Heredar medidas del ENS de tu proveedor: qué entra, qué no y cómo se justifica
Heredar controles en el Esquema Nacional de Seguridad significa que una medida del anexo II del Real Decreto 311/2022 se da por implantada en tu sistema porque la ejecuta y evidencia un tercero —tu proveedor de nube, tu centro de datos, tu proveedor de servicios gestionados—, y tú te limitas a documentar de quién la heredas, con qué alcance y con qué prueba. Es un mecanismo de reparto de trabajo, no de traspaso de responsabilidad: el anexo II es explícito en que quien usa recursos externos «mantendrá la plena responsabilidad de los riesgos para la información tratada o los servicios prestados». Bien hecho, la herencia recorta lo que tienes que construir. Mal documentada, es lo primero que un auditor convierte en no conformidad.
Qué significa heredar una medida del ENS
El anexo II del ENS contiene 73 medidas repartidas en tres bloques: marco organizativo org, marco operacional op y medidas de protección mp. Cuando tu servicio se apoya en infraestructura de un tercero, buena parte de esas medidas no las ejecutas tú: no controlas el acceso físico a la sala donde están los servidores ni negocias el suministro eléctrico redundante.
La herencia consiste en reconocer ese hecho por escrito: la medida sigue siendo exigible, sigue apareciendo en tu Declaración de Aplicabilidad y sigue teniendo que estar implantada, pero el responsable operativo es otro y la evidencia la aporta ese otro. Tú aportas la evidencia de segundo grado: contrato, certificado del proveedor con su alcance, acuerdo de nivel de servicio y el mecanismo con el que compruebas que sigue cumpliendo.
Conviene separarlo de dos figuras vecinas. Una medida compensatoria (artículo 28.3) es sustituir una medida del anexo II por otra que protege igual o mejor, detallando la correspondencia en la propia Declaración de Aplicabilidad. Un perfil de cumplimiento específico (artículo 30.1) es un subconjunto de medidas validado por el Centro Criptológico Nacional para un tipo de entidad o sector. Puedes usar los tres a la vez, pero se documentan de forma distinta y el auditor los mira por separado.
Dónde lo dice el Real Decreto 311/2022
Primer aviso, y va en serio: el Real Decreto no emplea la palabra «herencia». Es un término de la práctica —de las guías CCN-STIC, de las herramientas de la Declaración de Aplicabilidad y del lenguaje de los consultores—, no del articulado. Si buscas «herencia de controles» en el texto consolidado no vas a encontrar nada, y quien te lo venda como una figura jurídica del ENS está estirando la norma. Lo que sí hay son varios preceptos que, juntos, sostienen el mecanismo.
El más importante es el párrafo que abre el apartado de recursos externos op.ext en el anexo II: cuando la organización utiliza recursos externos —servicios, productos, instalaciones o personal— mantiene la plena responsabilidad de los riesgos, «debiendo adoptar las medidas necesarias para ejercer su responsabilidad y mantener el control en todo momento». Esa frase es el límite de todo lo demás.
El artículo 13.5 añade la pieza organizativa: en servicios externalizados, la empresa prestataria designa un punto de contacto para la seguridad de la información tratada y del servicio prestado, que canaliza el cumplimiento de los requisitos de seguridad y las comunicaciones sobre incidentes. Y remata: «sin perjuicio de que la responsabilidad última resida en la entidad del sector público destinataria de los citados servicios».
El artículo 2.3 explica por qué tu proveedor está dentro del juego. El ENS se aplica también a las entidades privadas que, en virtud de una relación contractual, prestan servicios o proveen soluciones al sector público, incluida la obligación de tener política de seguridad del artículo 12. Además, los pliegos deben contemplar los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en que se sustentan los servicios contratados, como la presentación de Declaraciones o Certificaciones de Conformidad, y esa cautela se extiende a la cadena de suministro del contratista. Ese es el mecanismo real por el que la herencia llega hasta el último eslabón: por contrato. Lo desarrollo en la guía de proveedores de la Administración y pliegos y en la de conformidad del sector privado.
El artículo 29 añade que usar infraestructuras y servicios comunes de las administraciones públicas facilita el cumplimiento. Es herencia entre administraciones, con la misma lógica: quien opera el servicio común aporta la parte que le toca.
Qué puedes heredar de un proveedor certificado y qué no
El bloque más claramente heredable es mp.if, protección de las instalaciones e infraestructuras: siete medidas que van desde las áreas separadas con control de acceso hasta la protección frente a incendios e inundaciones, la energía eléctrica, el acondicionamiento de los locales y el registro de entrada y salida de equipamiento. Si tu servidor vive en el centro de datos de un tercero, esas siete no las vas a implantar tú.
Después, según el modelo de servicio, se hereda una parte variable de:
op.exp, explotación (10 medidas): configuración de seguridad, mantenimiento y actualizaciones, protección frente a código dañino, registro de actividad. En un SaaS se hereda casi entera; en infraestructura como servicio, casi nada por encima del hipervisor.mp.com, protección de las comunicaciones: perímetro seguro, confidencialidad, integridad y autenticidad, separación de flujos.op.mon, monitorización, y parte deop.cont, continuidad, cuando el proveedor opera la plataforma.mp.si, soportes de información, en custodia, transporte y destrucción de discos físicos.
Y lo que no se hereda nunca, por mucho certificado que traiga el proveedor:
- El marco organizativo
orgcompleto. Política de seguridad, normativa, procedimientos y proceso de autorización son tuyos. La política de seguridad la exige el artículo 12 a tu entidad, y el anexo III comprueba en auditoría que define los roles de responsable de la información, del servicio, de la seguridad y del sistema, y que hay personas designadas. - El análisis de riesgos
op.pl.1. El artículo 14.1 lo dice sin margen: cada organización que desarrolle e implante sistemas realizará su propia gestión de riesgos. El de tu proveedor no vale como el tuyo. - La categorización del sistema. Determinar el nivel de cada dimensión y la categoría resultante es una decisión de los responsables de la información y del servicio, que son tuyos. Si tienes dudas de dónde cae tu sistema, el autodiagnóstico ENS te da una primera estimación en unos minutos.
- Las medidas de
op.extque tu categoría te exija. Aquí está la trampa fina: contratar fuera no elimina medidas, añade las de recursos externos. El acuerdo de nivel de servicio (op.ext.1), la gestión diaria (op.ext.2), la protección de la cadena de suministro (op.ext.3) y la interconexión de sistemas (op.ext.4) existen precisamente porque hay un tercero. Con una salvedad que conviene mirar antes de ponerse a documentar: el anexo II no las activa todas a la vez. En BÁSICA no aplica ninguna de las cuatro; en MEDIA aplicanop.ext.1,op.ext.2yop.ext.4;op.ext.3solo aplica en ALTA. mp.per, gestión del personal, para tu propia plantilla: caracterización del puesto, deberes y obligaciones, concienciación y formación.
La tabla de reparto: quién responde de qué
Antes de escribir una sola línea en la Declaración de Aplicabilidad, monta una tabla con las 73 medidas y cuatro columnas: quién la implanta, quién la evidencia, con qué documento y cada cuánto se revisa. Cada medida cae en uno de estos cuatro estados:
| Estado | Quién ejecuta | Qué guardas tú |
|---|---|---|
| Propia | Tu organización | La evidencia completa |
| Heredada | El proveedor | Contrato, alcance del certificado y evidencia de supervisión |
| Compartida | Los dos, en capas distintas | Tu parte + el reparto documentado y firmado |
| No aplicable | Nadie | La justificación de por qué no aplica |
El estado «compartida» es el que más problemas da. El cifrado es el ejemplo típico: el proveedor cifra el almacenamiento en reposo, pero las claves de la aplicación las gestionas tú, y op.exp.10 sobre protección de claves criptográficas acaba partido entre ambos. Lo mismo con el control de acceso: el proveedor ofrece el mecanismo de autenticación multifactor, tú decides a quién se lo activas y con qué política.
La regla práctica: si una medida está «compartida» y nadie ha escrito dónde está la línea, esa medida está sin implantar. La ambigüedad no es un reparto.
Cómo se documenta la herencia en la Declaración de Aplicabilidad
La Declaración de Aplicabilidad la regula el artículo 28.2: es el documento donde se formaliza la relación de medidas de seguridad seleccionadas, y va firmado por el responsable de la seguridad. El anexo III lo convierte en el eje de la auditoría, porque uno de los puntos que se comprueba es que existe un sistema de gestión de la seguridad de la información documentado y con aprobación regular por la dirección, «tomando como base la Declaración de Aplicabilidad regulada en el artículo 28».
Para cada medida heredada, la entrada debería llevar como mínimo:
- Código y nombre exactos de la medida y refuerzos aplicables según la categoría del sistema.
- Estado: heredada, y de quién —razón social completa del proveedor, no «el proveedor cloud».
- Instrumento que la sostiene: número de contrato o expediente, cláusula concreta y anexo de seguridad.
- Prueba de conformidad del proveedor: referencia del certificado o de la declaración de conformidad con el ENS, categoría certificada, alcance exacto y fecha de vencimiento.
- Cómo lo supervisas tú: qué informe recibes, con qué periodicidad, quién lo revisa y qué pasa si el proveedor incumple.
- Qué parte sigue siendo tuya, si la medida es compartida.
Ese punto 4 es el que se hace viejo solo: un certificado caducado convierte de golpe todas las medidas que colgaban de él en medidas sin evidencia. Pon la fecha de vencimiento en un calendario con aviso, no en un PDF dentro de una carpeta compartida.
Si no sabes cómo reflejar los refuerzos, en la guía completa del ENS está el recorrido entero y en el detalle del anexo II tienes las medidas una a una.
Qué pedirle por escrito al proveedor
No basta con que te enseñe un distintivo en su web. Lo que sostiene una herencia ante un auditor es documentación con nombre, fecha y alcance:
- El certificado o la declaración de conformidad, con su alcance literal. La pregunta no es «¿estás certificado?», sino «¿está certificado el servicio concreto que yo contrato, en la región donde están mis datos?». Un certificado que cubre una plataforma pero no el módulo que tú usas no te sirve. Quién figura en el listado público lo explico en cómo consultar las empresas certificadas.
- La categoría certificada —básica, media o alta—. Si tu sistema es de categoría media y el proveedor está certificado en básica, no puedes heredar hacia arriba.
- El acuerdo de nivel de servicio de
op.ext.1, firmado antes de empezar a usar el recurso, con las características del servicio, qué se entiende por servicio mínimo admisible, la responsabilidad del prestador y las consecuencias del incumplimiento. - La matriz de responsabilidades por medida, no un párrafo genérico de «modelo de responsabilidad compartida».
- El punto de contacto de seguridad del artículo 13.5, con nombre, canal y tiempos de respuesta ante incidentes.
- El compromiso de notificación de incidentes y de cambios sustanciales, que es lo que te permite disparar la auditoría extraordinaria del artículo 31.1 si hace falta.
- La cadena de suministro del proveedor si tu sistema es de categoría alta, que es la única en la que
op.ext.3aplica: exige analizar el impacto de un incidente originado aguas arriba, estimar el riesgo resultante y tomar medidas de contención. Y, si tu análisis de riesgos activa su refuerzo R3 —que el anexo II no asigna por categoría—, mantener un registro formal de los componentes software con la lista que aporta el propio proveedor.
Todo esto se pelea mejor en la fase de contratación que en la de auditoría. Las cláusulas de ciberseguridad en contratos con proveedores es donde esto se convierte en texto firmable.
Los cinco errores que tumban la herencia en la auditoría
- Heredar de un alcance que no te cubre. El certificado existe, es válido y no incluye tu servicio. Es el fallo más frecuente: el auditor lee el alcance antes que nada.
- Confundir certificación de otro marco con conformidad ENS. Una ISO/IEC 27001 del proveedor es buena señal de madurez y no es una declaración de conformidad con el ENS. Se parecen en la lógica de sistema de gestión, pero no son intercambiables; la comparación está en ENS frente a ISO 27001.
- Olvidar que contratar fuera suma medidas. Muchas declaraciones marcan
mp.ifcomo heredada y dejanop.ext.1yop.ext.2en blanco. Si hay recurso externo y tu categoría lo exige, hay que gestionarlo: en MEDIA y ALTA. En BÁSICA no aplica ninguna de las cuatro medidas deop.ext, así que ahí el error es el contrario, documentar de más. - No supervisar nada después de firmar.
op.ext.2pide un sistema rutinario para medir el cumplimiento de las obligaciones de servicio y un procedimiento para neutralizar desviaciones. Sin informe periódico ni quien lo lea, no hay gestión diaria. - Tratar la herencia como delegación de responsabilidad. El párrafo de
op.exty el artículo 13.5 cierran esa puerta: ante un incidente, la entidad titular responde. Cómo llegar preparado, en cómo preparar la auditoría ENS.
Cuánto abarata realmente la adecuación
Aquí hay que ser preciso, porque es donde más se exagera. La herencia no reduce el número de medidas que deben estar implantadas: reduce el número de medidas que tú tienes que construir, operar y evidenciar. El anexo II sigue teniendo 73 medidas y todas las aplicables deben aparecer en tu Declaración de Aplicabilidad.
Lo que cambia de verdad: las siete medidas de mp.if dejan de ser un proyecto de obra y pasan a ser una cláusula contractual, y una parte de op.exp y mp.com deja de necesitar personal técnico propio en guardia. A cambio aparece trabajo nuevo: negociar el acuerdo de nivel de servicio, montar la matriz de reparto, supervisar y vigilar vencimientos de certificados.
En euros no hay cifra publicable: el coste depende del alcance, la categoría, el número de sistemas y la entidad que realice la auditoría. Y la auditoría de certificación de conformidad con el ENS la realizan entidades acreditadas para ello, no cualquier consultora. El detalle está en certificación ENS: proceso, requisitos y costes.
Si tu caso es específicamente nube pública, el reparto por modelo de servicio y la medida op.nub.1 los desgloso en la pieza sobre ENS y servicios en la nube según la CCN-STIC 823. Y el resto del marco, de la categorización a la declaración de conformidad, está ordenado en el área de cumplimiento ENS.
Preguntas frecuentes
¿Puedo heredar medidas de un proveedor que no está certificado en el ENS?
Puedes apoyarte operativamente en él, pero no presentarlo como evidencia de conformidad sin más. En servicios en la nube, op.nub.1.2 exige que los sistemas que soportan el servicio sean conformes con el ENS o cumplan las medidas de una guía CCN-STIC que incluye requisitos sobre pruebas de penetración, transparencia, cifrado y gestión de claves, y jurisdicción de los datos. En categoría media y alta, el refuerzo op.nub.1.r1 exige además que el servicio esté certificado bajo una metodología reconocida por el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información —el del Centro Criptológico Nacional—. Sin eso, tendrás que justificar la medida por otra vía, normalmente como medida compensatoria del artículo 28.3, con la carga de prueba de tu lado.
Si mi sistema es de categoría básica, ¿me sirve la herencia igual?
Sí, pero el marco cambia. En básica el artículo 38.1 solo exige una autoevaluación para declarar la conformidad, no una auditoría de certificación, y las medidas de recursos externos no aplican: las cuatro de op.ext —op.ext.1, op.ext.2, op.ext.3 y op.ext.4— figuran como «no aplica» en ese nivel, igual que op.pl.5. Cuidado con esto, porque es donde más trabajo se hace de más. op.nub.1, en cambio, sí aplica desde básica, así que si usas nube tienes obligaciones desde el primer escalón. La orientación por categorías está en cómo elegir entre básica, media y alta.
¿Qué pasa si mi proveedor pierde el certificado a mitad de ciclo?
Se te caen todas las medidas que colgaban de él. Lo razonable es tratarlo como modificación sustancial: el artículo 31.1 prevé auditoría extraordinaria siempre que se produzcan modificaciones sustanciales que puedan repercutir en las medidas de seguridad requeridas, y esa auditoría reinicia el cómputo de los dos años. Por eso el contrato debe obligar al proveedor a comunicarte cualquier cambio en el estado de su conformidad, en vez de que te enteres por su web.
¿Vale la matriz de responsabilidad compartida del fabricante como documento de herencia?
Como punto de partida sí, como documento único no. Esas matrices están escritas para un producto genérico y para todos sus clientes, no para tu sistema y tu categoría. Lo que sostiene la herencia ante un auditor es tu propia tabla de reparto, medida a medida del anexo II, referenciada al contrato firmado y al alcance del certificado entregado. La matriz del fabricante es un anexo de apoyo dentro de ese expediente.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191), texto consolidado. Artículos 2.3, 12, 13.5, 14, 19, 28, 29, 30, 31 y 38; anexo II (
org,op.ext,op.nub,op.pl.5,mp.if) y anexo III. Consultado el 31 de julio de 2026. - Real Decreto 1125/2024, de 5 de noviembre, sobre organización e instrumentos operativos para la Administración Digital de la Administración del Estado (BOE-A-2024-22935), que da nueva redacción a la disposición adicional segunda del Real Decreto 311/2022 e incorpora las guías CCN-STIC de la serie 800 al conjunto documental de las auditorías.
- Guías CCN-STIC del Centro Criptológico Nacional y las instrucciones técnicas de seguridad de obligado cumplimiento a las que remiten los artículos 31 y 38.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.