El informe INES del ENS: qué es, quién lo rellena y cómo se prepara
INES es el Informe Nacional del Estado de Seguridad: la recogida anual de datos con la que las entidades incluidas en el ámbito del Esquema Nacional de Seguridad comunican al Centro Criptológico Nacional el estado de las principales variables de seguridad de sus sistemas. La obligación nace del artículo 32 del Real Decreto 311/2022 y se concreta en la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad. Se rellena en una plataforma del CCN, también llamada INES, y de ahí sale un perfil agregado del estado de la ciberseguridad en el sector público.
No es una auditoría. No es una certificación. Es un cuestionario de métricas que se responde al menos una vez al año, y que se prepara mejor en octubre que la víspera de que cierre el plazo.
Qué es el INES y de dónde sale la obligación
La cadena normativa tiene tres eslabones y conviene tenerlos separados, porque se citan mal a menudo.
El artículo 32 del RD 311/2022 encarga a la Comisión Sectorial de Administración Electrónica recoger la información sobre el estado de las principales variables de seguridad, «de forma que permita elaborar un perfil general del estado de la seguridad en las entidades titulares de los sistemas de información comprendidos en el ámbito de aplicación del artículo 2». Su apartado 2 atribuye al CCN los procedimientos de recogida y consolidación; el apartado 3 dice para qué sirve el resultado: que las autoridades competentes impulsen medidas de mejora continua.
El anexo II cierra el círculo desde el lado de las medidas. La medida [op.mon.2] «Sistema de métricas» exige recopilar los datos necesarios para conocer el grado de implantación de las medidas aplicables «y, en su caso, para proveer el informe anual requerido por el artículo 32». Es una cita literal del anexo, y es la que convierte el INES en algo más que un trámite externo: la recogida de datos es en sí misma una medida de seguridad exigible. Aplica ya en categoría BÁSICA; en MEDIA y ALTA se suman los refuerzos R1 (efectividad de la gestión de incidentes) y R2 (eficiencia del sistema de seguridad en horas y presupuesto).
La Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad (Resolución de 7 de octubre de 2016, BOE-A-2016-10108) es la que baja al detalle operativo: quién comunica, con qué frecuencia y con qué herramienta. Un aviso para quien vaya a buscarla: la norma se llama a sí misma de dos maneras. El título publicado en el BOE dice «de Informe del Estado de la Seguridad», pero su propio preámbulo la llama «de Informe Nacional del Estado de la Seguridad», y de ahí sale el acrónimo de la herramienta. Si buscas «Informe Nacional» en el título del BOE, no lo encontrarás.
El detalle que casi nadie menciona sobre la ITS
Esa Instrucción Técnica se aprobó en 2016 al amparo del RD 3/2010, que quedó derogado por la disposición derogatoria única del RD 311/2022. La propia ITS sigue remitiendo, en su texto, a los artículos del real decreto antiguo (su artículo 3 para el ámbito, el 29 para las instrucciones técnicas, el anexo II para op.mon.2).
A 31 de julio de 2026, la ficha de análisis del BOE de esa Resolución no registra ninguna derogación posterior: sigue formalmente vigente, y la derogatoria del RD 311/2022 solo alcanza a las disposiciones «que se opongan» a lo nuevo. La lectura práctica es que la ITS continúa aplicándose, pero sus referencias hay que leerlas trasladadas a los preceptos equivalentes del ENS de 2022. Si algún documento cita el «artículo 35 del RD 3/2010» como base del INES, está citando una norma derogada: hoy el precepto es el artículo 32 del RD 311/2022.
Quién reporta en INES y quién queda fuera
Aquí es donde más se confunde la gente, y donde una respuesta imprecisa hace perder tiempo a una empresa.
El ámbito del ENS (artículo 2) alcanza a todo el sector público en los términos del artículo 2 de la Ley 40/2015, y también —apartado 3— a los sistemas de las entidades del sector privado que, en virtud de una relación contractual, presten servicios o provean soluciones a entidades públicas para el ejercicio de sus competencias y potestades administrativas.
El deber de comunicar en INES, sin embargo, está redactado en la ITS de forma más estrecha: son «las entidades públicas comprendidas en el ámbito de aplicación» las que recopilan los datos y las que comunican, al menos con carácter anual, el estado de las principales variables de seguridad de los sistemas bajo su responsabilidad. Y el punto III.3 concreta quién aprieta el botón: el responsable de la seguridad de los sistemas afectados de la entidad pública, o la persona en quien delegue, accediendo previa identificación a la herramienta INES en el portal del CCN-CERT.
Traducido para una empresa proveedora: tu organización está dentro del ENS por el artículo 2.3, pero el reporte anual en la plataforma lo presenta la entidad pública titular del servicio. Tu exposición al INES es indirecta y llega por dos vías: los datos que esa entidad necesita de ti para responder por los servicios que le prestas, y lo que te obligue tu contrato. Antes de asumir que tienes usuario propio en la plataforma, pregunta a tu órgano de contratación.
INES, auditoría y certificación no son lo mismo
Tres obligaciones distintas del mismo real decreto, con bases, ritmos y destinatarios diferentes.
| Informe INES | Auditoría de la seguridad | Conformidad con el ENS | |
|---|---|---|---|
| Base | Art. 32 + [op.mon.2] anexo II | Art. 31 + anexo III | Art. 38 |
| Periodicidad | Al menos anual (ITS, punto III.2) | Regular ordinaria, al menos cada dos años | Según el ciclo de la conformidad |
| Quién lo ejecuta | Responsable de seguridad o su delegado | Auditor; en BÁSICA, autoevaluación del propio personal que administra el sistema | Autoevaluación (BÁSICA) o auditoría de certificación (MEDIA y ALTA) |
| Qué produce | Datos de métricas cargados en la plataforma | Informe de auditoría con hallazgos de cumplimiento e incumplimiento | Declaración o certificación de conformidad |
| Quién lo recibe | CCN, que lo consolida en el perfil general | Responsable del sistema y responsable de la seguridad | Se publica en el portal o sede electrónica |
Que un sistema de categoría BÁSICA pueda autoevaluarse en vez de auditarse —anexo III, punto 2.1.a)— no lo saca del ciclo del artículo 31.1. La autoevaluación tiene que estar documentada, indicando si cada medida está implantada y sujeta a revisión regular, y con las evidencias que sustentan la valoración.
Y cargar el INES no acredita conformidad ante nadie. Son cosas separadas, y quien confunde una con otra suele descubrirlo en una licitación. Lo detallo en la guía de autoevaluación e INES para ayuntamientos pequeños, donde ambos procesos se solapan en el tiempo; y el encaje del INES con el resto del instrumental del CCN está en las herramientas del CCN para el ENS.
Qué pide el cuestionario
El punto IV.1 de la ITS enumera los bloques de datos que la herramienta requiere. Son diez, y esta es la lista literal de la norma:
- Identificación de la entidad
- Datos generales
- Organización de la seguridad
- Procesos críticos
- Concienciación y formación
- Gestión de incidentes
- Recursos y presupuestos
- Auditoría
- Indicadores críticos de riesgo
- Medidas de seguridad
El contenido concreto de cada bloque no está en el BOE: la ITS remite a la guía CCN-STIC 824 (Informe del Estado de Seguridad), que el CCN mantiene actualizada, y a la CCN-STIC 815 sobre métricas e indicadores para el ENS. El manual de uso de la plataforma vive en la CCN-STIC 844. Esas tres referencias sí se citan expresamente en la Instrucción, así que son el sitio al que ir cuando el cuestionario pregunta algo que no está en el real decreto.
Fíjate en dos bloques que suelen pillar desprevenido: recursos y presupuestos —que pide horas y dinero, no impresiones— y concienciación y formación, que exige registros de quién recibió qué formación y cuándo. Ninguno de los dos se improvisa la semana de la carga.
Cuándo se hace: el calendario de la campaña
La norma fija el suelo: al menos con carácter anual. La ventana concreta de cada ejercicio no está en el BOE, la anuncia el CCN en su portal, y el propio CCN ha ido moviendo la plataforma hacia una carga disponible de forma continuada en vez de una única ventana corta.
Aquí toca ser honesto con el lector: al preparar este artículo no pude verificar el calendario de la campaña en curso, porque el portal del CCN-CERT responde con un error de acceso a las consultas automatizadas.
No planifiques sobre una fecha que hayas leído en un blog, tampoco en este. Comprueba la ventana vigente del ejercicio directamente en el portal del CCN-CERT o con tu responsable de seguridad, y anota el día en que lo comprobaste.
Lo que sí es estable es la obligación anual y el hecho de que los datos que pide se acumulan durante todo el ejercicio, no se generan al rellenar el formulario.
De ahí la recomendación de fondo: trata el INES como un cierre contable. Si los datos se recogen a lo largo del año, la carga es administrativa; si no, es una investigación forense contrarreloj sobre tu propia organización.
Cómo preparar el informe en siete pasos
- Confirma quién presenta. Identifica al responsable de la seguridad que figura como usuario de la plataforma y a su suplente. Si nadie lo sabe, ya tienes el primer hallazgo.
- Delimita el alcance. Lista los sistemas de información bajo responsabilidad de la entidad, con su categoría (BÁSICA, MEDIA o ALTA). El cuestionario se responde por sistema, no por organización difusa.
- Reúne la evidencia de
[op.mon.2]. Los datos de grado de implantación de las medidas aplicables. Si tienes una autoevaluación o una auditoría reciente, es tu fuente principal. - Cierra el bloque de incidentes. Número, tipología y tratamiento del ejercicio. Debe cuadrar con lo que se notificó por el cauce de incidentes, que es un procedimiento distinto.
- Cifra recursos y presupuesto. Horas dedicadas y euros ejecutados en seguridad. Es el bloque que más se estima a ojo y el que más distorsiona la comparativa con la media.
- Contrasta con el ejercicio anterior. Una caída brusca en un indicador suele ser un cambio de criterio al responder, no un deterioro real. Documenta el criterio que usas.
- Carga, revisa y guarda copia. Exporta lo enviado y archívalo con la documentación del sistema. El año que viene empezarás por ahí.
Para el paso 2, el autodiagnóstico ENS te sitúa la categoría probable de tus sistemas antes de entrar en la plataforma.
Si eres proveedor privado de la Administración
Tu conversación sobre el INES es con tu cliente público, no con el CCN. Pero hay tres cosas que sí te tocan directamente.
Los pliegos
El artículo 2.3 obliga a que los pliegos de los contratos del sector público contemplen los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en los que se sustenten los servicios prestados, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad». La cautela se extiende además a tu cadena de suministro, en la medida en que sea necesario según el análisis de riesgos. Lo desarrollo en la guía de cumplimiento del ENS.
La política de seguridad
El mismo artículo 2.3 te obliga a contar con la política de seguridad del artículo 12, aprobada por el órgano con las máximas competencias ejecutivas de tu empresa. No vale la del cliente.
Los incidentes
El artículo 33.7 establece un cauce propio para el sector privado: las organizaciones privadas que presten servicios a entidades públicas notifican al INCIBE-CERT los incidentes que les afecten, y este lo pone inmediatamente en conocimiento del CCN-CERT. Es una obligación de notificación de incidentes, no de reporte de métricas: no confundas ese cauce con el INES.
Nota temporal: la Directiva NIS2 añadirá otra capa de deberes de notificación para determinadas entidades, pero a 31 de julio de 2026 no está transpuesta en España. El anteproyecto de ley de coordinación y gobernanza de la ciberseguridad se aprobó el 14 de enero de 2025 y a esa fecha seguía sin publicarse en el BOE, así que sigue siendo materia en tramitación. Verifica su estado antes de dar por hecho nada.
Errores que convierten el INES en un problema
- Responder de memoria. El cuestionario pide grados de implantación, no percepciones. Sin evidencia detrás, el dato es ruido y el índice resultante no sirve para decidir.
- Cambiar de criterio en silencio. Si este año cuentas los incidentes de otra forma que el anterior, la serie histórica deja de significar nada. Documenta el criterio junto a la respuesta.
- Tratarlo como un trámite de una persona. Recursos y presupuestos los tiene intervención; formación, recursos humanos; incidentes, sistemas. Si el responsable de seguridad lo rellena solo, rellena estimaciones.
- Confundirlo con la conformidad. Haber cargado el INES no te da distintivo ninguno. El distintivo sale del artículo 38.
- Dejarlo para el final del plazo. Es el error que genera los otros cuatro.
Plantilla de preparación del INES
Copia esto en un documento y complétalo antes de entrar en la plataforma.
ENTIDAD: [NOMBRE DE LA ENTIDAD]
EJERCICIO REPORTADO: [AÑO]
PRESENTA: [NOMBRE, ROL] · SUPLENTE: [NOMBRE]
FECHA LÍMITE COMPROBADA EN EL PORTAL DEL CCN: [FECHA] (verificada el [FECHA])
SISTEMAS EN ALCANCE
- [SISTEMA 1] · categoría [BÁSICA/MEDIA/ALTA] · responsable [NOMBRE]
- [SISTEMA 2] · categoría [BÁSICA/MEDIA/ALTA] · responsable [NOMBRE]
FUENTE DE CADA BLOQUE (quién aporta el dato)
- Organización de la seguridad ....... [ÁREA / PERSONA]
- Procesos críticos .................. [ÁREA / PERSONA]
- Concienciación y formación ......... [ÁREA / PERSONA]
- Gestión de incidentes .............. [ÁREA / PERSONA]
- Recursos y presupuestos ............ [ÁREA / PERSONA]
- Auditoría .......................... [ÁREA / PERSONA]
- Indicadores críticos de riesgo ..... [ÁREA / PERSONA]
- Medidas de seguridad ............... [ÁREA / PERSONA]
EVIDENCIA DISPONIBLE
- Última autoevaluación o auditoría: [FECHA] · [REFERENCIA DEL INFORME]
- Análisis de riesgos revisado y aprobado: [FECHA]
- Declaración de Aplicabilidad vigente: [SÍ/NO] · [FECHA]
CRITERIOS DE RESPUESTA QUE CAMBIAN RESPECTO AL AÑO ANTERIOR
- [BLOQUE]: [QUÉ CAMBIA Y POR QUÉ]
COPIA DE LO ENVIADO ARCHIVADA EN: [RUTA / EXPEDIENTE]
Preguntas frecuentes
¿Es obligatorio el informe INES?
Sí, para las entidades del ámbito del ENS. La obligación de recoger la información está en el artículo 32 del RD 311/2022 y en la medida [op.mon.2] del anexo II, que menciona expresamente «el informe anual requerido por el artículo 32». La Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad concreta que las entidades públicas comunicarán ese estado al menos con carácter anual, usando la herramienta INES.
¿Qué pasa si no reporto en INES?
El RD 311/2022 no establece un régimen sancionador propio por no cargar el informe. Las consecuencias son otras: se incumple una medida exigible del anexo II, que es precisamente una de las que se comprueban en la auditoría o autoevaluación del artículo 31, y la entidad queda fuera del perfil agregado que las autoridades competentes usan para impulsar medidas de mejora. Es un incumplimiento del ENS, aunque no lleve multa asociada en el propio real decreto.
¿Una empresa privada certificada en ENS tiene que entrar en INES?
Estar certificada no crea por sí sola un deber de reporte en la plataforma. La Instrucción Técnica atribuye la comunicación a las entidades públicas del ámbito de aplicación. Una empresa proveedora entra en el ENS por el artículo 2.3 y debe tener su política de seguridad y su conformidad, pero el INES lo presenta la entidad pública titular del servicio. Confirma con tu órgano de contratación qué datos te va a pedir y con qué antelación.
¿El INES sustituye a la auditoría de conformidad?
No. Son obligaciones distintas. El INES es una comunicación anual de métricas al CCN. La auditoría del artículo 31 es una revisión regular, al menos cada dos años, que produce un informe con hallazgos de cumplimiento e incumplimiento. Y la conformidad del artículo 38 es la que genera la declaración —en categoría BÁSICA, por autoevaluación— o la certificación, en MEDIA y ALTA. Ninguna de las tres cubre a las otras dos.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE núm. 106, de 4 de mayo de 2022. Referencia BOE-A-2022-7191. Texto consolidado: artículos 2, 12, 31, 32, 33 y 38; anexo II, medida
[op.mon.2]; anexo III, punto 2.1. Consultado el 31 de julio de 2026. - Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad. BOE núm. 265, de 2 de noviembre de 2016. Referencia BOE-A-2016-10108. Entrada en vigor: 22 de noviembre de 2016. Puntos I a IV. Consultado el 31 de julio de 2026.
- Guías del CCN citadas por la propia Instrucción Técnica: CCN-STIC 824 (Informe del Estado de Seguridad), CCN-STIC 815 (métricas e indicadores para el ENS) y CCN-STIC 844 (manual de usuario de la herramienta INES).
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.