Auditoría ENS: adecuación al Esquema Nacional de Seguridad

El Esquema Nacional de Seguridad (ENS) es de obligado cumplimiento para las administraciones públicas y sus proveedores tecnológicos. Te ayudamos a entender qué categoría de sistema te corresponde, qué medidas son exigibles y cómo obtener la certificación.

Dimensiona tu proyecto · Consultar mi situación ENS

¿Prefieres hablarlo? Llámanos al +34 960 730 013

¿Quién debe cumplir el ENS?

El Real Decreto 311/2022 que regula el ENS establece su obligatoriedad para las Administraciones Públicas españolas y para cualquier empresa privada que preste servicios tecnológicos al sector público o trate información de los ciudadanos en nombre de la Administración. Si has ganado un contrato público con componente tecnológico, probablemente tienes la obligación (o la tendrás en breve) de certificar bajo ENS.

En qué consiste la adecuación al ENS

  • Clasificación del sistema: categoría BÁSICA, MEDIA o ALTA según los datos e impacto del servicio
  • Análisis de riesgos según la metodología MAGERIT
  • Selección y aplicación de las medidas de seguridad exigibles por categoría
  • Declaración de Aplicabilidad (DoA)
  • Plan de adecuación y seguimiento
  • Auditoría interna obligatoria previa a la certificación
  • Revisión previa de los tres marcos del Anexo II —organizativo, operacional y de protección— con el mismo criterio que aplicará el auditor de certificación
  • Acompañamiento en la auditoría de certificación ante la entidad certificadora

Proceso de adecuación

  1. Clasificación del sistema: Determinamos la categoría de seguridad (BÁSICA, MEDIA o ALTA) según las dimensiones de seguridad de la información tratada.
  2. Análisis de riesgos MAGERIT: Identificamos activos, amenazas, vulnerabilidades e impacto para fundamentar las medidas a implementar.
  3. Selección de medidas: Definimos las medidas de seguridad aplicables según la categoría y elaboramos la Declaración de Aplicabilidad.
  4. Plan de adecuación: Planificamos la implementación de las medidas pendientes con plazos y recursos.
  5. Preparación para la auditoría: Acompañamos en la preparación de la documentación y los controles para la auditoría formal de certificación.

Entregables

  • Informe de clasificación del sistema con justificación
  • Análisis de riesgos (MAGERIT) documentado
  • Declaración de Aplicabilidad (DoA)
  • Plan de adecuación con estado de cada medida
  • Evidencias y documentación para la auditoría de certificación

¿Quién nos lo solicita habitualmente?

  • Empresas tecnológicas que han ganado o quieren ganar contratos públicos
  • Proveedores de cloud, hosting y SaaS con clientes en el sector público
  • Administraciones Públicas que deben renovar o iniciar su adecuación
  • Entidades locales (ayuntamientos) con sistemas de administración electrónica
  • Empresas del ámbito educativo, sanitario o de justicia con sistemas TI críticos

Preguntas frecuentes sobre ENS

¿Qué revisa exactamente el auditor en una auditoría ENS?

Para categoría MEDIA o ALTA, la conformidad se acredita con una auditoría formal que recorre las medidas del Anexo II del RD 311/2022 en tres marcos: el organizativo (política de seguridad, normativa y procedimientos), el operacional (planificación, control de acceso, explotación, continuidad) y las medidas de protección (instalaciones, personal, equipos, comunicaciones e información). No se limita a comprobar que el documento existe: pide evidencia de que la medida opera. Por eso nuestra preparación reproduce esa revisión antes de que llegue la entidad certificadora.

¿Qué tipos de auditoría ENS existen y cuál necesita mi sistema?

Depende de la categoría del sistema (anexo III del RD 311/2022). En categoría BÁSICA no hace falta auditoría: basta una autoevaluación documentada, que puede hacer el propio personal que administra el sistema o en quien este delegue, para emitir la declaración de conformidad. En MEDIA y ALTA se necesita una auditoría formal para obtener la certificación de conformidad, que emite una entidad de certificación acreditada. En todos los casos el artículo 31 exige repetir la auditoría al menos cada dos años, y de forma extraordinaria cuando haya cambios sustanciales en el sistema. Nosotros hacemos la autoevaluación delegada de BÁSICA y, en MEDIA y ALTA, la preauditoría que reproduce la revisión del auditor para que la certificación salga a la primera.

¿Qué diferencia hay entre la declaración de conformidad ENS y la certificación?

La declaración de conformidad es un documento interno que la propia entidad emite afirmando que cumple el ENS. La certificación es emitida por una entidad de certificación acreditada por ENAC tras una auditoría formal. Hay contratos públicos que exigen la certificación, otros que aceptan la declaración.

¿Con qué frecuencia hay que renovar la certificación ENS?

La certificación ENS tiene una vigencia de 2 años, con auditorías de seguimiento anuales.

¿Qué pasa si los sistemas son de categoría BÁSICA?

Los sistemas de categoría BÁSICA tienen un conjunto de medidas menos exigente, pero igualmente obligatorio. La conformidad puede acreditarse mediante una auditoría interna correctamente documentada.

¿Puedo contratar la auditoría ENS con QuantumSec o tiene que ser un organismo oficial?

La certificación formal del ENS debe emitirla una entidad de certificación acreditada por ENAC. Nuestro servicio es la consultoría previa: gap analysis, clasificación del sistema, implementación de medidas y preparación de toda la documentación para que la auditoría de certificación se apruebe a la primera.

¿Qué entidades pueden certificar el ENS?

Cualquier entidad de certificación acreditada por ENAC específicamente para el esquema ENS, como AENOR, Bureau Veritas o DNV. Nosotros no emitimos el certificado —lo hace la entidad acreditada tras la auditoría formal—, pero te ayudamos a elegir y preparamos toda la documentación y evidencias que esa auditoría va a exigir.

¿Cuánto tarda una adecuación al ENS?

Para una categoría BÁSICA con la infraestructura ya ordenada, entre 6 y 10 semanas hasta la declaración de conformidad. Para MEDIA o ALTA con certificación por entidad acreditada, el rango realista va de 4 a 8 meses: el grueso no es la documentación, sino implementar las medidas técnicas que falten y acumular las evidencias de operación que el auditor va a pedir.

¿Necesito el ENS si solo soy proveedor de una administración pública?

Sí en la práctica. El RD 311/2022 extiende las obligaciones a los operadores del sector privado que prestan servicios a entidades públicas, y el nivel exigido se hereda de la categoría del sistema al que das servicio. Es habitual descubrirlo al leer los pliegos: la conformidad ENS aparece como requisito de solvencia técnica, no como mérito.

¿Qué relación tiene el ENS con NIS2?

Se solapan en buena parte del control técnico pero no se sustituyen. El ENS es el marco español para el sector público y sus proveedores; NIS2 es la directiva europea para sectores esenciales e importantes. Si ya tienes el ENS implantado, buena parte del trabajo de NIS2 está hecho —gestión de riesgos, registro de incidentes, continuidad—, pero NIS2 añade obligaciones propias, como la responsabilidad directa del órgano de dirección.

¿Hace falta un pentesting para la adecuación al ENS?

Para categoría ALTA sí: el refuerzo R6 de la medida de vigilancia [op.mon.3] exige pruebas de penetración periódicas sobre los sistemas en alcance. Para MEDIA, el análisis de vulnerabilidades recurrente suele bastar, aunque el auditor puede pedir evidencia de pruebas más profundas según el tipo de servicio. Para BÁSICA no es obligatorio, pero es la vía más rápida de detectar qué medidas declaradas no están funcionando de verdad.

Recursos relacionados

Fuentes

¿Listo para proteger tu empresa?

Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.

Dimensiona tu proyecto · Consultar mi situación ENS