Esquema Nacional de Seguridad (ENS): guía completa del Real Decreto 311/2022

El Esquema Nacional de Seguridad (ENS) es el Real Decreto 311/2022, de 3 de mayo, la norma que fija los principios básicos, los requisitos mínimos y las medidas de seguridad de la información en todo el sector público español y en las empresas que le prestan servicios o le proveen soluciones. La conformidad se declara con una autoevaluación si el sistema es de categoría BÁSICA y se certifica con una auditoría si es de categoría MEDIA o ALTA [1].

Esta guía recorre el esquema completo: a quién se aplica, los siete principios y los quince requisitos mínimos, las categorías, el catálogo de medidas, la diferencia entre declarar y certificar, qué cambia si eres proveedor de la administración, las fases de un proyecto y una lista de comprobación. Si buscas ayuda para cumplirlo, está el servicio de cumplimiento del ENS.

Qué es el ENS y qué cambió en 2022

El Real Decreto 311/2022 se publicó en el BOE núm. 106 del 4 de mayo de 2022, entró en vigor al día siguiente y derogó el Real Decreto 3/2010, que regulaba el ENS en el ámbito de la administración electrónica [1]. Tiene 41 artículos, siete capítulos y cuatro anexos: categorías (Anexo I), medidas de seguridad (Anexo II), auditoría (Anexo III) y glosario (Anexo IV).

Su preámbulo marca tres objetivos de la actualización: alinear el ENS con el marco normativo y estratégico vigente, poder ajustar los requisitos a colectivos o tipos de sistemas concretos mediante los perfiles de cumplimiento específicos, y responder mejor a las tendencias en ciberseguridad, con más peso de la vigilancia continua [1].

La disposición transitoria única dio 24 meses desde la entrada en vigor para que los sistemas preexistentes, incluidos los de los contratistas del sector privado, alcanzaran su plena adecuación; el CCN sitúa ese hito en el 5 de mayo de 2024 [1] [8]. Los sistemas nuevos aplican el real decreto desde su concepción.

El real decreto se completa con piezas que conviene distinguir:

El CCN publica en su portal cuatro ITS: conformidad, auditoría, informe del estado de la seguridad y notificación de incidentes [2] [3] [4] [5]. Son resoluciones de 2016 y 2018, y el propio CCN indica que la ITS de conformidad está en revisión para adaptarla al Real Decreto 311/2022 [7], así que conviene comprobar en el portal cuál es el texto vigente cuando prepares una certificación.

A quién se aplica el ENS

Fuente de la tabla: [1]. Dos matices que evitan confusiones:

• Alcance por sistema, no por empresa. El real decreto habla de los sistemas de información que sustentan los servicios prestados. Un proveedor no certifica "la empresa" en abstracto, sino los sistemas que usa para el servicio contratado.
• Si tu entidad es privada y no presta servicios a la administración para sus competencias, el ENS no es exigible por esta vía. Puedes adoptarlo de forma voluntaria como referencia, pero la obligación nace del artículo 2.

Si eres proveedor, la guía específica de ENS para proveedores de la administración baja al detalle de los pliegos y de lo que te pedirá el cliente público.

Sobre las consecuencias: el CCN señala que el ENS no prevé un régimen de sanciones, aunque persiste la responsabilidad patrimonial de las administraciones por los daños que causen [7]. En la práctica, la presión llega por vía contractual: los pliegos deben exigir la declaración o certificación de conformidad, y perderla puede afectar al contrato.

Los siete principios básicos

El artículo 5 enumera los principios que deben regir cualquier decisión de seguridad. El ENS los entiende como un proceso, no como un proyecto puntual [1].

Los quince requisitos mínimos

La política de seguridad se desarrolla aplicando los requisitos mínimos del artículo 12.6, que se exigen en proporción a los riesgos de cada sistema; alguno puede obviarse en sistemas sin riesgos significativos [1]. La política debe aprobarla el órgano competente y, en las entidades privadas proveedoras, el órgano con las máximas competencias ejecutivas.

Dos exigencias del artículo 13 se incumplen con frecuencia. El responsable de la seguridad debe ser distinto del responsable del sistema y no puede haber dependencia jerárquica entre ambos, salvo situaciones excepcionales por falta justificada de recursos, en las que deben aplicarse medidas compensatorias. Y en los servicios externalizados, el prestador debe designar un punto de contacto para la seguridad, sin que la responsabilidad última deje de ser de la entidad pública destinataria [1].

Categorías: básica, media y alta

La categoría de un sistema modula el equilibrio entre la importancia de la información y los servicios que presta y el esfuerzo de seguridad exigido, bajo el principio de proporcionalidad (artículo 40). Se determina valorando el impacto de un incidente en cinco dimensiones: confidencialidad (C), integridad (I), trazabilidad (T), autenticidad (A) y disponibilidad (D) [1].

Cada dimensión afectada recibe un nivel según el perjuicio que causaría un incidente:

La categoría sale del nivel más alto que alcance alguna dimensión:

Un ejemplo ilustrativo, no un caso real: un sistema cuya disponibilidad alcanzaría el nivel MEDIO y cuyas otras cuatro dimensiones se quedarían en BAJO es de categoría MEDIA, porque basta una dimensión en MEDIO. La categoría no cambia los niveles de las demás dimensiones, que siguen determinando qué medidas se aplican en cada una [1].

Quién decide: los responsables de la información y de los servicios valoran los niveles, y el responsable de la seguridad determina la categoría del sistema (artículo 41). El Anexo I exige reevaluar la categoría cada año o ante modificaciones significativas de los criterios. Para el método, el Anexo I remite a las guías CCN-STIC del CCN, que precisan los criterios de categorización [1]. Si dudas entre dos categorías, la comparativa de ENS Alta frente a Media detalla qué cambia en la práctica.

Las medidas de seguridad del Anexo II

El Anexo II agrupa las medidas en tres marcos, y cada medida se aplica según la categoría del sistema o, en las que están ligadas a una dimensión concreta, según el nivel de esa dimensión [1]. El catálogo recoge 73 medidas:

Muchas medidas incorporan refuerzos (R1, R2…) que se suman a medida que sube el nivel. Estos ejemplos, tomados de la tabla del Anexo II, muestran cómo crece la exigencia entre categorías o niveles:

Un detalle útil: el refuerzo R6 de op.mon.3, que solo entra en el conjunto de la categoría ALTA, prevé inspecciones periódicas de configuración, análisis de vulnerabilidades y pruebas de penetración [1]. No es una obligación anual genérica para todas las categorías.

Declaración de aplicabilidad, medidas compensatorias y perfiles

Las medidas del Anexo II son mínimos exigibles, ampliables por el responsable de la seguridad (artículo 28.2). Pueden sustituirse por otras compensatorias si se justifica documentalmente que protegen igual o mejor, y la correspondencia se detalla en la Declaración de Aplicabilidad, que aprueba formalmente el responsable de la seguridad (artículo 28.3). Una guía CCN-STIC de las previstas en la disposición adicional segunda orienta esa selección [1]; el CCN cita la guía CCN-STIC 819 para las medidas compensatorias [7].

Los perfiles de cumplimiento específicos permiten aplicar un conjunto de medidas idóneo para una categoría concreta de entidad o sector. El CCN cita, entre los perfiles autorizados, los de entidades locales y universidades [7], y mantiene la metodología µCeENS para certificar sobre un perfil de cumplimiento específico [10].

Conformidad: autoevaluación, auditoría y certificación

El artículo 38 establece dos vías según la categoría. Los sistemas de categoría MEDIA o ALTA precisan una auditoría para certificar su conformidad; los de categoría BÁSICA solo requieren una autoevaluación para declararla, sin perjuicio de que puedan someterse también a una auditoría de certificación [1].

Fuentes: [1] [2] [9].

Reglas del ciclo de auditoría:

• Cada dos años como mínimo. El artículo 31 exige una auditoría regular ordinaria al menos cada dos años, ampliable tres meses por fuerza mayor ajena a la entidad, y una extraordinaria ante modificaciones sustanciales del sistema. La extraordinaria fija la fecha de cómputo de los dos años siguientes [1].
• Una certificación vale dos años. El CCN explica que la fecha de renovación no puede superar los dos años naturales desde la certificación inicial y que conviene planificar la auditoría para decidir la renovación dentro del periodo de validez [7].
• Una auditoría extraordinaria parcial no alarga la vigencia. Si solo se audita lo que difiere (por ejemplo, al subir de MEDIA a ALTA), la nueva certificación no puede ir más allá de la fecha de la anterior; una auditoría completa sí puede tener la vigencia habitual de dos años [7].
• Publicidad. Los responsables de los sistemas dan publicidad a las declaraciones y certificaciones en sus portales o sedes electrónicas (artículo 38.2).
• Categoría ALTA. El responsable del sistema puede suspender temporalmente el tratamiento, el servicio o la operación hasta subsanar deficiencias graves del dictamen de auditoría (artículo 31.6).

Una auditoría comprueba, entre otras cosas, que la política define los roles, que hay un análisis de riesgos con revisión y aprobación anual, que se cumplen las medidas del Anexo II y que existe un sistema de gestión de la seguridad documentado y aprobado por la dirección sobre la base de la Declaración de Aplicabilidad (Anexo III). Se apoya en evidencias: procedimientos documentados, registro de incidentes y entrevistas al personal [1]. La guía CCN-STIC 809 describe la declaración y la certificación de conformidad [9].

Quién puede certificar

Las entidades certificadoras deben estar acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065. También pueden certificar los órganos de auditoría técnica del sector público reconocidos por el CCN [2] [8]. El CCN publica la relación de entidades acreditadas o en proceso. Una entidad en proceso de acreditación puede auditar y emitir certificados durante 12 meses; si no obtiene la acreditación en ese plazo, debe cesar [8].

Si eres proveedor de la administración

Para un proveedor, el ENS llega por contrato. Los pliegos de las entidades públicas deben contemplar los requisitos para asegurar la conformidad de los sistemas que sustentan el servicio, como la presentación de la declaración o la certificación, y pueden extenderse a tu cadena de suministro [1].

Fuentes: [1] [2]. El CCN aclara también que el requisito se aplica a cualquier entidad, española o extranjera, y que existen certificaciones de empresas no españolas [7]. Los servicios soportados por sistemas certificados se benefician de la certificación, porque su enumeración debe aparecer en el certificado.

Fases de un proyecto de adecuación

El portal del CCN describe el proceso de adecuación en cinco bloques, que sirven de guion para planificar [6]:

Plazos típicos, sin promesas. El real decreto no fija una duración estándar para adecuarse. Depende de la categoría, del alcance, de la madurez previa y de los recursos disponibles. Lo que sí está fijado es el ritmo posterior: auditoría al menos cada dos años y revisión anual del análisis de riesgos. La entidad certificadora presenta una oferta con las jornadas de auditoría y su modalidad (presencial, telemática o mixta) una vez estudiada la documentación previa [7]; no hay un plazo único que valga para todos. El CCN propone empezar por la categoría BÁSICA solo como hoja de ruta acordada en el comité de seguridad, nunca como fin si el sistema es de categoría superior [7].

Si quieres ver el cambio normativo desde la versión anterior, está el whitepaper sobre la migración al ENS 2022.

Lista de comprobación

Errores habituales

• Certificar un alcance más estrecho que el servicio contratado. El cliente público exige que la conformidad cubra los sistemas que sustentan el servicio. Un alcance recortado puede quedar fuera de la exigencia del pliego.
• Quedarse en BÁSICA con un sistema de categoría superior. La categoría la marca el impacto, no la ambición. Alcanzar la conformidad BÁSICA no cumple lo que exige una categoría MEDIA o ALTA [7].
• Pensar que con el certificado se acabó. Hay auditoría al menos cada dos años y, en categorías MEDIA y ALTA, el CCN indica que además deben evidenciar una auditoría interna anual de cumplimiento orientada a la mejora [7].
• Tener responsable de seguridad y de sistema en la misma persona o en la misma línea jerárquica sin documentar la excepción y las medidas compensatorias (artículo 13.3).
• Un análisis de riesgos que se hizo una vez. El Anexo III comprueba que se revisa y aprueba cada año.
• Confundir ENS con ISO 27001. El ENS es un catálogo prescriptivo de medidas con su propia vía de conformidad (artículo 38); un certificado ISO 27001 no es la certificación ENS. Se comparan en la guía de ISO 27001.
• No publicar el distintivo ni informar del estado de seguridad. La publicidad del distintivo es una obligación del artículo 38.2, y el CCN indica que los organismos deben cumplimentar el informe del estado de la seguridad a través de INES [6].
• Olvidar la auditoría extraordinaria tras un cambio sustancial en el sistema (artículo 31.1).

ENS, NIS2, DORA, AI Act e ISO 27001

• NIS2 es la directiva general de ciberseguridad para sectores esenciales e importantes; si tu organización también entra en su ámbito, consulta la guía de cumplimiento de NIS2.
• DORA es el reglamento de resiliencia operativa digital del sector financiero; lo explica la guía de DORA.
• AI Act regula los sistemas de inteligencia artificial; la guía del AI Act cubre sus obligaciones.
• ISO 27001 es un estándar voluntario de gestión de la seguridad de la información. No sustituye a la certificación ENS, que tiene su propia vía de conformidad; la guía de ISO 27001 explica en qué se parecen y en qué no.
• Pruebas técnicas. Para validar medidas de monitorización y vigilancia, la diferencia entre Red Team y pentest ayuda a elegir el ejercicio adecuado, y el servicio de pentesting y Red Team lo ejecuta.

El ENS en Hodeitek

Hodeitek tiene certificado el ENS en categoría Media, con certificado nº 34/5704/26/09103 emitido el 17 de septiembre de 2026 por OCA Instituto de Certificación, entidad acreditada por ENAC. El alcance del certificado incluye los sistemas que soportan el servicio SaaS HodeiShield, los servicios de pentesting, la consultoría en ciberseguridad y en sistemas y servicios TIC, la consultoría en IA aplicada a negocio y el diseño de automatizaciones de procesos, según la declaración de aplicabilidad vigente. La renovación está prevista a los dos años, como marca la norma.

Esa certificación no certifica a tu organización ni es una certificación de producto. Para el seguimiento de la conformidad, HodeiShield ofrece puntuación por medida y categoría a partir del Anexo II, puntuación de proveedores y escaneos programados con seguimiento periódico; el caso de uso detalla qué hace la plataforma y qué no. No audita, no certifica y no figura en el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del CCN, que el Anexo II cita para elegir productos certificados (op.pl.5) [1]. Para un acompañamiento completo, el equipo de consultoría GRC y el servicio de cumplimiento del ENS cubren el diagnóstico, la hoja de ruta y la preparación de la auditoría.

Esta guía es informativa y no sustituye al texto oficial ni a un auditor. Actualizada el 13 de noviembre de 2026.