Test: ¿me obliga el ENS?
El Esquema Nacional de Seguridad (Real Decreto 311/2022) obliga al sector público y, bajo una condición concreta, a las empresas que le prestan servicios. En hasta 3 preguntas te digo si te alcanza, con el artículo y el apartado que lo dicen.
Quién está obligado al ENS, en una tabla.
El ENS obliga a todo el sector público (artículo 2.1 del Real Decreto 311/2022) y a las empresas privadas que, en virtud de un contrato, prestan servicios o proveen soluciones a una entidad pública para el ejercicio de sus competencias y potestades administrativas (artículo 2.3). Una empresa sin esa relación contractual queda fuera del artículo 2, salvo que sus sistemas traten información clasificada (apartado 2).
| Quién | Base legal | Qué implica |
|---|---|---|
| Entidades del sector público: Administración General del Estado, comunidades autónomas, entidades locales y sector público institucional | Obligado Art. 2.1 del RD 311/2022 y art. 2 de la Ley 40/2015 | Sus sistemas de información entran en el ENS: política de seguridad aprobada por el órgano competente (art. 12.2), conformidad (art. 38) y auditoría regular ordinaria al menos cada dos años (art. 31.1); en categoría BÁSICA basta una autoevaluación (art. 31.2 y anexo III, apartado 2.1) |
| Empresas privadas con un contrato para prestar servicios o proveer soluciones a una entidad pública, para el ejercicio de sus competencias y potestades administrativas | Obligado Art. 2.3, párrafo primero | Los sistemas con los que prestan el servicio, incluida la política de seguridad del art. 12. Los pliegos deben contemplar los requisitos de conformidad, por ejemplo la presentación de una Declaración o una Certificación de Conformidad (art. 2.3, párrafo tercero) |
| Subcontratistas y proveedores de esos contratistas | Según análisis de riesgos Art. 2.3, último párrafo | Solo «en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos» |
| Empresas sin relación contractual con el sector público | No alcanzadas Art. 2 (no las incluye) | El RD 311/2022 no las alcanza, salvo que sus sistemas traten información clasificada (art. 2.2) |
| Plazo: la disposición transitoria única (apartado 1) dio 24 meses para adecuarse a los sistemas preexistentes a la entrada en vigor del real decreto (5 de mayo de 2022), incluidos los de contratistas privados; contados desde esa fecha, vencieron en mayo de 2024. Los sistemas nuevos aplican el ENS desde su concepción (apartado 3). | ||
Fuentes oficiales: Real Decreto 311/2022, texto consolidado (BOE-A-2022-7191) · Ley 40/2015, texto consolidado (BOE-A-2015-10566).
Última verificación: 2 de octubre de 2026
Tres preguntas, sin guardar tus respuestas.
Respondes hasta 3 preguntas
Si eres sector público, si trabajas por contrato para una entidad pública y si los sistemas con los que prestas el servicio tratan su información. El cálculo se hace en tu navegador y no guardo tus respuestas; solo se mide de forma anónima el uso del test (si lo empiezas, qué resultado sale y si reservas o imprimes), para mejorarlo. Más en la política de cookies.
Aplico el artículo 2 del Real Decreto 311/2022
El apartado 1 para el sector público, con la definición de la Ley 40/2015, y el apartado 3 para proveedores y cadena de suministro. Sin atajos: el texto del BOE consolidado.
Obtienes veredicto y base legal
Un resultado con el artículo y el apartado que lo sustentan, lo que te exigiría el ENS si te alcanza y los siguientes pasos. Se puede imprimir.
¿Tu entidad pertenece al sector público?
El artículo 2.1 del Real Decreto 311/2022 remite al artículo 2 de la Ley 40/2015: la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración Local y el sector público institucional (organismos y entidades de derecho público vinculados o dependientes de las Administraciones, entidades de derecho privado vinculadas o dependientes de ellas y universidades públicas).
¿Prestas servicios o provees soluciones a una entidad del sector público, en virtud de un contrato?
El artículo 2.3 alcanza a las entidades privadas que, de acuerdo con la normativa aplicable y en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. Si tu contrato es con otra empresa que a su vez trabaja para una entidad pública, marca la opción de subcontratista.
¿Los sistemas con los que prestas ese servicio tratan información de la entidad?
El pliego debe asegurar la conformidad con el ENS «de los sistemas de información en los que se sustenten los servicios prestados por los contratistas» (artículo 2.3). Piensa en dónde se almacena, se procesa o se transmite la información de la entidad, o dónde se ejecuta el servicio: tu software, tu nube, tu correo, tu red o tus equipos.
Tu situación frente al ENS
El ámbito del ENS, artículo por artículo.
Última verificación de artículos y fechas: 2 de octubre de 2026 (fuentes oficiales al final).
El Esquema Nacional de Seguridad (ENS) lo regula el Real Decreto 311/2022, de 3 de mayo, y desarrolla el artículo 156.2 de la Ley 40/2015, de 1 de octubre. Entró en vigor el 5 de mayo de 2022 (disposición final tercera: el día siguiente al de su publicación en el BOE). Su artículo 2 fija a quién se aplica, y es lo que este test recorre. Si lo que buscas es una guía completa, con ejemplos y consecuencias, la tienes en quién debe cumplir el ENS: obligatoriedad para empresas y proveedores.
¿A quién obliga el ENS?
El apartado 1 del artículo 2 lo aplica «a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015». Esa ley incluye la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración Local y el sector público institucional, que a su vez abarca organismos y entidades de derecho público vinculados o dependientes, entidades de derecho privado vinculadas o dependientes de las Administraciones y universidades públicas (artículo 2.1 y 2.2 de la Ley 40/2015). El apartado 2 añade los sistemas que tratan información clasificada. El apartado 3 alcanza a las entidades del sector privado, y es el que más dudas genera.
¿Cuándo obliga a una empresa privada?
El apartado 3 aplica el ENS a los sistemas de información de las entidades privadas «cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas». La condición del texto es prestar un servicio o proveer una solución, por contrato, para que la entidad ejerza sus competencias y potestades administrativas; un cliente público cualquiera no basta por sí solo. Los pliegos de esas entidades «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas», y la cautela «se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Por eso el test pregunta, además del contrato, por los sistemas con los que prestas el servicio.
¿Qué se te exige si el ENS te alcanza?
Una política de seguridad aprobada formalmente (artículo 12), que en el caso de las empresas privadas aprueba «el órgano que ostente las máximas competencias ejecutivas» (artículo 2.3, párrafo segundo). Un proceso para determinar la conformidad (artículo 38.1): los sistemas de categoría MEDIA o ALTA precisan una auditoría para la certificación, y los de categoría BÁSICA solo una autoevaluación para su declaración de conformidad. Dar publicidad a esas declaraciones y certificaciones en tu portal o sede electrónica (artículo 38.2) y someter los sistemas a una auditoría regular ordinaria al menos cada dos años (artículo 31.1); en los de categoría BÁSICA no hace falta auditoría y basta una autoevaluación (artículo 31.2 y anexo III, apartado 2.1). En cuanto al plazo, la disposición transitoria única dio 24 meses a los sistemas preexistentes a su entrada en vigor (5 de mayo de 2022), también a los de contratistas privados; contados desde esa fecha, vencieron en mayo de 2024. Los sistemas nuevos aplican el real decreto desde su concepción.
¿Y si no te alcanza?
Que el artículo 2 no te incluya no te libra de otras normas ni de lo que tu cliente te pida por contrato. Para cruzar el ENS con la NIS2, DORA, el AI Act y el RGPD tienes la herramienta ¿qué normativa me aplica?. Y si trabajas para el sector privado pero te preguntan por el ENS, lo trato en ENS en el sector privado: ¿cuándo aplica a tu empresa?.
Lo que este test no cubre
No evalúa los sistemas que tratan información clasificada (artículo 2.2) ni las redes y servicios 5G (artículo 2.4). Tampoco decide la categoría de tu sistema, que se determina con el anexo I: para eso está el autodiagnóstico ENS. Es una orientación basada en el texto de la norma, no una opinión jurídica sobre tu contrato.
BOE: Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, texto consolidado (BOE-A-2015-10566), artículos 2 y 156
Las dudas típicas antes de licitar.
¿Para qué empresas privadas sirve este test?+
Para las que tienen, o quieren tener, un contrato con una entidad del sector público. El test aplica a tu caso el artículo 2 del Real Decreto 311/2022 y te da un veredicto orientativo con el artículo y el apartado que lo sustentan; no sustituye la lectura de tu pliego o de tu contrato. Si lo que buscas es la explicación completa de cuándo es obligatorio el ENS para una empresa privada, con ejemplos y consecuencias, la tienes en quién debe cumplir el ENS: obligatoriedad para empresas y proveedores.
¿Me obliga el ENS si soy subcontratista?+
No de forma automática. El artículo 2.3 extiende la cautela de los pliegos «también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Pregunta a tu cliente qué sistemas considera dentro del alcance y qué conformidad espera de ti.
¿Necesito certificarme para presentarme a una licitación?+
Depende del pliego. El artículo 2.3 obliga a que los pliegos de las entidades públicas contemplen los requisitos para asegurar la conformidad con el ENS de los sistemas de sus contratistas, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS». Qué se pide, y cuándo, lo fija cada pliego. Según el artículo 38.1, un sistema de categoría BÁSICA solo requiere una autoevaluación y su declaración de conformidad, mientras que uno de categoría MEDIA o ALTA precisa una auditoría para la certificación. Para ver cómo se redacta esa exigencia, tienes la guía de ENS para proveedores: licitaciones y pliegos.
¿Sigue habiendo plazo para adecuarse al ENS?+
Para los sistemas que ya existían, no. La disposición transitoria única dio veinticuatro meses a los sistemas preexistentes a su entrada en vigor (5 de mayo de 2022) para alcanzar la plena adecuación al ENS, también a los de contratistas del sector privado; contados desde esa fecha, vencieron en mayo de 2024. Los sistemas nuevos aplican el real decreto desde su concepción.
¿Hay multa por no cumplir el ENS?+
El texto consolidado del Real Decreto 311/2022 no establece multas ni un régimen sancionador propio. Para una empresa proveedora, lo que está en juego es poder cumplir un pliego o un contrato que exija la conformidad (artículo 2.3), con las consecuencias que ese pliego o contrato prevean. Si te preocupa el coste de adecuarte, lo desgloso en cuánto cuesta el ENS.
¿En qué se diferencia este test del autodiagnóstico ENS?+
Este test responde a una sola pregunta: si el ENS te alcanza, con el artículo que lo dice. El autodiagnóstico ENS parte de que ya te alcanza y mide en qué categoría cae tu sistema (anexo I) y qué nivel de adecuación tienes en las medidas del anexo II.
Si te alcanza, se resuelve por fases.
Agenda una sesión gratuita de 30 minutos. Miramos tu contrato o tu pliego, qué sistemas entran en el alcance y qué categoría te van a pedir, y te digo por dónde empezar. Si prefieres calcular antes el coste, tienes cuánto cuesta el ENS.
Agendar sesión gratuita →