ENS para PYMEs proveedoras de la Administración Pública

Por Kike Gandia · Co-Fundador y CEO, OSCP

Si tu empresa presta un servicio tecnológico a un ayuntamiento, una consejería o cualquier organismo público, en algún momento te van a pedir que acredites cumplimiento del Esquema Nacional de Seguridad (ENS). Muchas PYMEs asumen que el ENS es solo para grandes proveedoras de la Administración, pero el Real Decreto 311/2022 aplica a cualquier empresa privada que preste servicios tecnológicos al sector público, sin importar su tamaño. Esta guía explica cómo abordarlo siendo una empresa pequeña.

Por qué te aplica aunque seas una PYME pequeña

El ENS no distingue por tamaño de empresa, sino por el sistema de información concreto que gestionas para la Administración. Si desarrollas o mantienes una aplicación, alojas datos, o procesas información en nombre de un organismo público, ese sistema debe cumplir el ENS, independientemente de que tu empresa tenga 5 o 500 empleados. Es habitual encontrarlo como requisito en pliegos de contratación pública, incluso de importe reducido.

La categoría BÁSICA existe precisamente para casos como el tuyo

El ENS clasifica los sistemas en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente. La mayoría de servicios que presta una PYME a un organismo local o de tamaño medio caen en categoría BÁSICA, que tiene un conjunto de medidas significativamente más ligero que MEDIA o ALTA, y puede acreditarse mediante autoevaluación documentada, sin necesidad de una auditoría de certificación externa por un organismo acreditado.

Qué documentación mínima necesitas

Un análisis de riesgos básico (aunque simplificado), una Declaración de Aplicabilidad de las medidas del Anexo II que correspondan a tu categoría, políticas de acceso y gestión de incidentes documentadas, y evidencia de que las medidas técnicas exigidas (cifrado, copias de seguridad, control de accesos) están realmente implementadas, no solo escritas en un documento.

Cómo abordarlo sin el presupuesto de una gran consultora

El error más caro es contratar una adecuación pensada para categoría ALTA cuando tu sistema es BÁSICA. Empieza siempre clasificando el sistema correctamente: eso determina si necesitas un proyecto de semanas o de meses. Para categoría BÁSICA, muchas PYMEs pueden completar la autoevaluación con acompañamiento puntual en vez de un proyecto de consultoría completo.

Declaración de conformidad y certificación de conformidad no son lo mismo

Es la confusión que más presupuestos desvía. El Real Decreto 311/2022 distingue dos formas de acreditar el cumplimiento según la categoría del sistema, y el pliego suele exigir una u otra sin explicarla:

Categoría del sistema	Cómo se acredita	Quién lo emite	Qué se publica
BÁSICA	Declaración de conformidad basada en autoevaluación documentada	La propia entidad responsable del sistema	Distintivo de declaración de conformidad
MEDIA	Certificación de conformidad tras auditoría formal	Entidad de certificación acreditada	Distintivo de certificación de conformidad
ALTA	Certificación de conformidad tras auditoría formal	Entidad de certificación acreditada	Distintivo de certificación de conformidad

Dos consecuencias prácticas. La primera: si tu sistema es BÁSICA y el pliego pide "certificación ENS" sin más, merece la pena preguntar al órgano de contratación si acepta la declaración de conformidad, porque a menudo el pliego copia una redacción genérica. La segunda: la autoevaluación de categoría BÁSICA no es un formulario que se rellena en una tarde — exige el mismo análisis de riesgos y la misma Declaración de Aplicabilidad que el resto, solo que sin auditoría externa.

¿Y si el sistema corre sobre AWS, Azure o Google Cloud?

Es la pregunta que más aparece en cuanto se entra en detalle, porque casi ninguna PYME aloja en servidores propios. La respuesta corta: que tu proveedor cloud esté conforme con el ENS no te hace conforme a ti, pero te ahorra buena parte del trabajo. El modelo es de responsabilidad compartida y hay que documentarlo explícitamente: el proveedor responde de las medidas de la capa que gestiona (instalaciones, hardware, hipervisor, en algunos servicios el sistema operativo) y tú respondes de todo lo que construyes encima —configuración, control de accesos, cifrado de tus datos, registro de actividad, copias de seguridad—. En la práctica se resuelve con dos piezas: la evidencia de conformidad ENS del proveedor para los servicios concretos que usas (no para todo su catálogo) y una matriz que asigne cada medida del Anexo II a "proveedor", "nosotros" o "compartida". Esa matriz es de lo primero que pide un auditor, y es también el punto donde más proyectos se atascan porque nadie la había escrito.

FAQ

¿Necesito una auditoría de certificación externa si soy categoría BÁSICA?

No necesariamente. Para categoría BÁSICA, la conformidad puede acreditarse mediante una autoevaluación interna correctamente documentada, sin necesidad de un organismo de certificación acreditado por ENAC.

¿Qué pasa si no cumplo el ENS y me lo exige un pliego?

No podrás optar al contrato o licitación, y si ya tienes un contrato en marcha, el organismo público puede exigir la adecuación como condición para mantenerlo o renovarlo.

¿El trabajo de ENS me sirve para algo más?

Sí. Comparte controles importantes con ISO 27001 y NIS2, así que el esfuerzo de adecuación al ENS reduce el trabajo si en el futuro necesitas cumplir también esas normativas.

¿Quién clasifica el sistema, nosotros o el organismo público?

La categoría la determina el responsable del sistema en función del impacto que tendría un incidente sobre las cinco dimensiones de seguridad, pero cuando el sistema presta un servicio a una Administración, esa valoración se acuerda con el organismo: es su información y su servicio el que se ve afectado. Pedir por escrito al órgano de contratación qué categoría considera aplicable antes de dimensionar el proyecto evita el escenario más caro, que es descubrirlo a mitad de la adecuación.

¿Qué pasa si el contrato ya está firmado y nos piden la conformidad ahora?

Lo habitual es acordar un plan de adecuación con hitos y plazos, no una conformidad inmediata. Presentar ese plan firmado por dirección, con responsables y fechas, suele ser suficiente para mantener el contrato mientras se ejecuta. Lo que sí genera problemas es no responder o comprometer una fecha que no se va a cumplir.

¿Nos va a auditar el organismo público directamente?

No de forma rutinaria. Lo normal es que te exija aportar la evidencia de conformidad (declaración o certificación, según categoría) y que la revise documentalmente. Sí es habitual que incluya en el contrato una cláusula de derecho de auditoría, que puede activarse tras un incidente o en renovaciones. Conviene tener la documentación en un estado presentable de forma permanente, no solo en el momento de licitar.

¿Hay que renovar la conformidad o vale para siempre?

No vale para siempre. La conformidad tiene que mantenerse mientras dure la prestación del servicio, lo que implica revisar el análisis de riesgos y las medidas cuando el sistema cambia, y renovar la acreditación periódicamente. En la práctica, el trabajo de mantenimiento anual es muy inferior al de la adecuación inicial, pero no es cero: si nadie lo asume internamente, la documentación queda obsoleta en el primer cambio de arquitectura.