Qué es el ENS: Guía del Esquema Nacional de Seguridad

El Esquema Nacional de Seguridad (ENS) es obligatorio para administraciones públicas y sus proveedores tecnológicos. Te explicamos qué es, los tres niveles de seguridad y cómo certificarte.

1. ¿Qué es el ENS y a quién afecta en España?

El Esquema Nacional de Seguridad (Real Decreto 311/2022) es el marco regulatorio que establece los principios y requisitos de seguridad para la protección de la información en el sector público español. Desde su última actualización, el ENS es obligatorio para:

• Todas las administraciones públicas: Administración General del Estado, comunidades autónomas, ayuntamientos
• Todos los proveedores TIC del sector público: empresas de software, cloud, hosting, consultoría TI
• Empresas que gestionan servicios públicos: concesionarias, externalizaciones

Si tu empresa en Madrid, Barcelona, Sevilla, Valencia o cualquier ciudad de España trabaja con la administración pública, necesitas cumplir con el ENS. El CCN-CERT (Centro Criptológico Nacional) supervisa el cumplimiento y publica la lista de organizaciones certificadas.

2. Los tres niveles de seguridad del ENS

El ENS establece tres categorías de seguridad según el impacto que tendría un incidente:

• Nivel Básico: información de bajo impacto. Medidas de seguridad fundamentales.
• Nivel Medio: impacto moderado. Controles adicionales de autenticación, monitorización y gestión de incidentes.
• Nivel Alto: información crítica. Máximas medidas de seguridad, cifrado, SOC 24/7, contingencia avanzada.

3. ENS vs ISO 27001: diferencias y sinergias

Ambos marcos se complementan perfectamente. La ISO 27001 es internacional y se centra en un Sistema de Gestión de Seguridad de la Información (SGSI), mientras que el ENS es nacional y establece medidas de seguridad específicas. Tener la ISO 27001 cubre aproximadamente el 80% de los controles del ENS, lo que acelera enormemente la certificación ENS.

4. Proceso de certificación ENS: pasos y plazos

• Categorización del sistema: determinar el nivel (básico, medio, alto)
• Análisis de riesgos: con metodología MAGERIT o equivalente
• Declaración de aplicabilidad: seleccionar los controles del Anexo II
• Implantación de medidas: técnicas y organizativas
• Auditoría de certificación: por entidad acreditada por ENAC

Normapymes certifica empresas en el ENS en toda España. Consultores especializados en Madrid, Barcelona, Sevilla, Valencia, Bilbao, Zaragoza y más. Garantía de certificación por contrato.