Mes: octubre 2026

Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS · Actualizado en octubre de 2026

La auditoría del Esquema Nacional de Seguridad comprueba que tu sistema cumple los requisitos del Real Decreto 311/2022 para su categoría. Prepararla bien marca la diferencia entre una auditoría tranquila y una lista larga de no conformidades.

1. Documentación que el auditor va a pedir

• Política de seguridad aprobada por la dirección, con la organización de la seguridad y los roles: responsable de la información, del servicio, de la seguridad y del sistema.
• Informe de categorización del sistema (BÁSICA, MEDIA o ALTA).
• Análisis de riesgos actualizado. Muchas organizaciones usan la herramienta PILAR del CCN.
• Declaración de Aplicabilidad con las medidas del Anexo II que aplican y la justificación de las excluidas.
• Normativa y procedimientos de seguridad: uso de recursos, gestión de incidentes, copias de seguridad, control de accesos, gestión de cambios, etc.
• Plan de mejora de la seguridad.

2. Evidencias de que las medidas funcionan

No basta con tener documentos: el auditor pide pruebas. Por ejemplo, registros de altas y bajas de usuarios, informes de copias de seguridad y pruebas de restauración, registros de formación del personal, gestión de incidentes, revisiones de accesos y contratos con proveedores que incluyan requisitos de seguridad.

3. Auditoría interna previa

Antes de la auditoría de certificación conviene hacer una auditoría interna con el mismo criterio. Permite detectar y corregir carencias sin presión.

4. Durante la auditoría

• Ten localizadas las evidencias y a las personas responsables de cada área.
• Responde con hechos y muestra registros; no improvises procedimientos.
• Anota las observaciones del auditor para el plan de mejora.

5. Después: no conformidades y plan de acciones correctivas

Si el informe recoge no conformidades, tendrás que presentar un plan de acciones correctivas que las resuelva en plazo. Superado el proceso, la entidad certificadora emite el certificado, que deberá renovarse con una nueva auditoría al menos cada dos años.

Errores más frecuentes

• Política de seguridad sin aprobar formalmente o desactualizada.
• Análisis de riesgos genérico, que no refleja el sistema real.
• Procedimientos escritos que nadie aplica.
• Copias de seguridad sin pruebas de restauración documentadas.
• Proveedores sin requisitos de seguridad en el contrato.

En Futuro Web preparamos tu sistema con criterio de Auditor Jefe ENS. Más información en adecuación y auditoría ENS y en qué empresas deben cumplir el ENS.

Preguntas frecuentes

¿Cuánto dura una auditoría ENS?

Depende del tamaño y la categoría del sistema. En una pyme suele durar de uno a varios días entre revisión documental y entrevistas.

¿Cada cuánto hay que repetir la auditoría ENS?

Al menos cada dos años en los sistemas de categoría MEDIA y ALTA, y también cuando hay cambios sustanciales en el sistema.

¿Necesitas ayuda? En Futuro Web te acompañamos desde Valladolid para toda España. Contacta con nosotros.

Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS · Actualizado en octubre de 2026

La mayoría de ciberataques a pequeñas empresas no son sofisticados: aprovechan contraseñas débiles, equipos sin actualizar o un empleado que abre un correo trampa. Estas diez medidas evitan la mayor parte de los incidentes.

Las 10 medidas

1. Copias de seguridad automáticas y probadas. Sigue la regla 3-2-1 y guarda al menos una copia aislada para que el ransomware no pueda cifrarla. Comprueba periódicamente que puedes restaurarlas.
2. Actualizaciones al día. Sistemas operativos, aplicaciones, routers y plugins de la web. La mayoría de ataques explotan fallos ya corregidos.
3. Doble factor de autenticación (MFA) en el correo, la banca, Microsoft 365 o Google Workspace y cualquier acceso remoto.
4. Contraseñas únicas y un gestor de contraseñas para no reutilizarlas.
5. Formación del personal para reconocer el phishing y los fraudes del tipo «cambio de cuenta bancaria» o «falso directivo».
6. Antivirus o EDR gestionado en todos los equipos.
7. Cortafuegos y wifi segura, con una red separada para invitados.
8. Mínimos privilegios: cada usuario accede solo a lo que necesita y nadie trabaja con cuentas de administrador en el día a día.
9. Cifrado de portátiles y móviles, para que un robo no se convierta en una fuga de datos.
10. Plan de respuesta ante incidentes: saber a quién llamar y qué hacer. En España puedes contactar con la línea 017 de INCIBE para consultas de ciberseguridad.

¿Por dónde empiezo?

Si solo puedes hacer tres cosas esta semana: comprueba que tus copias de seguridad funcionan, activa el doble factor en el correo y aplica las actualizaciones pendientes.

Para un análisis completo, solicita una auditoría de ciberseguridad. También te pueden interesar nuestros servicios de copias de seguridad, mantenimiento y formación.

Preguntas frecuentes

¿Una pyme pequeña es objetivo de ciberataques?

Sí. Muchos ataques son automáticos y buscan cualquier sistema vulnerable, sin importar el tamaño de la empresa. Las pymes suelen tener menos defensas, lo que las convierte en objetivos fáciles.

¿Cuál es la medida más importante?

Las copias de seguridad aisladas y probadas: si todo lo demás falla, son las que permiten recuperar la actividad.

¿Necesitas ayuda? En Futuro Web te acompañamos desde Valladolid para toda España. Contacta con nosotros.

Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS · Actualizado en octubre de 2026

Son las dos referencias principales en seguridad de la información en España y comparten gran parte de su enfoque, pero no son lo mismo. Esta guía te ayuda a decidir cuál necesitas.

Respuesta corta

• Si trabajas para la administración pública o eres una entidad pública, necesitas el ENS.
• Si tus clientes son empresas privadas o internacionales y quieres demostrar que gestionas bien la seguridad, la referencia es la ISO 27001.
• Si haces las dos cosas, lo más eficiente es implantar ambas a la vez.

Comparativa

¿Se pueden implantar juntas?

Sí, y es lo recomendable cuando necesitas las dos. Ambas se basan en el análisis de riesgos, la política de seguridad y un conjunto de controles que se solapan en gran medida. Un único proyecto bien planteado evita duplicar documentación y auditorías internas.

¿Y NIS2?

La directiva europea NIS2 exige medidas de gestión de riesgos muy parecidas. Tener el ENS o la ISO 27001 adelanta buena parte del trabajo. Consulta la situación actual en nuestra página sobre NIS2.

Más información: adecuación y auditoría ENS y consultoría ISO 27001.

Preguntas frecuentes

¿Tener la ISO 27001 me sirve para trabajar con la administración?

No sustituye al ENS cuando el pliego lo exige, pero facilita mucho la adecuación porque gran parte de los controles coinciden.

¿Qué es más difícil de conseguir, el ENS o la ISO 27001?

Depende de la categoría ENS y del alcance. Un ENS de categoría BÁSICA suele ser más sencillo; un ENS MEDIA o ALTA tiene un nivel de exigencia comparable o superior al de la ISO 27001.

¿Necesitas ayuda? En Futuro Web te acompañamos desde Valladolid para toda España. Contacta con nosotros.

Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS · Actualizado en octubre de 2026

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, establece los requisitos de seguridad que deben cumplir los sistemas de información del sector público español. Pero no afecta solo a las administraciones: también alcanza a muchas empresas privadas.

Respuesta corta

Deben cumplir el ENS:

• Todo el sector público: Administración General del Estado, comunidades autónomas, entidades locales (ayuntamientos, diputaciones), universidades públicas y el resto de entidades de su sector público.
• Las empresas privadas que prestan servicios o proveen soluciones al sector público, cuando esos servicios forman parte del ejercicio de las competencias de la administración. En la práctica, el ENS les llega por contrato y por los pliegos de licitación.

¿Qué empresas privadas suelen estar afectadas?

• Proveedores de software y aplicaciones para administraciones.
• Servicios en la nube, alojamiento y centros de datos.
• Empresas de mantenimiento, soporte y gestión de sistemas para entidades públicas.
• Empresas que gestionan servicios públicos con apoyo tecnológico (por ejemplo, gestión de tributos, padrón, sanidad o educación).
• Consultoras y empresas de servicios que tratan información de la administración.

Si tu empresa se presenta a licitaciones públicas de servicios tecnológicos, es muy probable que el pliego te pida la certificación ENS o la declaración de conformidad.

¿Cómo se demuestra que cumples el ENS?

Depende de la categoría del sistema, que se determina valorando el impacto que tendría un incidente sobre la información y los servicios:

• Categoría BÁSICA: basta con una autoevaluación y una declaración de conformidad, aunque también puede certificarse.
• Categorías MEDIA y ALTA: se necesita una auditoría de certificación realizada por una entidad de certificación acreditada. La auditoría debe repetirse al menos cada dos años.

Qué tienes que hacer para adecuarte

1. Definir el alcance: qué sistemas y servicios prestas a la administración.
2. Categorizar el sistema (BÁSICA, MEDIA o ALTA).
3. Hacer un análisis de riesgos.
4. Elaborar la Declaración de Aplicabilidad con las medidas del Anexo II que te aplican.
5. Aprobar la política de seguridad y asignar los roles (responsables de la información, del servicio, de la seguridad y del sistema).
6. Implantar las medidas y documentar las evidencias.
7. Pasar la auditoría o realizar la autoevaluación.

Te lo explicamos con más detalle en nuestra página de adecuación y auditoría ENS y en la guía cómo preparar una auditoría ENS.

Preguntas frecuentes

¿Una empresa privada puede certificarse en ENS aunque no trabaje con la administración?

Puede adecuar sus sistemas al ENS como buena práctica, pero la certificación tiene sentido sobre todo para quienes prestan servicios al sector público. Si no es tu caso, la ISO 27001 suele ser la opción más reconocida.

¿Qué pasa si una administración me exige el ENS y no lo tengo?

Lo habitual es que no puedas optar a la licitación o que el contrato te exija adecuarte en un plazo determinado. Conviene empezar cuanto antes, porque la adecuación lleva meses.

¿Necesitas ayuda? En Futuro Web te acompañamos desde Valladolid para toda España. Contacta con nosotros.