demanda sin mínimo.
Las tres vías que sí prevé la norma
| Vía | Qué se contrata | Quién responde | Qué mira el auditor |
|---|---|---|---|
| 1 · Apoyo externo a la figura interna | Análisis, documentación, seguimiento e informes; la designación es de la entidad | La entidad, siempre (anexo II, 4.4) | El nombramiento interno, las actas donde consta que la entidad decidió y los informes elevados a dirección |
| 2 · POC de seguridad del proveedor | Un servicio (alojamiento, sede electrónica, aplicación); el POC cubre ese servicio, no todo tu alcance | La entidad destinataria, «sin perjuicio» del papel del prestatario (art. 13.5) | Quién es el POC, dónde encaja en la organización del proveedor y si tiene acceso a su dirección |
| 3 · Mancomunar (solo entidades locales) | Nada: la responsabilidad se traslada a otra administración, no a un proveedor | La entidad local comarcal o provincial que la asume (art. 12.5) | El acuerdo entre administraciones y la política común |
Vía 1: apoyo externo a la figura interna designada
Es la más común y la que menos problemas da. La entidad designa a una persona propia, normalmente ajena al área técnica, y contrata fuera el músculo: análisis de riesgos, redacción documental, seguimiento del plan de adecuación, preparación de la auditoría, informes periódicos.
La norma pone condiciones a ese proveedor. El artículo 16.2 obliga a exigir, «de manera objetiva y no discriminatoria», que quien preste servicios de seguridad cuente con profesionales cualificados y con niveles idóneos de gestión y madurez, y el 19.3 remite a ese mismo artículo para toda contratación de servicios de seguridad. La cualificación no es una preferencia del pliego: es un requisito del real decreto, y la forma de exigirla tiene que poder justificarse. El 16.3 añade lo que casi nadie documenta: definir qué formación y qué experiencia pide el puesto. Si lo cubre alguien de fuera, esa definición sigue siendo obligatoria y su sitio natural es el pliego.
Vía 2: el POC de seguridad del proveedor
Cuando lo externalizado es el servicio (el alojamiento, la sede electrónica, la aplicación de gestión), entra en juego el artículo 13.5. La organización prestataria, salvo causa justificada y documentada, designará un POC (Punto o Persona de Contacto) para la seguridad de la información tratada y el servicio prestado. Ese POC tiene que contar con el apoyo de los órganos de dirección de su empresa y canalizar y supervisar tanto el cumplimiento de los requisitos de seguridad como las comunicaciones de seguridad y la gestión de incidentes en el ámbito de ese servicio.
La norma acota además su encaje: solo vale si el POC es la persona que ejerce como responsable de seguridad en la empresa contratada, alguien adscrito a esa misma área o alguien que tenga comunicación directa con ella. El comercial de la cuenta no encaja en ninguno de los tres supuestos, por mucho que sea quien coge el teléfono.
Ese proveedor tampoco es un actor ajeno al ENS: el artículo 2.3 aplica el real decreto a las entidades privadas que, por relación contractual, prestan servicios o proveen soluciones al sector público para el ejercicio de sus potestades administrativas, con la obligación expresa de contar con la política de seguridad del artículo 12. Lo desarrollo en ENS para proveedores de la Administración.
Vía 3: mancomunar, solo para entidades locales
Hay un supuesto, y solo uno, en el que la responsabilidad se mueve de sitio: el del artículo 12.5, pensado para el municipio pequeño que se apoya en su diputación o comarca. Su rasgo definitorio es que quien asume no es un proveedor, sino otra administración, así que no es propiamente externalizar. Lo desarrollo con su reparto de papeles en ENS para ayuntamientos; y antes de sacar un contrato a licitación merece la pena preguntar a la diputación qué tiene montado, porque el artículo 29 recuerda que utilizar infraestructuras y servicios comunes de las administraciones públicas facilita el cumplimiento.
Lo que no puede salir de casa
Cinco cosas se quedan dentro pase lo que pase.
La designación
La política de seguridad debe recoger los roles o funciones de seguridad, sus deberes y responsabilidades y el procedimiento para su designación y renovación, según el artículo 12.1.c y la medida org.1 del anexo II, que aplica en las tres categorías. Nombrar es un acto de la entidad.
La aprobación de la política
El artículo 12.2 exige que cada administración pública y cada órgano o entidad con personalidad jurídica propia cuente con una política formalmente aprobada por el órgano competente. Un consultor puede redactarla entera; aprobarla, no.
La decisión
Ya vista: artículo 13.2.c. El proveedor propone, la entidad decide y la decisión debe quedar registrada. Sin acta, la decisión no existe para el auditor.
La firma de la Declaración de Aplicabilidad
El artículo 28.2 dice que la relación de medidas seleccionadas se formaliza en un documento «firmado por el responsable de la seguridad», y el 28.3 le atribuye además la aprobación formal de las medidas compensatorias que sustituyan a las del anexo II. Quien firma ese documento delimita el alcance de la obligación de la entidad: decide qué medidas aplican, cuáles no y con qué justificación. Que lo firme un contratista es un problema de competencia antes que de cumplimiento, y es el argumento más concreto contra poner a un tercero en la titularidad del rol.
La separación con el responsable del sistema
Aquí está la trampa más cara. El artículo 13.3 prohíbe que el responsable de la seguridad y el del sistema sean la misma persona y que exista dependencia jerárquica entre ambos. Pero el artículo 11.2 no habla de personas, sino de responsabilidades: «la responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la explotación de los sistemas de información concernidos». Si el mismo proveedor opera tus servidores y además pone a quien supervisa esa operación, has reproducido la situación que el principio de diferenciación quiere evitar, aunque sean dos personas de departamentos distintos. Es la pregunta que hará el auditor.
Qué pedir en el contrato o en el pliego
El artículo 2.3 obliga a que los pliegos de prescripciones administrativas o técnicas contemplen «todos aquellos requisitos necesarios para asegurar la conformidad con el ENS» de los sistemas en los que se sustenten los servicios del contratista, y menciona como ejemplo la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad. Añade que la cautela se extiende a la cadena de suministro del contratista, en la medida en que sea necesario y de acuerdo con el análisis de riesgos.
Sobre esa base, la tabla que uso para redactar el pliego. La última columna es para rellenar con tu caso: comprobar la categoría antes de copiar cláusulas de otro pliego evita exigir de más y también de menos.
| Qué exigir | Base | ¿Desde qué categoría? | Tu caso |
|---|---|---|---|
| Quién es el POC, dónde encaja, suplencia y plazo para comunicar cambios | art. 13.5 | Siempre que se externalice el servicio | [NOMBRE] · [ÁREA] · [SUPLENTE] |
| Acuerdo de nivel de servicio, con el «servicio mínimo admisible», la responsabilidad del prestador y las consecuencias del incumplimiento | op.ext.1 | Media y alta; en básica no aplica, y aun así conviene | [ANS Nº …] · [SERVICIO MÍNIMO] |
| Medición rutinaria del cumplimiento, procedimiento para neutralizar desviaciones y coordinación del mantenimiento, incidentes y desastres incluidos | op.ext.2 | Media y alta | [FRECUENCIA] · [MARGEN TOLERADO] |
| Autorización formal para la «utilización de servicios de terceros, bajo contrato o convenio, concesión, encargo, etc.» | org.4.8 | Las tres, básica incluida | [QUIÉN AUTORIZA] |
| Deberes de cada parte y del personal contratado a través de un tercero, con procedimiento de resolución por incumplirlos | mp.per.2.4 | Las tres; en media y alta, además, aceptación expresa de las instrucciones | [ANEXO DEL CONTRATO] |
| Requisitos del puesto, en especial de confidencialidad, con verificación de antecedentes laborales, formación y referencias | mp.per.1 | Media y alta | [REQUISITOS] |
| Formación e información del personal «propio o ajeno», con supervisión de su actuación | art. 15.1 | Siempre | [PLAN DE FORMACIÓN] |
| Cadena de suministro e interconexión de sistemas | op.ext.3 (solo alta) · op.ext.4 (media y alta) | Según categoría | [ALCANCE] |
| Salida: documentación, registros y accesos al terminar el contrato | Buena práctica | Siempre | [PLAZO DE DEVOLUCIÓN] |
Si dudas de la categoría, empieza por cómo elegirla o por el autodiagnóstico ENS. Para la redacción fina de las cláusulas, incluido el encaje con contratos que no son de servicios TIC, está la pieza sobre cláusulas de ciberseguridad en contratos con proveedores.
Con qué dedicación y qué encarece el servicio
No publico tarifas, porque el mismo alcance vale cosas muy distintas según el punto de partida. Lo que sí puede anticiparse es qué mueve el presupuesto:
- La categoría y el número de sistemas del alcance. El salto de básica a media multiplica medidas y sustituye la autoevaluación por la auditoría bienal. Y el alcance real casi nunca coincide con el del pliego inicial.
- El estado de partida. Una entidad con análisis de riesgos hecho y política aprobada consume una fracción del tiempo de otra que empieza en blanco.
- Si el encargo incluye la preparación de la auditoría. Preparar no es auditar: la certificación de conformidad la emite una entidad de certificación acreditada por ENAC, distinta de quien presta el servicio de seguridad, y esa separación hay que preverla desde el principio.
- La dedicación comprometida. Un contrato de «horas a demanda» sin mínimo mensual suele traducirse en lo que ya he dicho: nadie aparece hasta que llega la auditoría.
Si el encargo va a incluir la adecuación completa y no solo el acompañamiento, el encaje habitual está en consultoría ENS de implantación.
Cómo lo comprueba el auditor
El anexo III enumera qué se constata sobre los roles —que la política los define, que existen procedimientos para resolver conflictos entre ellos y que se han designado personas para cada uno, respetando el principio de diferenciación de responsabilidades—, y esa comprobación está desarrollada en la pieza de roles. Lo que interesa aquí es sobre qué se sustenta el dictamen, porque es lo que desmonta los montajes de papel: documentación de los procedimientos, registro de incidentes, «examen del personal afectado: conocimiento y praxis de las medidas que le afectan» y productos certificados. Un responsable de seguridad que solo aparece el día de la auditoría no supera una entrevista sobre la praxis real de la entidad.
En un escenario externalizado, las evidencias que sostienen todo eso son cuatro: el documento de nombramiento de la figura interna, el contrato o pliego con el ANS y la designación del POC, las actas donde consta que la entidad decidió, y los informes que el responsable de la seguridad ha elevado a la dirección. Nada de eso se improvisa. Cómo llegar con la carpeta hecha lo cuento en preparar la auditoría del ENS.
Errores que se repiten
- Nombrar al POC del proveedor como responsable de seguridad de la entidad. Son figuras distintas: una vive en el contratista y cubre el ámbito de su servicio; la otra es de la entidad y cubre todo su alcance.
- Dar por hecho que la certificación ENS del proveedor cubre a la entidad. Cubre el alcance declarado por el proveedor. Las obligaciones de la entidad siguen siendo suyas.
- Confundirlo con el delegado de protección de datos. Son papeles con norma, funciones y régimen distintos, aunque en entidades pequeñas acaben coordinándose a diario.
- Un contrato de horas sin acceso a dirección. El artículo 13.5 exige que el POC cuente con el apoyo de los órganos de dirección; para la figura interna, el sentido es el mismo: sin canal a quien decide, la función es decorativa.
- Dejar la vacante sin cubrir cuando cambia el proveedor. El procedimiento de designación y renovación de org.1.3 existe justamente para eso.
- Exigir en el pliego una certificación personal que hoy no existe. Es el error que más veo copiado de un modelo de pliego a otro. El artículo 13.4 la anuncia, pero a 31 de julio de 2026 su instrucción técnica seguía sin publicarse: pedirla deja el lote desierto o excluye a candidatos válidos.
El orden que menos disgustos da es el inverso al habitual: determinar la categoría, decidir quién será la persona designada dentro de la entidad, comprobar que no depende jerárquicamente de quien lleva los sistemas y solo entonces escribir el pliego. El encaje completo del marco está en la guía del Esquema Nacional de Seguridad, dentro del área de cumplimiento del ENS.
Preguntas frecuentes
¿Puede el responsable de seguridad del ENS ser una empresa en lugar de una persona?
El real decreto habla siempre de responsables en singular y el anexo III comprueba que «se han designado personas» para esos roles. Lo que se contrata a una empresa es el servicio de apoyo; la designación recae sobre una persona identificable, que puede estar prestando sus servicios a través de ese contrato pero que debe constar nominalmente en la documentación de la entidad, con sus deberes y su procedimiento de renovación.
¿Basta con que el proveedor designe su POC de seguridad?
No. El POC del artículo 13.5 cubre el ámbito del servicio que presta esa empresa: canaliza y supervisa los requisitos de seguridad de ese servicio, sus comunicaciones y sus incidentes. La entidad sigue necesitando su propio responsable de la seguridad, porque el mismo artículo remata diciendo que la responsabilidad última reside en la entidad del sector público destinataria.
¿Puede el mismo proveedor llevar los sistemas y la función de seguridad?
Es la configuración más frecuente y la más discutible. El artículo 13.3 prohíbe la coincidencia y la dependencia jerárquica entre personas, y el artículo 11.2 exige que la responsabilidad de la seguridad esté diferenciada de la de explotación. Si ambas salen del mismo contrato, hay que poder explicar con qué medidas se garantiza la finalidad del principio de diferenciación, y documentarlo antes de la auditoría, no durante.
¿Hay que estar certificado como responsable de seguridad del ENS?
A 31 de julio de 2026, no: no existe ningún esquema de certificación personal en vigor. La instrucción técnica prevista en el artículo 13.4 seguía sin figurar entre las publicadas en el portal del ENS en esa fecha. Lo exigible es lo del artículo 16.3 —que la entidad fije por escrito qué formación y qué experiencia pide el puesto— y que se lo exija al proveedor por la vía del 16.2, de manera objetiva y no discriminatoria.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, texto consolidado (BOE-A-2022-7191): artículos 2.3, 11.2, 12.1.c, 12.2, 12.5, 13.2 a 13.5, 15.1, 16.2, 16.3, 19.3, 28.2, 28.3 y 29.
- Anexo II del RD 311/2022, marco organizativo: medidas org.1 (política de seguridad) y org.4 (proceso de autorización, punto org.4.8).
- Anexo II del RD 311/2022, marco operacional, apartado 4.4 «Recursos externos»: su párrafo de cabecera y las medidas op.ext.1 (contratación y acuerdos de nivel de servicio), op.ext.2 (gestión diaria), op.ext.3 (protección de la cadena de suministro) y op.ext.4 (interconexión de sistemas), con su aplicación por categoría.
- Anexo II del RD 311/2022, medidas de protección: mp.per.1 (caracterización del puesto de trabajo) y mp.per.2 (deberes y obligaciones), en particular su apartado sobre personal contratado a través de un tercero.
- Anexo III del RD 311/2022, «Auditoría de la seguridad», apartados 1.1 y 1.2.
- Relación oficial de Instrucciones Técnicas de Seguridad publicadas, portal del ENS del Centro Criptológico Nacional, consultada el 31 de julio de 2026.
- Guía CCN-STIC 801, «Responsabilidades y funciones en el ENS», del Centro Criptológico Nacional, actualizada conforme al RD 311/2022.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.