Autodiagnóstico del Esquema Nacional de Seguridad (ENS): ¿qué nivel de adecuación tienes?

Tres marcos, 73 medidas, una categoría que lo determina todo.

El Esquema Nacional de Seguridad — Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191) — regula la seguridad de los sistemas de información de todo el sector público español, y también alcanza a las empresas privadas que, por relación contractual, prestan servicios o proveen soluciones a las administraciones públicas para el ejercicio de sus competencias, incluida su cadena de suministro cuando el análisis de riesgos lo requiere (art. 2). La confusión más habitual entre pymes que quieren licitar o mantener un contrato con la Administración no es no saber que existe el ENS, sino no saber en qué categoría cae su sistema — y esa categoría es la que determina cuántas medidas y con qué nivel de refuerzo hay que aplicar.

Anexo I: cinco dimensiones, la categoría es la del nivel más alto

El Anexo I valora el impacto que tendría un incidente sobre cinco dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada se adscribe a un nivel — BAJO (perjuicio limitado, reparable sin dificultad), MEDIO (perjuicio grave, de difícil reparación) o ALTO (perjuicio muy grave o irreparable) — y aquí está la regla que más pymes pasan por alto: la categoría del sistema completo es la del nivel más alto alcanzado en cualquier dimensión. Si la disponibilidad de tu sistema es solo BAJO pero la confidencialidad de los datos que trata es ALTO, todo el sistema es de categoría ALTA, con las 73 medidas del Anexo II aplicándose con su nivel de refuerzo más exigente (art. 40 y anexo I, apartado 4).

Anexo II: organizativo, operacional y protección

Las medidas de seguridad se reparten en tres marcos: el organizativo [org], con 4 medidas que son la base de todo — política, normativa, procedimientos y proceso de autorización; el operacional [op], con 33 medidas repartidas en siete familias (planificación, control de acceso, explotación, recursos externos, servicios en la nube, continuidad del servicio y monitorización); y las medidas de protección [mp], con 36 medidas en ocho familias que protegen activos concretos — instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios. No todas las 73 se aplican por igual en cualquier sistema: cada una tiene refuerzos (R1, R2...) que se activan según tu categoría, y el conjunto que aplicas se formaliza en la Declaración de Aplicabilidad, un documento firmado por el responsable de seguridad (art. 28).

Auditoría o autoevaluación, según tu categoría

Aquí está el segundo dato que más cambia el esfuerzo de cumplimiento: los sistemas de categoría BÁSICA solo requieren una autoevaluación para declarar su conformidad con el ENS, mientras que los de categoría MEDIA o ALTA necesitan una auditoría de certificación, con revisión ordinaria al menos cada dos años y de forma extraordinaria si el sistema sufre modificaciones sustanciales (art. 31 y 38). En los sistemas de categoría ALTA, además, si la auditoría detecta deficiencias graves, el responsable del sistema puede suspender temporalmente el tratamiento de información o la prestación del servicio hasta su subsanación (art. 31.6). Los sistemas ya existentes antes de la entrada en vigor del RD 311/2022 dispusieron de 24 meses para adecuarse — plazo que venció en mayo de 2024 — mientras que los sistemas nuevos aplican el Reglamento desde su concepción.

Si el autodiagnóstico te sitúa en categoría MEDIA o ALTA con gaps importantes, en las 73 medidas del ENS explicadas con su aplicabilidad tienes el detalle completo de cada control por marco, y en el proceso, requisitos y costes de la certificación ENS el siguiente paso hacia la auditoría. Para el texto completo de la norma, el resumen del Real Decreto 311/2022 vigente. Todo esto forma parte de nuestra área de cumplimiento normativo, donde tratamos también la NIS2, DORA, el RGPD y el AI Act. Y si todavía no tienes claro si además te aplican esas otras normativas, la herramienta hermana ¿qué normativa me aplica? las cruza todas de una sola vez.