Nosotros no somos Administración pública, solo le vendemos software. ¿De verdad nos aplica el ENS?
Sí, y esta es probablemente la confusión que más contratos cuesta. El artículo 2.3 del Real Decreto 311/2022 extiende la aplicación a los sistemas de información de las entidades del sector privado cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público para el ejercicio de sus competencias. No hay excepción por tamaño: si tu SaaS lo usa un ayuntamiento para gestionar un padrón, tu sistema entra en el ámbito. Lo que sí varía es el alcance, que se limita a los sistemas que soportan ese servicio, y la categoría, que depende del impacto. Por eso el primer trabajo serio de un proyecto de ENS no es documentar nada, es delimitar bien qué parte de tu infraestructura queda dentro: hacerlo mal por exceso te condena a auditar de por vida sistemas que no hacía falta meter.
Me han pasado dos presupuestos con una diferencia enorme de precio para lo mismo. ¿Qué me estoy perdiendo?
Casi siempre, tres cosas: la categoría que ha asumido cada uno, si incluyen o no la implantación técnica, y si la auditoría de certificación va aparte. Un proyecto presupuestado sobre categoría básica y otro sobre media no son comparables aunque el título del servicio sea idéntico, porque cambian las medidas, los refuerzos y hasta la forma de acreditar el cumplimiento. Después está la trampa habitual: hay ofertas que solo cubren la consultoría documental y te dejan a ti el bastionado, la configuración del registro de actividad y la recogida de evidencias, que es donde está el trabajo de verdad. Y por último, la auditoría de certificación la hace siempre una entidad acreditada independiente y se factura aparte; quien te la incluya en el mismo precio o está estimándola o no ha entendido el proceso. Pide a los dos que escriban categoría, alcance en número de sistemas y qué parte de la implantación técnica asumen, y verás cómo la diferencia se explica sola.
¿Cuánto se tarda realmente en certificarse, contando con que mi equipo tiene otras cosas que hacer?
Para una organización pequeña con la infraestructura razonablemente ordenada, entre cuatro y ocho meses hasta la auditoría de certificación es un plazo realista. Lo que dilata los proyectos casi nunca es la parte de consultoría: es la implantación técnica que depende de tu equipo o de tu proveedor de sistemas, y las decisiones de dirección que se quedan encalladas. El análisis de riesgos y la documentación los sacamos nosotros; que alguien active el registro de actividad en un servidor, revise quién tiene permisos de administrador o firme la política de seguridad depende de vosotros. Por eso en la fase de planificación fijamos responsables con nombre y fechas, y por eso el diagnóstico inicial es tan importante: si tu punto de partida es un dominio sin doble factor y sin copias probadas, el proyecto no es de cuatro meses por mucho que el comercial diga lo contrario.
Si me certifico, ¿ya está? ¿O esto es una cuota anual disfrazada?
Ni una cosa ni la otra. El ENS no es un sello que se cuelga y se olvida: el artículo 31 obliga a una auditoría regular ordinaria al menos cada dos años, y a una extraordinaria siempre que haya modificaciones sustanciales en el sistema que puedan repercutir en las medidas de seguridad. Entre medias hay que mantener vivo lo que se implantó: revisar el análisis de riesgos cuando cambia algo relevante, seguir generando las evidencias, reunir el comité y gestionar los incidentes según el procedimiento. Dicho esto, el esfuerzo del segundo ciclo es una fracción del primero, porque lo caro es construir el sistema, no mantenerlo. Lo que sí te garantiza gastar dos veces es dejarlo morir después del certificado y tener que reconstruirlo a la carrera cuando llegue la siguiente auditoría.
Ya tenemos la ISO 27001. ¿Nos sirve de algo para el ENS o empezamos de cero?
Te sirve, y bastante, pero no te certifica. Los dos marcos comparten la lógica de fondo (análisis de riesgos, selección de controles justificada, evidencias, auditoría) y buena parte de los controles técnicos y organizativos se solapan, así que si tienes un SGSI vivo llegas con el terreno preparado. Ahora bien, el ENS tiene exigencias propias que la ISO no cubre: los roles obligatorios del real decreto, la categorización por las cinco dimensiones, la declaración de aplicabilidad con la estructura del Anexo II y los refuerzos por categoría. En la práctica, un cliente con ISO 27001 al día suele necesitar entre un tercio y la mitad del esfuerzo de uno que parte de cero, y el trabajo consiste sobre todo en traducir lo que ya tiene al lenguaje y a la estructura que el auditor del ENS espera encontrar.
¿Podéis certificarnos vosotros mismos y nos ahorramos un intermediario?
No, y desconfía de quien te diga que sí. La certificación de conformidad con el ENS la emite una entidad de certificación acreditada por ENAC, que por definición tiene que ser independiente de quien ha implantado el sistema. Nosotros hacemos la consultoría, la implantación, la auditoría interna previa y el acompañamiento durante la auditoría oficial, pero el certificado lo firma un tercero. Esa separación no es burocracia: es exactamente lo que hace que el certificado valga algo delante de tu cliente público. Si alguien te ofrece implantar y certificar a la vez, o no está acreditado o te está vendiendo un documento que no te va a servir en la licitación, que es justo para lo que lo necesitas.
Fabricamos equipos de telecontrol con una plataforma web de gestión y un ayuntamiento nos pide el «certificado ENS del producto». ¿Qué certifico: el equipo, la plataforma o nada?
No se certifica el equipo: el ENS certifica sistemas de información que prestan un servicio, así que lo que debes certificar es la plataforma web de gestión que usa el ayuntamiento, con los equipos dentro del alcance como parte de ese sistema. El artículo 2.3 del Real Decreto 311/2022 aplica el ENS a los sistemas de las empresas privadas que prestan servicios al sector público; un producto suelto no tiene «certificado ENS». Si el pliego busca en realidad un producto de seguridad cualificado, eso es otra cosa: el catálogo CPSTIC del CCN, con evaluación en laboratorio, otros plazos y otros costes. El error que más se repite es auditar un alcance que describe la empresa entera («diseño y fabricación de equipos») en vez del servicio («plataforma de telecontrol prestada a entidades públicas»), y que luego el ayuntamiento no lo acepte. Antes de pedir presupuesto, pregunta por escrito qué categoría espera: si es básica, basta una declaración de conformidad; si es media o alta, auditoría de certificación por una entidad acreditada. Y como fabricante, recuerda que desde el 11 de septiembre de 2026 ya te aplican las obligaciones de notificación del Reglamento de Ciberresiliencia (CRA).
Soy el único informático de una pyme de 30 personas. Si el responsable de seguridad no puede ser el mismo que el del sistema, ¿tenemos que contratar a alguien o puedo asumir los dos roles con algún control?
Puedes asumir los dos roles sin contratar a nadie, siempre que la falta de recursos esté justificada por escrito y apliques medidas compensatorias: el artículo 13 del ENS lo prevé expresamente. Lo que no vale es nombrarte responsable de seguridad y del sistema sin más, porque entonces nadie revisa lo que haces. Las medidas que suelen aceptar los auditores: la política de seguridad recoge la excepción y la aprueba la dirección; los cambios críticos (permisos de administrador, reglas del cortafuegos, borrado de copias) quedan registrados; y alguien externo revisa esos registros y tus decisiones cada trimestre. La otra salida, cada vez más habitual, es externalizar el rol de responsable de seguridad en un
CISO externo y quedarte tú como responsable del sistema, que es lo que de verdad haces cada día. En una pyme de 30 personas, ese rol no necesita jornada completa: con 10 a 15 horas al mes bien usadas da para el análisis de riesgos, la revisión de incidentes y el comité. Lo que genera no conformidades es presentar la excepción sin ninguna evidencia de revisión independiente.
Redactamos proyectos para la Administración y nuestro informático externo entra en remoto a los servidores. Si nos certificamos en ENS, ¿tiene que estar certificado él? ¿Qué le exijo?
No, tu informático externo no necesita estar certificado en ENS: lo que tienes que hacer es exigirle por contrato las medidas que afectan a su trabajo y poder demostrar que las cumple. Su acceso remoto forma parte de tu sistema y entra en tu auditoría, así que si falla, la no conformidad es tuya. Lo que yo le pediría por escrito: cuenta nominativa, nunca compartida ni el «administrador» genérico; doble factor en la VPN o la herramienta remota; acceso solo cuando haga falta, con un registro de conexiones que tú puedas consultar; confidencialidad; aviso de incidentes en un plazo fijado; y una persona de contacto para seguridad. Si además aloja tus servidores o te presta un servicio en la nube, ahí sí pídele la certificación ENS de ese servicio, en categoría igual o superior a la tuya. El fallo más común en auditoría no es técnico: es que no hay contrato, o el que hay solo habla de horas y precio. Se arregla con un
anexo de seguridad de dos páginas, y es lo mismo que yo exijo cuando redacto requisitos de ciberseguridad para los pliegos de grandes empresas.
La licitación cierra en tres semanas y todavía no tenemos el certificado. ¿Puedo presentarme y certificarme mientras tanto, o me excluyen?
Depende de cómo configure el pliego el ENS, pero en tres semanas no da tiempo a certificarse en ningún caso. Si el pliego lo exige como requisito de solvencia o de habilitación, hay que acreditarlo al presentar la oferta y, si no lo tienes, quedas excluido (así lo han resuelto, por ejemplo, el tribunal andaluz de contratación en su resolución 451/2025 y el de Madrid en la 190/2023). Si lo configura como condición de ejecución, solo se exige al propuesto como adjudicatario, que tiene 10 días hábiles para aportar la documentación (artículo 150.2 de la LCSP; TACRC 743/2024). Lee con lupa la cláusula, pregunta al órgano de contratación si tienes dudas y, si no llegas, valora presentarte con un colaborador certificado. Para la próxima licitación, empieza la adecuación antes de que salga el pliego.
Certificamos el ENS para nuestra plataforma de gestión. Ahora sale un pliego de soporte y mantenimiento. Estamos certificados, ¿no? ¿Nos vale?
No necesariamente. El ENS no certifica a la empresa, como la ISO 9001, sino sistemas y servicios concretos: el certificado identifica la categoría y la relación de sistemas y servicios incluidos en su alcance, según la Instrucción Técnica de Seguridad de conformidad. Si el soporte y mantenimiento que pide el pliego no está dentro de ese alcance, tu certificado no lo acredita, y los tribunales de contratación exigen que el alcance se corresponda con el objeto del contrato (TACRC 357/2022). Antes de presentarte, compara el objeto del contrato con el alcance de tu certificado. Si no coinciden, toca ampliar el alcance en una auditoría extraordinaria, que suele ser bastante más rápida que una certificación desde cero.
Nuestro SaaS está en un VPS de un hosting barato (o en AWS). ¿Eso afecta a la certificación? Si AWS tiene el ENS, ¿ya lo tenemos nosotros?
Sí afecta, y no, no lo heredas. La medida op.nub.1 del ENS regula el uso de servicios en la nube de terceros y se aplica desde la categoría BÁSICA; en MEDIA exige además que esos servicios estén certificados en el ENS, y en ALTA, también que se configuren según las guías CCN-STIC. Si tu SaaS de categoría media está en un hosting sin certificación ENS, incumples la medida y tendrás que migrar antes de la auditoría. Y si usas AWS u otro proveedor certificado, su certificado solo cubre sus capas (infraestructura, red, centro de datos): la configuración, los accesos, las copias y tu aplicación siguen siendo responsabilidad tuya y entran en tu auditoría. Revisa el certificado del proveedor y su alcance antes de decidir dónde alojar.
Tenemos 30 ayuntamientos en la misma plataforma. Si uno nos pide MEDIA y el resto BÁSICA, ¿certificamos por separado?
Si es la misma plataforma, normalmente no puedes certificarla a dos niveles: un sistema compartido se categoriza según el mayor nivel de las informaciones y los servicios que maneja (Anexo I del RD 311/2022). Basta con que un organismo valore su información en nivel MEDIO para que todo el sistema suba a categoría MEDIA, con más medidas y refuerzos para todos tus clientes. Hay dos salidas: asumir la categoría MEDIA para toda la plataforma, que además te abre la puerta a más licitaciones, o separar técnicamente un entorno o una instancia para los clientes que la exigen y certificarlo aparte. Compara el coste de ambas opciones antes de decidir: muchas veces subir toda la plataforma sale más rentable que mantener dos.
No nos da tiempo a certificarnos. ¿Podemos presentarnos con el certificado ENS de nuestro socio, de un subcontratista o del proveedor cloud? ¿Y si vamos en UTE?
En algunos casos, sí. Varios tribunales de contratación (TACRC 1616/2022 y 357/2022, y el tribunal catalán en su resolución 8/2024) han admitido acreditar el ENS con el certificado de un colaborador o subcontratista declarado en la oferta, siempre que su alcance cubra el servicio contratado y sea él quien lo preste. Funciona sobre todo cuando el pliego configura el ENS como condición de ejecución. Si lo configura como requisito de habilitación, la cosa cambia y, en una UTE, cada miembro tendría que tenerlo. Lee la cláusula exacta, declara al colaborador en la oferta con su certificado y su alcance y, si hay dudas, pregunta al órgano de contratación en el plazo de aclaraciones. Es una solución puente, no un sustituto de certificarte.
El adjudicatario nos subcontrata una parte y ahora nos pide el ENS. Nosotros no firmamos nada con la Administración. ¿Es obligatorio o se lo están inventando?
No se lo están inventando. El artículo 2.3 del RD 311/2022 extiende el ENS a la cadena de suministro de los contratistas, en la medida en que lo justifique su análisis de riesgos, y el artículo 202.4 de la LCSP traslada a los subcontratistas las condiciones especiales de ejecución del contrato. Si tu parte del servicio toca los sistemas o la información de la Administración, el adjudicatario tiene que exigirte el cumplimiento y, sin la declaración o el certificado correspondiente, puede no dejarte ejecutar tu parte. Pide por escrito qué categoría y qué alcance te exigen exactamente: a menudo basta una declaración de conformidad de categoría BÁSICA, bastante más asequible que una certificación.
Si el auditor nos saca no conformidades pero aun así nos certifican, ¿el ayuntamiento se va a enterar? ¿Puede pedirme el informe?
Sí puede. La Instrucción Técnica de Seguridad de conformidad con el ENS establece que las entidades públicas pueden solicitar en cualquier momento a sus proveedores los informes de autoevaluación o de auditoría, y esos informes recogen las no conformidades detectadas y su tratamiento. Un certificado con no conformidades menores abiertas no te invalida, pero un cliente público que lea el informe verá tus puntos débiles y puede tenerlo en cuenta al renovar el contrato. La mejor defensa es un plan de acciones correctivas con fechas y responsables, y llegar a la siguiente auditoría con todo cerrado. Trata el informe como un documento que puede leer tu cliente, porque puede hacerlo.
Tenemos el ENS, pero parte del soporte se hace desde fuera de la UE y usamos un proveedor americano. Llevamos el padrón o los tributos de varios ayuntamientos. ¿Hay algún problema?
Sí, y el certificado ENS no lo resuelve. El artículo 46 bis de la Ley 40/2015 obliga a que los sistemas de información y comunicaciones del censo electoral, los padrones municipales, los datos tributarios y los del Sistema Nacional de Salud se ubiquen y presten dentro de la Unión Europea, y no permite transferir esos datos a terceros países salvo excepciones muy concretas. Eso alcanza también al soporte remoto con acceso a los datos desde fuera de la UE. Revisa dónde están los servidores, desde dónde acceden tus técnicos y los de tus proveedores, y qué dicen sus contratos. Si hay accesos a esos datos desde fuera de la UE, cámbialos antes de que lo detecte el ayuntamiento.
He leído que hay un ENS «reducido» de 38 medidas para organizaciones pequeñas. ¿Me vale para el pliego y me ahorro la mitad?
Solo si el pliego pide categoría BÁSICA. Es el perfil de cumplimiento de Requisitos Fundamentales de Seguridad (guía CCN-STIC 890, actualizada en julio de 2025): reduce el trabajo a 38 medidas, pero únicamente sirve para sistemas de categoría BÁSICA. Si el pliego exige MEDIA o ALTA, no te vale y tendrías que volver a empezar con el perfil completo. Antes de decidir, confirma qué categoría pide el contrato y si el órgano de contratación acepta ese perfil. Para una pyme que solo trabaja en categoría básica puede ser una vía rápida y legítima; para quien aspira a licitar en categoría media, suele ser un atajo que acaba costando más.
La certificadora más barata está «en proceso de acreditación». Y un proveedor nos ha enseñado un certificado ENS de 2021. ¿Cómo sé si un certificado vale de verdad?
Comprueba tres cosas. Primero, quién lo emite: tiene que ser una entidad acreditada por ENAC para certificar el ENS; las que están en proceso de acreditación pueden certificar durante un plazo limitado desde su solicitud, pero si no la obtienen, dejan de poder hacerlo. Segundo, con qué norma: los certificados emitidos conforme al antiguo RD 3/2010 dejaron de ser válidos en mayo de 2024, así que uno de 2021 no vale salvo que se haya renovado con el RD 311/2022. Tercero, que la entidad figure en el listado oficial que publica el CCN en ens.ccn.cni.es. Si algo no cuadra, pide la renovación antes de contar con ese proveedor.
