Esquema Nacional de Seguridad (ENS): guía completa 2026
Publicado el
¿Qué es el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad (ENS) es el marco legal español de ciberseguridad, regulado por el Real Decreto 311/2022. Obliga a todo el sector público —y a las empresas privadas que le prestan servicios— y clasifica cada sistema en categoría básica, media o alta. Exige implantar las medidas de seguridad de su Anexo II que correspondan a la categoría del sistema.
El Esquema Nacional de Seguridad de 2022 está en vigor desde el 5 de mayo de ese año y sustituyó al original de 2010. No es una norma voluntaria tipo ISO: es derecho público. Y trae un matiz que muchos descubren tarde: si tu empresa vende —o quiere vender— a un ayuntamiento, una consejería o un ministerio, el ENS va contigo. Esta guía está escrita para ese caso: el del proveedor privado.
¿El Esquema Nacional de Seguridad obliga a tu empresa privada?
Sí, cuando prestas servicios o provees soluciones al sector público para el ejercicio de sus competencias: el art. 2.3 del RD 311/2022 extiende los requisitos del ENS a los sistemas que sustentan ese servicio. Tres consecuencias muy concretas:
- Te llega por el pliego. El mismo art. 2.3 ordena que los pliegos de los contratos públicos “contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS”. No es una elección del organismo: es un mandato al órgano de contratación.
- Arrastra a tus subcontratistas. La cautela “se extenderá también a la cadena de suministro de dichos contratistas”, en la medida que resulte del análisis de riesgos (art. 2.3). Si tu servicio depende de un tercero, prepárate para responder por él.
- Necesitas política de seguridad propia. El art. 2.3 incluye expresamente “la obligación de contar con la política de seguridad a que se refiere el artículo 12”. Es un requisito organizativo —un documento aprobado por tu dirección—, y es el que casi nadie anticipa porque suena “a cosa de la Administración”.
La buena noticia: la conformidad se exige sobre “los sistemas de información en los que se sustenten los servicios prestados” a la Administración, no sobre toda tu empresa. Acotar el alcance a ese sistema es tu principal palanca para reducir cuánto cuesta certificarse en el ENS.
Cuándo te lo van a exigir: la cronología del proveedor
El ENS no te lo exige el BOE: te lo exige tu cliente público, con papeles y fecha. En la práctica, muchas pymes lo descubren al quedarse fuera de una licitación que daban por ganada. La secuencia real es esta:
1. Antes de licitar. El pliego debe recoger los requisitos ENS y la categoría del sistema la determina la entidad pública contratante, no tú, según el criterio oficial del CCN. Traducción: si te toca básica, media o alta no lo eliges; lo lees en el pliego.
2. Al presentar la oferta. Debes “estar en condiciones de exhibir” la Declaración de Conformidad (categoría básica) o la Certificación de Conformidad (media o alta), según la FAQ oficial del ENS. Y comprobarlo cuesta segundos: el registro de certificaciones del CCN es público y recoge, a agosto de 2026, más de 3.800 certificaciones vigentes, con sección propia para empresas. El órgano de contratación —y tu competencia— pueden ver quién está certificado y hasta cuándo.
3. Ya no hay periodo de gracia. La disposición transitoria única del RD 311/2022 incluyó expresamente a los “contratistas del sector privado” en los 24 meses de adecuación, que vencieron el 5 de mayo de 2024. Y un sistema nuevo debe cumplir el ENS desde su puesta en servicio.
4. Durante el contrato. La conformidad se verifica al menos cada dos años, tienes que notificar a tu cliente público los incidentes que afecten al servicio —canalizables al CCN-CERT a través de la plataforma LUCÍA— y el ENS sigue alcanzando a tus subcontratistas.
La conclusión incómoda: quien empieza a moverse cuando lee el pliego ya llega tarde. Certificarte antes de que te lo pidan es lo que convierte el ENS de barrera de entrada en ventaja competitiva.
¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.
Categorías del ENS: cómo se decide básica, media o alta
La categoría se determina con el procedimiento del Anexo I (art. 40 del RD 311/2022): se valora el impacto de un incidente sobre cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— en nivel bajo, medio o alto. Si alguna dimensión alcanza nivel alto, el sistema es de categoría alta; si el techo es medio, categoría media; si es bajo, básica.
Como proveedor, la teoría te importa menos que el dato práctico: en un contrato público esa valoración ya viene hecha por el cliente. Y el registro del CCN retrata el mercado: a agosto de 2026, la categoría media es con diferencia la más certificada —cerca de 1.700 certificados, frente a apenas 61 en básica—. Media es la habitual en los contratos TIC con la Administración; en básica casi nadie certifica porque basta la autoevaluación.
Las 73 medidas del Anexo II (y los atajos oficiales)
El Anexo II organiza sus 73 medidas en tres marcos (art. 28): organizativo (4 medidas: política, normativa, procedimientos y proceso de autorización), operacional (33: control de acceso, explotación, continuidad, nube, monitorización…) y de protección (36: instalaciones, personal, equipos, comunicaciones, información…). No se aplican todas siempre: la selección depende de la categoría —con refuerzos crecientes en media y alta— y se documenta en la Declaración de Aplicabilidad —el documento que fija qué medidas del Anexo II aplican a tu sistema y cuáles no— firmada por tu responsable de la seguridad, la figura interna que decide y responde por esas medidas.
Hay atajos regulados. El art. 30 permite perfiles de cumplimiento específicos validados por el CCN y, para entidades con recursos limitados, existe un perfil de 38 medidas certificable en categoría básica a través de la plataforma µCeENS. El itinerario completo, paso a paso, está en los requisitos y fases de la certificación ENS.
Declaración o Certificación de Conformidad: las dos vías
El art. 38 del RD 311/2022 fija dos caminos según la categoría:
- Básica → Declaración de Conformidad. Basta una autoevaluación, que puede hacer tu propio personal. Distintivo naranja.
- Media y alta → Certificación de Conformidad. Es obligatoria la auditoría de certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065 o por un Órgano de Auditoría Técnica (OAT) público; el CCN publica el listado de entidades de certificación —más de 30 entidades a julio de 2026—, como AENOR, Bureau Veritas o DNV. Distintivo azul.
En ambos casos la validez efectiva es de dos años: la conformidad se verifica y renueva al menos cada dos años (art. 31 del RD 311/2022 y FAQ oficial del ENS). No es un proyecto de una sola vez: presupuesta el mantenimiento.
¿Y NIS2? Marcos distintos, calendarios distintos
El ENS es obligatorio hoy para el sector público español y sus proveedores (art. 2 del RD 311/2022), con independencia de cómo avance la transposición de la directiva NIS2 en España. Son marcos diferentes que se solapan en parte —análisis de riesgos, gestión de incidentes, cadena de suministro— y ese solape se puede aprovechar para no pagar dos veces el mismo trabajo. Lo desgranamos en NIS2, ENS e ISO 27001 comparados.
Tu siguiente paso
No empieces por las 73 medidas: empieza por tus contratos. Haz la lista de organismos públicos a los que vendes o quieres vender, busca en sus últimos pliegos qué categoría ENS exigen y comprueba en el registro del CCN si tu competencia ya está certificada. Con esas tres respuestas sabrás qué categoría necesitas, con qué urgencia y con qué alcance mínimo. Todo lo demás —plan de adecuación, medidas, auditoría— cuelga de esa decisión.
Preguntas frecuentes
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el marco legal español de ciberseguridad, regulado por el Real Decreto 311/2022. Fija los principios, requisitos y 73 medidas de seguridad (Anexo II) que deben cumplir los sistemas de información del sector público y los de las empresas privadas que le prestan servicios. Clasifica los sistemas en tres categorías: básica, media y alta.
¿El ENS es obligatorio para las empresas privadas?
Sí, cuando prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias (art. 2.3 del RD 311/2022). La exigencia llega por los pliegos de contratación, que deben incluir los requisitos ENS, y alcanza solo a los sistemas que sustentan ese servicio, no a toda la empresa. También arrastra a los subcontratistas.
¿Cuáles son las categorías del ENS?
Tres: básica, media y alta. Se determinan valorando el impacto de un incidente en cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— según el Anexo I del RD 311/2022. A mayor categoría, más medidas y refuerzos del Anexo II. Ojo: en un contrato público, la categoría la determina la entidad contratante.
¿Qué diferencia hay entre Declaración y Certificación de Conformidad?
La Declaración de Conformidad se obtiene por autoevaluación y solo vale para sistemas de categoría básica. La Certificación de Conformidad exige una auditoría por una entidad acreditada por ENAC (o un órgano de auditoría técnica público) y es obligatoria en categorías media y alta. Ambas se renuevan al menos cada dos años y se publican con su distintivo.
¿Cuánto se tarda en certificarse en el ENS?
Depende de la categoría, el alcance y tu punto de partida. Como orientación de mercado: 2-4 meses en básica, 4-8 en media y 8-12 en alta, recorriendo categorización, plan de adecuación, implantación de las medidas del Anexo II y auditoría. Si ya tienes una ISO 27001 implantada, el camino se acorta.
Todas las guías de ENS
Fuentes oficiales citadas
- Real Decreto 311/2022 — arts. 2.3, 12, 28, 30, 31, 38 y 40; D.T. única; Anexos I-II
- CCN — FAQ del ENS
- CCN — Obligaciones de los prestadores de servicios a las entidades públicas
- CCN — Buscador de entidades certificadas en el ENS
- CCN — Entidades de certificación del ENS
¿Te afecta esta normativa?
Pide tu evaluación de aplicabilidad gratuita: en una llamada de 30 minutos te decimos qué obligaciones tienes, qué plazos corren y por dónde empezar.
Pedir mi diagnóstico gratuitoEl contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.