Si trabajas para la Administración vas a necesitar el ENS: qué categoría te toca y qué implica

El Esquema Nacional de Seguridad (ENS) es la norma que fija cómo deben proteger la información los sistemas del sector público español. Si tu empresa presta servicios a una administración y esos servicios usan sus sistemas o dependen de ellos, vas a necesitar el ENS. Lo que cambia de una empresa a otra es la categoría: básica, media o alta.

Muchas pymes lo descubren al leer un pliego de contratación, cuando falta poco para presentar la oferta. En este artículo te explicamos cuándo se exige, cómo saber qué categoría te toca y qué tendrás que hacer. Así podrás prepararte con tiempo.

¿Por qué una empresa privada puede necesitar el ENS?

Una empresa privada debe cumplir el ENS cuando presta servicios o soluciones a una entidad del sector público. En concreto, cuando esos servicios usan los sistemas de la Administración o dependen de ellos. Pasa con el software de gestión, el alojamiento en la nube, el mantenimiento informático o la gestión de expedientes, entre otros muchos casos.

Lo regula el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022. Su artículo 2 obliga a la Administración a incluir en los pliegos la conformidad con el ENS cuando el contrato lo requiera. Además, si el análisis de riesgos lo indica, esa exigencia llega también a la cadena de suministro del adjudicatario.

¿Cuándo vas a necesitar el ENS en un contrato público?

Te lo pedirán cuando el pliego lo diga de forma expresa. La Administración puede exigirlo de tres maneras distintas: como requisito de solvencia, como criterio que suma puntos o como condición que se comprueba durante la ejecución del contrato. Por eso conviene leer con atención cómo aparece en cada licitación.

La diferencia es importante. Si es requisito de solvencia, tienes que acreditarlo con la oferta y, si no lo haces, quedas fuera de la licitación. El Tribunal Administrativo Central de Recursos Contractuales lo ha recordado en resoluciones de junio de 2024 y octubre de 2025: solo es requisito de solvencia si el pliego lo recoge así de forma expresa.

¿Qué categoría te toca?

La categoría depende del daño que causaría un incidente en el sistema que prestas. Se valoran cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cada una recibe un nivel bajo, medio o alto. La categoría es la del nivel más alto. Para saber qué categoría te corresponde, sigue estos pasos:

1. Define el sistema: el servicio concreto que prestas a la Administración y los equipos, aplicaciones y personas que lo soportan.
2. Valora cada dimensión: piensa qué pasaría si los datos se filtraran, se alteraran o dejaran de estar disponibles.
3. Asigna un nivel a cada una: bajo si el perjuicio sería limitado, medio si sería grave y alto si sería muy grave.
4. Toma el nivel más alto: esa es la categoría del sistema. Basta con una dimensión en nivel medio para que la categoría sea media.
5. Revísalo cada año: y siempre que cambie el servicio, los datos que tratas o el cliente.

Lo habitual es que la propia Administración indique en el pliego la categoría que exige. Si no lo hace, la valoración la haces tú junto con el responsable del servicio en la entidad pública.

¿Qué implica cada categoría?

Las tres categorías comparten la misma lógica: hay que aplicar las medidas del anexo II del real decreto que correspondan a tu nivel. Lo que cambia es el número y la exigencia de esas medidas y, sobre todo, la forma de demostrar que cumples, como resume esta tabla.

En la categoría básica también puedes optar por certificarte de forma voluntaria. Muchas empresas lo hacen porque un certificado pesa más que una declaración ante el cliente. Además, la auditoría extraordinaria es obligatoria cuando el sistema cambia de forma sustancial, y reinicia el plazo de dos años.

¿Qué tendrás que hacer si vas a necesitar el ENS?

El trabajo sigue siempre el mismo orden: definir el alcance, valorar la categoría, analizar los riesgos, aplicar las medidas que faltan y demostrarlo. Una pyme que parte de cero suele necesitar varios meses. Por eso conviene empezar antes de que llegue la licitación que te interesa.

Entre las medidas están la política de seguridad y los roles de responsable de la información, del servicio, de la seguridad y del sistema. También el control de accesos, las copias de seguridad y la gestión de incidentes. En nuestra página sobre el Esquema Nacional de Seguridad te explicamos cómo te acompañamos en cada paso, desde el primer análisis hasta la certificación.

¿Cómo puede ayudarte Apen si vas a necesitar el ENS?

En Apen revisamos el pliego o el contrato, delimitamos el sistema afectado y te decimos qué categoría te corresponde. Después te damos un plan con las medidas que te faltan, ordenadas por prioridad, y te acompañamos hasta la declaración o la auditoría de certificación.

Llevamos más de 35 años trabajando con pymes del Vallès y de Barcelona, muchas de ellas proveedoras de ayuntamientos y de otras administraciones. Llámanos al 938 606 220 o pide tu diagnóstico gratuito, y sabrás en pocos días cuánto te falta para cumplir.

Preguntas frecuentes

¿Todas las empresas que trabajan para la Administración van a necesitar el ENS?

No. Solo las que prestan servicios o soluciones que usan los sistemas de la Administración o dependen de ellos, y siempre que el pliego lo exija. Un proveedor de material de oficina, por ejemplo, no lo necesita.

¿Qué diferencia hay entre la declaración y la certificación del ENS?

La declaración la emite la propia empresa tras una autoevaluación y solo vale para la categoría básica. La certificación la emite una entidad acreditada tras una auditoría y es obligatoria en las categorías media y alta.

¿Cada cuánto hay que renovar la certificación?

Hay que pasar una auditoría ordinaria al menos cada dos años, y una extraordinaria si el sistema cambia de forma sustancial.

¿Me sirve la ISO 27001 para el ENS?

Ayuda mucho, porque muchas medidas coinciden, pero no lo sustituye. El ENS tiene requisitos propios, como sus roles, sus categorías y su forma de acreditarse ante la Administración.

¿Afecta el ENS a mis subcontratistas?

Puede afectarles. Si el análisis de riesgos lo indica, la exigencia de conformidad se extiende también a la cadena de suministro del adjudicatario.

¿Cuánto se tarda en conseguirlo?

Depende de la categoría y de tu punto de partida. Una declaración básica puede estar lista en pocas semanas, mientras que una certificación media suele llevar varios meses.