Doble factor en el ENS: lo que de verdad exige el RD 311/2022

Sí, el Esquema Nacional de Seguridad exige doble factor de autenticación, y en muchos más casos de los que se suele creer. Para el personal de la organización, cualquier acceso «desde o a través de zonas no controladas» —el propio Real Decreto 311/2022 pone Internet como ejemplo— requiere dos factores en todos los niveles, también en categoría básica. Y para los usuarios externos (ciudadanos, proveedores), la contraseña sola deja de ser válida a partir del nivel medio. La confusión viene de que la exigencia no está escrita como «MFA obligatorio», sino repartida en dos medidas del Anexo II (op.acc.5 y op.acc.6) y en sus refuerzos, que se activan según el nivel de seguridad del sistema. En esta guía desmonto las dos medidas requisito a requisito, con el texto consolidado del BOE delante.

Si estás situando esta pieza dentro del conjunto, el punto de partida es la guía completa del ENS, y el mapa de las 73 medidas está en el desglose de los controles del Anexo II.

Qué dice el RD 311/2022 sobre la autenticación

La autenticación vive en el marco operacional del Anexo II, dentro de la familia de control de acceso (op.acc). Esa familia tiene seis medidas: identificación (op.acc.1), requisitos de acceso (op.acc.2), segregación de funciones (op.acc.3), gestión de derechos de acceso (op.acc.4) y las dos que aquí importan, los mecanismos de autenticación: op.acc.5 para usuarios externos y op.acc.6 para usuarios de la organización.

Antes de entrar en ellas conviene fijar una precisión que cambia la lectura del titular «qué exige cada categoría»: estas dos medidas no se modulan directamente por la categoría del sistema (básica, media, alta), sino por el nivel —bajo, medio o alto— de las dimensiones de seguridad afectadas: confidencialidad, integridad, trazabilidad y autenticidad (C, I, T y A).

La categoría del sistema es una consecuencia de esos niveles. Según el Anexo I, un sistema es de categoría alta si alguna dimensión alcanza nivel alto, de categoría media si alguna llega a medio sin superar ese techo, y básica si ninguna pasa de bajo.

En la práctica ambas escalas suelen ir de la mano, pero no siempre: en un sistema de categoría media con la dimensión de autenticidad valorada en alto, la autenticación se exige a nivel alto. Si es la primera vez que te asomas a esa distinción, tienes el detalle en la pieza sobre las dimensiones de seguridad del ENS y en la de niveles y categorías.

Otra nota de contexto: el real decreto define los requisitos, pero delega la letra pequeña. El propio texto de op.acc.5 y op.acc.6 dice que «las guías CCN-STIC desarrollarán los mecanismos y calidades exigibles a cada tipo de factor de autenticación». Es decir, qué longitud de contraseña, qué tipo de OTP o qué algoritmos se consideran aceptables no está en el BOE: está en las guías del Centro Criptológico Nacional, y el auditor las usará como vara de medir.

Los dos controles que la regulan: op.acc.5 y op.acc.6

op.acc.6: el personal de la organización

Se aplica al «personal del organismo, propio o contratado, estable o circunstancial» con acceso a información del sistema. Sus nueve requisitos base son de higiene de credenciales, y aplican en todos los niveles:

• El usuario acepta la política de seguridad antes de recibir credenciales, y reconoce por escrito sus obligaciones: custodia diligente, confidencialidad y notificación inmediata en caso de pérdida.
• Las credenciales están bajo control exclusivo del usuario y solo se activan cuando ya lo están.
• Se cambian con la periodicidad que marque la política de seguridad y se inhabilitan ante sospecha de compromiso o cuando el usuario termina su relación con el sistema.
• La pantalla de acceso muestra lo mínimo: nada que revele información del sistema o de la cuenta, y si el acceso se rechaza, no se informa del motivo.
• Los intentos fallidos están limitados; superado el límite, la cuenta se bloquea y hace falta una intervención específica (documentada) para reactivarla.

Sobre esa base se montan los refuerzos, que son donde aparece el doble factor:

• R1 – Contraseña. Solo válida cuando el acceso se hace desde zonas controladas sin atravesar zonas no controladas, con normas de complejidad y robustez remitidas a las guías CCN-STIC.
• R2 – Contraseña + otro factor. Un segundo factor del tipo «algo que se tiene» (un dispositivo, una OTP) o «algo que se es» (biometría), como complemento de la contraseña.
• R3 – Certificados. Certificado cualificado protegido a su vez por un segundo factor, PIN o biométrico.
• R4 – Certificados en dispositivo físico. Igual que R3, pero en soporte físico (tarjeta o similar) con algoritmos y dispositivos autorizados por el CCN.
• R5 – Registro. Se registran los accesos con éxito y los fallidos, y se informa al usuario de su último acceso.
• R6 – Limitación de la ventana de acceso. El sistema define puntos donde exige reautenticarse: la sesión abierta no basta.
• R7 – Suspensión por no utilización. Las credenciales se suspenden tras un periodo definido de inactividad.
• R8 – Doble factor desde zonas no controladas. La clave de todo el asunto, y aplica en todos los niveles: para el acceso desde o a través de zonas no controladas se exige doble factor (R2, R3 o R4). Zona controlada es aquella que no es de acceso público y donde el usuario ya se autenticó de alguna forma antes de llegar al equipo (el control de acceso físico a las instalaciones, por ejemplo). El real decreto es explícito: «un ejemplo de zona no controlada es Internet».
• R9 – Acceso remoto. También en todos los niveles: el acceso remoto debe estar autorizado, el tráfico cifrado, la vía deshabilitada cuando no se usa de forma constante, y con registros de auditoría de las conexiones. Además aplica la Instrucción Técnica de Seguridad de Interconexión de sistemas.

op.acc.5: los usuarios externos

Para quien no pertenece a la organización (el ciudadano en la sede electrónica, el proveedor en un portal), los requisitos base son análogos, con un matiz de entrada importante: antes de recibir credenciales, el usuario debe haberse identificado y registrado de manera fidedigna, ante el propio sistema o ante un prestador cualificado de servicios de confianza o proveedor de identidad reconocido conforme a la Ley 39/2015. Los refuerzos R1 a R4 son equivalentes (contraseña, contraseña + OTP, certificados, certificados en soporte físico), y R5 añade el registro de accesos.

Aquí encaja también la pasarela con eIDAS: la medida de identificación (op.acc.1) fija la correspondencia entre el nivel de la dimensión de autenticidad y el nivel de seguridad de los sistemas de identificación electrónica del Reglamento (UE) 910/2014. Con autenticidad en nivel bajo sirve cualquier nivel eIDAS (bajo, sustancial o alto); en nivel medio, solo sustancial o alto; en nivel alto, únicamente alto.

Qué exige cada nivel: bajo, medio y alto

Con las piezas encima de la mesa, la aplicación por niveles queda así, transcrita del cuadro de aplicación de cada medida:

Tres lecturas prácticas de esa tabla:

1. Para el personal, el doble factor no depende del nivel: depende de por dónde entra. R8 y R9 acompañan a op.acc.6 en los tres niveles. La contraseña sola (R1) solo es defendible para quien trabaja dentro de una zona controlada, sin atravesar redes públicas. En cuanto hay teletrabajo, acceso por VPN, correo en el móvil o un panel de administración expuesto, el acceso pasa «desde o a través» de una zona no controlada y toca R2, R3 o R4. En un sistema de categoría básica con la plantilla trabajando en remoto, el MFA es exigible igual que en uno de categoría alta.

1. Para los externos, el corte está en el nivel medio. En nivel bajo la contraseña sola (R1) es admisible. Desde nivel medio, R1 desaparece de las opciones: hace falta contraseña con OTP, certificado cualificado con PIN o biometría, o certificado en soporte físico. Y se añade el registro de accesos con aviso del último acceso (R5).

1. El nivel alto no añade más factores: añade disciplina de sesión. Lo que distingue el nivel alto en op.acc.6 no es un tercer factor, sino R6 (reautenticación en puntos definidos, la sesión no basta) y R7 (suspensión de credenciales inactivas).

Los cuatro tipos de mecanismo admitidos

Los refuerzos R1 a R4 forman en la práctica una escalera de robustez:

• Contraseña (R1). El escalón mínimo, y solo para escenarios muy acotados: personal en zona controlada o externos en nivel bajo. La complejidad y robustez exigibles se remiten a las guías CCN-STIC, no quedan al criterio de cada organismo.
• Contraseña + OTP u otro factor (R2). El camino más habitual para cumplir: la contraseña de siempre más un segundo factor de posesión (aplicación de códigos, llave física, dispositivo) o inherencia (biometría). Es el refuerzo que la mayoría de organizaciones implanta con su proveedor de identidad (Microsoft Entra ID, Google Workspace u otros).
• Certificado cualificado (R3). El certificado como mecanismo de autenticación, protegido él mismo por PIN o biometría. Para externos exige además que la credencial se haya obtenido tras registro presencial o telemático con certificado cualificado.
• Certificado en soporte físico (R4). La versión reforzada de R3: tarjeta criptográfica o soporte similar, con algoritmos, parámetros y dispositivos autorizados por el CCN. Es el terreno de la tarjeta de empleado público o del DNIe.

Nótese que R3 y R4 ya son de por sí doble factor (el certificado es «algo que se tiene»; el PIN o la biometría que lo protege, «algo que se sabe» o «algo que se es»), y por eso el ENS los admite como alternativas a R2 cuando R8 exige dos factores.

Cómo implantarlo sin romper la operativa

El error típico es empezar comprando tecnología. El orden que evita retrabajos es otro:

1. Delimita las zonas. Qué es zona controlada en tu organización y qué no. Sé estricto: la definición del ENS exige que el usuario se haya autenticado de alguna forma antes de llegar al equipo. Una oficina con control de acceso físico puede serlo; la red de una biblioteca pública o el domicilio de un teletrabajador, no.
2. Inventaría los caminos de acceso, no solo los sistemas. El mismo ERP puede tener un acceso interno (zona controlada, R1 defendible) y otro por VPN desde casa (R8, doble factor). La medida se aplica por camino de acceso.
3. Elige refuerzo por colectivo. R2 con aplicación de OTP para la plantilla general suele ser el equilibrio entre coste y fricción; R3 o R4 para perfiles que ya usan certificado (interventores, secretarios, administradores). Para los externos de nivel medio, apóyate en los sistemas de identificación ya reconocidos (Cl@ve, certificado) antes de construir uno propio.
4. Cierra el acceso remoto como pide R9. Autorización expresa, tráfico cifrado, la vía deshabilitada si no se usa de forma constante y registros de auditoría de cada conexión. Este último punto, deshabilitar lo que no se usa, es el que menos organizaciones tienen resuelto y el que más llama la atención en auditoría.
5. Documenta el ciclo de vida de la credencial. Entrega con aceptación de obligaciones, periodicidad de cambio en la política de seguridad, inhabilitación por sospecha o baja, procedimiento de desbloqueo tras intentos fallidos. Son requisitos base, exigibles hasta en nivel bajo.

Antes de dar nada por cumplido, pásalo por el autodiagnóstico ENS: la familia op.acc está entre las más revisadas y el resultado te dice dónde estás flojo antes de que te lo diga el auditor.

Errores que aparecen en auditoría

De los expedientes de adecuación y de la preparación de auditorías se repiten siempre los mismos hallazgos en op.acc.5 y op.acc.6:

• «Somos categoría básica, no nos aplica el MFA». Falso si hay acceso desde Internet: R8 acompaña a op.acc.6 en todos los niveles. Es probablemente el hallazgo más frecuente de la familia.
• El administrador entra por SSH o RDP desde casa con contraseña. Justo el caso que R8 y R9 prohíben: acceso privilegiado a través de zona no controlada con un solo factor y, a menudo, sin registro de conexiones ni vía deshabilitada por defecto.
• Mensajes de error demasiado habladores. «Usuario no encontrado» o «contraseña incorrecta» diferenciados incumplen el requisito de no informar del motivo del rechazo.
• Sin límite de intentos o con desbloqueo automático sin procedimiento. El bloqueo debe requerir una intervención específica descrita en la documentación.
• Accesos fallidos que no se registran (R5, exigible desde nivel medio) o usuarios a los que nunca se informa de su último acceso.
• Cuentas de personas que ya no están. La inhabilitación al terminar la relación con el sistema es requisito base; las cuentas huérfanas de antiguos empleados o de proveedores que acabaron el contrato son un clásico.
• Sesiones eternas en nivel alto. Sin puntos de reautenticación (R6) ni suspensión por inactividad (R7), dos refuerzos que solo aplican en alto y por eso se olvidan.

Si estás en fase de preparación, la pieza sobre cómo preparar la auditoría del ENS explica cómo ordenar las evidencias de estas medidas.

Y si lo que necesitas es el contexto general del MFA fuera del ámbito público, sin op.acc ni niveles, tienes la guía de autenticación multifactor para empresas.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad — texto consolidado (Anexo I, categorías de seguridad; Anexo II, medidas op.acc.1, op.acc.5 y op.acc.6). Consultado el 31 de julio de 2026.
• Reglamento (UE) n.º 910/2014 (eIDAS), citado por op.acc.1.5 del ENS para la correspondencia entre niveles de autenticidad y niveles de seguridad de la identificación electrónica.
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (sistemas de identificación admitidos).
• Guías CCN-STIC del Centro Criptológico Nacional, a las que el propio RD 311/2022 remite el desarrollo de los mecanismos y calidades de cada factor de autenticación.