Si treballes per a l'Administració necessitaràs l'ENS: quina categoria et toca i què implica

L'Esquema Nacional de Seguretat (ENS) és la norma que fixa com han de protegir la informació els sistemes del sector públic espanyol. Si la teva empresa presta serveis a una administració i aquests serveis usen els seus sistemes o en depenen, necessitaràs l'ENS. El que canvia duna empresa a una altra és la categoria: bàsica, mitjana o alta.

Moltes pimes ho descobreixen en llegir un plec de contractació, quan falta poc per presentar l?oferta. En aquest article us expliquem quan s'exigeix, com saber quina categoria et toca i què hauràs de fer. Així et podràs preparar amb temps.

Per què una empresa privada pot necessitar l'ENS?

Una empresa privada ha de complir l'ENS quan presta serveis o solucions a una entitat del sector públic. En concret, quan aquests serveis usen els sistemes de l'Administració o en depenen. Passa amb el programari de gestió, l'allotjament al núvol, el manteniment informàtic o la gestió d'expedients, entre molts altres casos.

El regula el Reial Decret 311/2022, de 3 de maig, publicat al BOE el 4 de maig de 2022. El seu article 2 obliga l'Administració a incloure als plecs la conformitat amb l'ENS quan el contracte ho requereixi. A més, si l'anàlisi de riscos ho indica, aquesta exigència arriba també a la cadena de subministrament de l'adjudicatari.

Quan necessitaràs l'ENS en un contracte públic?

T'ho demanaran quan el plec ho digui de manera expressa. L'Administració pot exigir-ho de tres maneres diferents: com a requisit de solvència, com a criteri que suma punts o com a condició que es comprova durant l'execució del contracte. Per això convé llegir amb atenció com apareix a cada licitació.

La diferència és important. Si és requisit de solvència, ho has d'acreditar amb l'oferta i, si no ho fas, quedes fora de la licitació. El Tribunal Administratiu Central de Recursos Contractuals ho ha recordat en resolucions de juny del 2024 i octubre del 2025: només és requisit de solvència si el plec ho recull així de forma expressa.

Quina categoria et toca?

La categoria depèn del dany que causaria un incident al sistema que prestes. Es valoren cinc dimensions: disponibilitat, autenticitat, integritat, confidencialitat i traçabilitat. Cadascuna rep un nivell baix, mitjà o alt. La categoria és la del nivell més alt. Per saber quina categoria et correspon, segueix aquests passos:

1. Defineix el sistema: el servei concret que prestes a lAdministració i els equips, aplicacions i persones que el suporten.
2. Valora cada dimensió: pensa què passaria si les dades es filtressin, s'alteressin o deixessin d'estar disponibles.
3. Assigna un nivell a cadascuna: sota si el perjudici seria limitat, mitjà si seria greu i alt si seria molt greu.
4. Pren el nivell més alt: aquesta és la categoria del sistema. Només cal una dimensió a nivell mitjà perquè la categoria sigui mitjana.
5. Revisa'l cada any: i sempre que canviï el servei, les dades que tractes o el client.

L'habitual és que la mateixa Administració indiqui al plec la categoria que exigeix. Si no ho fa, la valoració la fas tu juntament amb el responsable del servei a l'entitat pública.

Què implica cada categoria?

Les tres categories comparteixen la mateixa lògica: cal aplicar les mesures de lannex II del Reial decret que corresponguin al teu nivell. El que canvia és el nombre i l'exigència d'aquestes mesures i, sobretot, la manera de demostrar que compleixes, com resumeix aquesta taula.

A la categoria bàsica també pots optar per certificar-te de forma voluntària. Moltes empreses ho fan perquè un certificat pesa més que una declaració davant del client. A més, l'auditoria extraordinària és obligatòria quan el sistema canvia de manera substancial i reinicia el termini de dos anys.

Què hauràs de fer si necessitaràs l'ENS?

El treball segueix sempre el mateix ordre: definir l'abast, valorar la categoria, analitzar-ne els riscos, aplicar les mesures que falten i demostrar-ho. Una pime que parteix de zero sol necessitar diversos mesos. Per això cal començar abans que arribi la licitació que t'interessa.

Entre les mesures hi ha la política de seguretat i els rols de responsable de la informació, del servei, de la seguretat i del sistema. També el control daccessos, les còpies de seguretat i la gestió dincidents. A la nostra pàgina sobre el Esquema Nacional de Seguretat t'expliquem com t'acompanyem a cada pas, des de la primera anàlisi fins a la certificació.

Com et pot ajudar Apen si necessitaràs l'ENS?

A Apen revisem el plec o el contracte, delimitem el sistema afectat i et diem quina categoria et correspon. Després us donem un pla amb les mesures que us falten, ordenades per prioritat, i us acompanyem fins a la declaració o l'auditoria de certificació.

Fa més de 35 anys que treballem amb pimes del Vallès i de Barcelona, moltes d'elles proveïdores d'ajuntaments i d'altres administracions. Truca'ns al 938 606 220 o demana el teu diagnòstic gratuït, i sabràs en pocs dies quant et falta per complir.

Preguntes freqüents

Totes les empreses que treballen per a l'Administració necessitaran l'ENS?

No. Només les que presten serveis o solucions que usen els sistemes de l'Administració o en depenen, i sempre que el plec ho exigeixi. Un proveïdor de material doficina, per exemple, no ho necessita.

Quina diferència hi ha entre la declaració i la certificació de l'ENS?

La declaració l'emet la mateixa empresa després d'una autoavaluació i només s'hi val per a la categoria bàsica. La certificació l'emet una entitat acreditada després d'una auditoria i és obligatòria a les categories mitjana i alta.

Cada quant cal renovar la certificació?

Cal passar una auditoria ordinària almenys cada dos anys, i una extraordinària si el sistema canvia de manera substancial.

Em serveix la ISO 27001 per a l'ENS?

Ajuda molt, perquè moltes mesures coincideixen, però no ho substitueix. L'ENS té requisits propis, com els rols, les categories i la forma d'acreditar-se davant l'Administració.

Afecta l'ENS als meus subcontractistes?

Els pot afectar. Si l'anàlisi de riscos ho indica, l'exigència de conformitat també s'estén a la cadena de subministrament de l'adjudicatari.

Quant es triga a aconseguir-ho?

Depèn de la categoria i del teu punt de partida. Una declaració bàsica pot estar llesta en poques setmanes, mentre que una certificació mitjana sol portar diversos mesos.