Esquema Nacional de Seguridad: cuándo se lo exigen a una pyme

Una pyme se entera del Esquema Nacional de Seguridad casi siempre de la misma forma: gana un concurso público, o va a renovar un contrato con un ayuntamiento, y en el pliego aparece una exigencia que nadie esperaba. A partir de ahí toca entender qué piden exactamente, porque la diferencia entre «declaración» y «certificación» son meses y miles de euros.

Qué es el ENS

Es el marco de seguridad obligatorio para el sector público español, regulado por el Real Decreto 311/2022. Establece principios, requisitos mínimos y un catálogo de medidas de seguridad organizadas por categorías.

Lo importante para ti: alcanza también a los proveedores privados que prestan servicios a entidades públicas cuando esos servicios afectan a sistemas del ámbito del Esquema. No porque seas una empresa privada estás fuera: lo que decide es si tu servicio entra en el sistema de información del organismo.

Las tres categorías

Esa tabla es la primera pregunta que debes hacerle al organismo: ¿qué categoría exige el pliego? Si es básica, el esfuerzo es asumible internamente. Si es media o alta, hay auditoría externa de por medio y hay que planificarla con meses.

Qué te van a pedir en la práctica

El catálogo tiene decenas de medidas agrupadas en marco organizativo, operacional y medidas de protección. Traducido a lo que de verdad tendrás que enseñar:

• Política de seguridad aprobada por la dirección, con responsables nombrados.
• Análisis de riesgos documentado y actualizado.
• Inventario de activos: qué sistemas, qué datos, quién los usa.
• Control de accesos con el principio de mínimo privilegio: roles ajustados y gestión de credenciales.
• Gestión de incidentes: procedimiento escrito y registro. Te sirve el plan de respuesta como punto de partida.
• Copias de seguridad con restauración probada: qué deben incluir.
• Registro de actividad: trazas de acceso conservadas y revisables (por qué importan los logs).
• Gestión de cambios y actualizaciones: política de actualizaciones.
• Formación y concienciación del personal.
• Control de la cadena de suministro: tus propios proveedores también cuentan.

Por dónde empezar si te lo acaban de pedir

1. Pregunta el alcance por escrito: qué servicio concreto está afectado, qué categoría y qué forma de acreditación aceptan. No des por supuesto lo peor ni lo mejor.
2. Delimita el alcance al servicio, no a toda tu empresa. Certificar «la organización entera» cuando solo prestas un servicio concreto multiplica el trabajo sin necesidad.
3. Haz un análisis de diferencias: qué medidas ya cumples de hecho aunque no estén documentadas. Suele ser más de lo que crees; el problema habitual es la falta de papel, no de práctica.
4. Documenta lo que ya haces. En el ENS, lo que no está escrito no existe.
5. Planifica plazos reales. Categoría básica, unas semanas de trabajo interno. Media o alta, meses y auditoría externa.

Errores frecuentes

• Confundir ENS con protección de datos. Son marcos distintos, con obligaciones distintas, aunque compartan medidas.
• Confundirlo con NIS2. También son cosas distintas: NIS2 depende del sector y del tamaño, y la tienes explicada en NIS2 en España: a quién obliga. Se pueden solapar y hay que mirar las dos.
• Comprar una certificación sin cambiar nada. La auditoría verifica evidencias; el papel sin práctica se cae.
• Olvidar a tus proveedores. Si tu servicio se apoya en un hosting o en una agencia, entran en el alcance: el efecto cadena de suministro.

¿Merece la pena si no te lo exigen?

Como certificación, solo si vas a trabajar con el sector público. Como guía de medidas, el catálogo del ENS es una de las mejores listas de comprobación gratuitas que existen en español: puedes usarlo para ordenar tu seguridad aunque nunca lo certifiques.

El texto consolidado del Real Decreto y las guías CCN-STIC que lo desarrollan están publicados por el Centro Criptológico Nacional. Empieza por la guía de la categoría que te pidan, no por el catálogo completo.