ENS para PYMEs proveedoras de la Administración Pública
Por el equipo de QuantumSec
Si tu empresa presta un servicio tecnológico a un ayuntamiento, una consejería o cualquier organismo público, en algún momento te van a pedir que acredites cumplimiento del Esquema Nacional de Seguridad (ENS). Muchas PYMEs asumen que el ENS es solo para grandes proveedoras de la Administración, pero el Real Decreto 311/2022 aplica a cualquier empresa privada que preste servicios tecnológicos al sector público, sin importar su tamaño. Esta guía explica cómo abordarlo siendo una empresa pequeña.
Por qué te aplica aunque seas una PYME pequeña
El ENS no distingue por tamaño de empresa, sino por el sistema de información concreto que gestionas para la Administración. Si desarrollas o mantienes una aplicación, alojas datos, o procesas información en nombre de un organismo público, ese sistema debe cumplir el ENS, independientemente de que tu empresa tenga 5 o 500 empleados. Es habitual encontrarlo como requisito en pliegos de contratación pública, incluso de importe reducido.
La categoría BÁSICA existe precisamente para casos como el tuyo
El ENS clasifica los sistemas en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente. La mayoría de servicios que presta una PYME a un organismo local o de tamaño medio caen en categoría BÁSICA, que tiene un conjunto de medidas significativamente más ligero que MEDIA o ALTA, y puede acreditarse mediante autoevaluación documentada, sin necesidad de una auditoría de certificación externa por un organismo acreditado.
Qué documentación mínima necesitas
Un análisis de riesgos básico (aunque simplificado), una Declaración de Aplicabilidad de las medidas del Anexo II que correspondan a tu categoría, políticas de acceso y gestión de incidentes documentadas, y evidencia de que las medidas técnicas exigidas (cifrado, copias de seguridad, control de accesos) están realmente implementadas, no solo escritas en un documento.
Cómo abordarlo sin el presupuesto de una gran consultora
El error más caro es contratar una adecuación pensada para categoría ALTA cuando tu sistema es BÁSICA. Empieza siempre clasificando el sistema correctamente: eso determina si necesitas un proyecto de semanas o de meses. Para categoría BÁSICA, muchas PYMEs pueden completar la autoevaluación con acompañamiento puntual en vez de un proyecto de consultoría completo.
FAQ
¿Necesito una auditoría de certificación externa si soy categoría BÁSICA?
No necesariamente. Para categoría BÁSICA, la conformidad puede acreditarse mediante una autoevaluación interna correctamente documentada, sin necesidad de un organismo de certificación acreditado por ENAC.
¿Qué pasa si no cumplo el ENS y me lo exige un pliego?
No podrás optar al contrato o licitación, y si ya tienes un contrato en marcha, el organismo público puede exigir la adecuación como condición para mantenerlo o renovarlo.
¿El trabajo de ENS me sirve para algo más?
Sí. Comparte controles importantes con ISO 27001 y NIS2, así que el esfuerzo de adecuación al ENS reduce el trabajo si en el futuro necesitas cumplir también esas normativas.