El Esquema Nacional de Seguridad (ENS) es la norma española que fija los principios, los requisitos mínimos y las medidas de seguridad de los sistemas de información del sector público y de las empresas que le prestan servicios en determinadas condiciones. Se regula en el Real Decreto 311/2022. No es una certificación general de una empresa: se aplica a sistemas concretos.
Esta ficha es información general y no constituye asesoramiento jurídico. Verificada el 15 de octubre de 2026 contra el texto consolidado del Real Decreto 311/2022 en el BOE (última actualización publicada el 6 de noviembre de 2024).
A quién se aplica
El Real Decreto 311/2022, de 3 de mayo, en vigor desde el 5 de mayo de 2022, derogó el Real Decreto 3/2010. Se aplica a todo el sector público (artículo 2.1). También alcanza a los sistemas de información de entidades privadas cuando, según la normativa aplicable y por una relación contractual, prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias y potestades administrativas (artículo 2.3). Los pliegos de esas contrataciones deben recoger los requisitos necesarios para asegurar la conformidad.
Categorías y conformidad
Cada sistema se clasifica en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente en su disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad (artículo 40 y anexo I). La categoría, los activos y la gestión de riesgos determinan las medidas del anexo II, que se recogen en una Declaración de Aplicabilidad firmada por el responsable de seguridad (artículo 28).
Para demostrar la conformidad, los sistemas de categoría BÁSICA requieren una autoevaluación y una declaración de conformidad; los de categoría MEDIA o ALTA requieren una auditoría de certificación (artículo 38). La auditoría de seguridad de los sistemas MEDIA o ALTA se realiza al menos cada dos años y tras modificaciones sustanciales (artículo 31), y puede servir también para la certificación.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una empresa de software aloja una plataforma de gestión de expedientes que utiliza un ayuntamiento, y el pliego pide conformidad con el ENS del servicio. Lo primero es delimitar qué sistemas forman parte de ese servicio, categorizarlos y elaborar la Declaración de Aplicabilidad. Si el sistema resulta de categoría MEDIA, hará falta una auditoría de certificación; si fuera BÁSICA, bastaría la autoevaluación y la declaración de conformidad.
Lo que el ENS no es
No es una certificación universal de la empresa ni evita por sí mismo los incidentes. La aplicabilidad, la categoría y el alcance deben confirmarse en el texto legal y en el pliego de cada caso. Si un proveedor presenta una certificación ENS, comprueba la entidad, el sistema, la categoría, el alcance y la vigencia. El ENS es un marco español: confirma por separado qué otros marcos aplican a tu entidad.
Cuándo llamar a un experto
Pide ayuda si un pliego o un cliente público exige conformidad con el ENS y no sabes qué sistemas entran, qué categoría corresponde ni qué evidencias hay que reunir, o si necesitas implantar medidas técnicas y formar al equipo. Para interpretar el contrato o el pliego, consulta a un profesional del derecho.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: consulta nuestro servicio de ciberseguridad, la solución de consultoría IT para el sector público o cuéntanos tu caso. Impulso no certifica: la certificación la emite una entidad acreditada e independiente.
Para saber más
Términos relacionados del glosario: ISO 27001 y NIS2.
Fuentes oficiales: Real Decreto 311/2022 (BOE), el proceso de adecuación, los distintivos de conformidad y las entidades de certificación del Centro Criptológico Nacional.
Guía completa: ENS o ISO 27001: cuál necesita tu pyme y cómo certificarse.