Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS · Actualizado en octubre de 2026
El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, establece los requisitos de seguridad que deben cumplir los sistemas de información del sector público español. Pero no afecta solo a las administraciones: también alcanza a muchas empresas privadas.
Respuesta corta
Deben cumplir el ENS:
- Todo el sector público: Administración General del Estado, comunidades autónomas, entidades locales (ayuntamientos, diputaciones), universidades públicas y el resto de entidades de su sector público.
- Las empresas privadas que prestan servicios o proveen soluciones al sector público, cuando esos servicios forman parte del ejercicio de las competencias de la administración. En la práctica, el ENS les llega por contrato y por los pliegos de licitación.
¿Qué empresas privadas suelen estar afectadas?
- Proveedores de software y aplicaciones para administraciones.
- Servicios en la nube, alojamiento y centros de datos.
- Empresas de mantenimiento, soporte y gestión de sistemas para entidades públicas.
- Empresas que gestionan servicios públicos con apoyo tecnológico (por ejemplo, gestión de tributos, padrón, sanidad o educación).
- Consultoras y empresas de servicios que tratan información de la administración.
Si tu empresa se presenta a licitaciones públicas de servicios tecnológicos, es muy probable que el pliego te pida la certificación ENS o la declaración de conformidad.
¿Cómo se demuestra que cumples el ENS?
Depende de la categoría del sistema, que se determina valorando el impacto que tendría un incidente sobre la información y los servicios:
- Categoría BÁSICA: basta con una autoevaluación y una declaración de conformidad, aunque también puede certificarse.
- Categorías MEDIA y ALTA: se necesita una auditoría de certificación realizada por una entidad de certificación acreditada. La auditoría debe repetirse al menos cada dos años.
Qué tienes que hacer para adecuarte
- Definir el alcance: qué sistemas y servicios prestas a la administración.
- Categorizar el sistema (BÁSICA, MEDIA o ALTA).
- Hacer un análisis de riesgos.
- Elaborar la Declaración de Aplicabilidad con las medidas del Anexo II que te aplican.
- Aprobar la política de seguridad y asignar los roles (responsables de la información, del servicio, de la seguridad y del sistema).
- Implantar las medidas y documentar las evidencias.
- Pasar la auditoría o realizar la autoevaluación.
Te lo explicamos con más detalle en nuestra página de adecuación y auditoría ENS y en la guía cómo preparar una auditoría ENS.
Preguntas frecuentes
¿Una empresa privada puede certificarse en ENS aunque no trabaje con la administración?
Puede adecuar sus sistemas al ENS como buena práctica, pero la certificación tiene sentido sobre todo para quienes prestan servicios al sector público. Si no es tu caso, la ISO 27001 suele ser la opción más reconocida.
¿Qué pasa si una administración me exige el ENS y no lo tengo?
Lo habitual es que no puedas optar a la licitación o que el contrato te exija adecuarte en un plazo determinado. Conviene empezar cuanto antes, porque la adecuación lleva meses.
¿Necesitas ayuda? En Futuro Web te acompañamos desde Valladolid para toda España. Contacta con nosotros.