Certificación ENS: requisitos, fases y categorías (2026)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Cómo certificarse en el Esquema Nacional de Seguridad?

Para conseguir el certificado del Esquema Nacional de Seguridad hay que recorrer seis fases, reguladas por el Real Decreto 311/2022:

1. Categorizar el sistema: básica, media o alta, según el procedimiento del Anexo I.
2. Analizar los riesgos y aprobar la política de seguridad.
3. Elaborar el plan de adecuación y la Declaración de Aplicabilidad.
4. Implantar las medidas aplicables del Anexo II.
5. Superar la autoevaluación (categoría básica) o la auditoría de certificación (media y alta).
6. Publicar el distintivo y mantener la conformidad, con auditoría al menos cada dos años.

Hasta aquí, lo que te contará cualquier certificadora. Lo que casi nadie te cuenta es que el coste de las fases 2 a 6 queda fijado en la fase 1 — y en una decisión anterior a ella: qué entra en el alcance. Empezamos por ahí.

La categoría del ENS no la eliges tú: sale del Anexo I

La categoría no es una declaración de ambición (“vamos a por la media, que queda más serio”). Es el resultado de un procedimiento reglado: según el art. 40.2 del RD 311/2022, se determina valorando el impacto que tendría un incidente sobre cinco dimensiones de seguridad — confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.

Cada dimensión afectada se adscribe a un nivel (Anexo I, apdo. 3):

Con los niveles puestos, la categoría cae sola (Anexo I, apdo. 4.1): alta si alguna dimensión alcanza nivel alto; media si el máximo es medio; básica si el máximo es bajo.

El reparto de papeles también está reglado (art. 41): valora la información y los servicios su responsable — el tuyo, no el consultor ni el proveedor —, y la categoría se determina aplicando esas valoraciones al procedimiento del Anexo I. Y un detalle que ahorra dinero: si una dimensión no se ve afectada, no se adscribe a ningún nivel (Anexo I, apdo. 3). No estás obligado a puntuarlo todo.

Sobre-categorizarte: el error más caro de todo el proyecto

“Nos declaramos media por prudencia” es la frase que más presupuestos infla. El sobrecoste se puede contar sobre la propia tabla de aplicabilidad del Anexo II (recuento propio sobre la tabla oficial, en el peor caso, con todas las dimensiones al nivel de la categoría):

(Recuento propio sobre la tabla oficial del Anexo II; tómalo como orden de magnitud.)

Pasar de básica a media activa 16 medidas nuevas — análisis de impacto, gestión de cambios, criptografía en los soportes, separación de flujos de red o protección frente a denegación de servicio, entre otras — y eleva los refuerzos exigidos de 5 a 46 en el peor caso. Eso es implantar, documentar y evidenciar unas cuarenta exigencias que quizá nadie te pedía.

Tres palancas legales para que tu categoría sea la mínima defendible:

1. Valora dimensión a dimensión, no en bloque. 28 de las 73 medidas no dependen de la categoría, sino del nivel de una dimensión concreta. Inflar “por si acaso” la disponibilidad de un sistema interno sin usuarios externos activa, por sí sola, hasta 10 medidas condicionadas a esa dimensión — aunque la categoría no cambie.
2. Vigila la regla del máximo. Cuando un sistema trata varias informaciones y presta varios servicios, su nivel en cada dimensión es el mayor de los establecidos para cada una de ellas (Anexo I, apdo. 3). Un único servicio crítico dentro del alcance arrastra al sistema entero a su categoría.
3. Segrega los subsistemas que lo merezcan. El Anexo II (apdo. 2.2) permite separar los subsistemas que requieren un nivel distinto y aplicar a cada uno el suyo, “siempre que puedan delimitarse la información y los servicios afectados”. Es la contramedida explícita a la regla del máximo: delimitar el alcance antes de valorar es la decisión más rentable de todo el proyecto.

Mínima defendible, no mínima a secas: la categoría se re-evalúa cada año o ante cambios significativos (Anexo I, apdo. 1), y el auditor comprobará que tu análisis de riesgos tiene revisión y aprobación anual (Anexo III). Una categorización optimista sin evidencias se cae en la primera auditoría.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Las fases de la certificación ENS, una a una

1. Categoriza el sistema

Aplica el procedimiento del Anexo I al alcance que hayas delimitado: primero el nivel de cada información y servicio por dimensión, después la categoría del sistema. Documenta quién valoró qué: es de los primeros papeles que pide el auditor.

2. Analiza los riesgos y aprueba la política de seguridad

El análisis de riesgos con MAGERIT y PILAR traduce tu valoración en decisiones: qué riesgos aceptas y cuáles tratas. No es un documento de proyecto sino un documento vivo: debe revisarse y aprobarse cada año (Anexo III).

3. Elabora el plan de adecuación y la Declaración de Aplicabilidad

La Declaración de Aplicabilidad formaliza qué medidas del Anexo II aplican a tu sistema, y la firma el responsable de la seguridad (art. 28.2). Las medidas son mínimos: puedes sustituir una por otra compensatoria si justificas documentalmente que protege igual o mejor (art. 28.3). El plan de adecuación ordena el trabajo pendiente; te ayudan las guías CCN-STIC de la serie 800 (la 803 para valorar, la 806 para el plan).

4. Implanta las medidas

La fase más larga. Implantar no es solo hacer: es dejar evidencia. La auditoría se apoya en la documentación de procedimientos, el registro de incidentes, el examen del personal — lo que sabe y lo que practica — y los productos certificados que uses (Anexo III, apdo. 1.2). Cada medida sin evidencia es una medida que no existe.

5. Autoevaluación o auditoría: los requisitos que se comprueban

El art. 38.1 abre dos vías. En categoría básica basta una autoevaluación, que puede hacer tu propio personal documentando el resultado medida a medida (Anexo III, apdo. 2.1), y da lugar a la Declaración de Conformidad — aunque puedes optar al certificado igualmente. En media y alta, auditoría de certificación obligatoria por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065 o un OAT público.

El auditor constata seis puntos, referidos a los cuatro responsables —de la información, del servicio, de la seguridad y del sistema— y al sistema de gestión:

• La política de seguridad define sus roles.
• Hay procedimientos para resolver conflictos entre ellos.
• Hay personas designadas para cada rol.
• El análisis de riesgos se revisa y aprueba cada año.
• Se cumplen las medidas aplicables del Anexo II.
• Existe un sistema de gestión documentado “tomando como base la Declaración de Aplicabilidad” (Anexo III, apdo. 1.1).

Aquí tienes cómo se desarrolla la auditoría paso a paso; el itinerario de verificación medida a medida está en la guía CCN-STIC 808.

6. Publica el distintivo y mantén la conformidad

Declaraciones y certificaciones se publican en tu portal de internet o sede electrónica (art. 38.2), con distintivo naranja (declaración) o azul (certificación). Después, auditoría ordinaria al menos cada dos años y extraordinaria si el sistema cambia sustancialmente (art. 31.1) — y ojo: la extraordinaria reinicia el cómputo de los dos años.

¿Cuánto dura cada fase? La norma solo fija los plazos de mantenimiento; la duración del proyecto depende de tu categoría y de tu punto de partida. Tienes rangos orientativos de mercado en precios y plazos de la certificación ENS.

Por dónde empezar esta semana

No pidas presupuesto todavía. Haz antes el ejercicio que abarata todos los demás: lista las informaciones que manejas y los servicios que prestas, y responde a dos preguntas. ¿Qué servicio arrastra la dimensión más alta? ¿Puede segregarse del resto delimitando su información y sus servicios? Con esas dos respuestas, la conversación con cualquier consultora empieza donde debe: en el alcance, no en el catálogo de medidas.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.