El Esquema Nacional de Seguridad (ENS) suele asociarse a las administraciones públicas, pero sus requisitos también pueden afectar a empresas privadas que desarrollan software, gestionan plataformas tecnológicas, alojan información o prestan servicios a organismos públicos.

Una empresa puede encontrarse con esta exigencia al presentarse a una licitación, renovar un contrato o superar un proceso de homologación como proveedor. En algunos casos, el requisito aparece antes de comenzar el servicio y puede condicionar la adjudicación.

Ahora bien, trabajar con una administración pública no significa automáticamente que toda la empresa deba certificarse en el ENS. Es necesario determinar qué servicios presta, qué sistemas de información intervienen y qué requisitos resultan aplicables.

1. ¿Cuándo es obligatorio el ENS para una empresa privada?

El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, extiende su ámbito de aplicación a los sistemas de información de entidades privadas que, conforme a la normativa y mediante una relación contractual, prestan servicios o proporcionan soluciones al sector público para el ejercicio de sus competencias.

Por tanto, la obligación no depende únicamente de que la empresa sea pública o privada, sino del servicio prestado y de los sistemas utilizados.

Existen varias situaciones que conviene diferenciar.

Empresas proveedoras de administraciones públicas

Cuando una empresa privada presta servicios tecnológicos o proporciona soluciones que soportan la actividad de una administración pública, los sistemas afectados pueden estar sujetos al ENS.

Es el caso, por ejemplo, de empresas que desarrollan aplicaciones para organismos públicos, gestionan infraestructuras informáticas, prestan servicios de alojamiento o administran plataformas que tratan información relacionada con servicios públicos.

Los pliegos de contratación deben contemplar los requisitos necesarios para garantizar la conformidad de los sistemas afectados, incluyendo, cuando corresponda, la presentación de declaraciones o certificaciones de conformidad.

Empresas subcontratistas

El ENS también puede alcanzar a empresas que no contratan directamente con una administración, pero participan en la prestación de un servicio sujeto a sus requisitos.

Por ejemplo, una consultora tecnológica puede contratar a un proveedor externo para alojar una aplicación utilizada por un organismo público.

En ese caso, será necesario analizar qué obligaciones de seguridad deben trasladarse al proveedor de alojamiento y qué evidencias debe aportar.

La normativa contempla que los requisitos de seguridad se extiendan a la cadena de suministro cuando resulte necesario, de acuerdo con el análisis de riesgos.

Empresas que reciben exigencias de clientes privados

Una empresa privada también puede solicitar a sus proveedores determinadas garantías de seguridad como condición para contratar sus servicios.

Esta situación puede aparecer cuando el cliente trabaja para el sector público, necesita proteger sistemas críticos para su actividad o incorpora el ENS a sus propios criterios de homologación.

Aquí es importante distinguir entre una obligación derivada directamente de la normativa y una exigencia contractual del cliente.

No todas las solicitudes de cumplimiento del ENS significan que el proveedor esté legalmente obligado a certificar todos sus sistemas. Es necesario revisar qué exige exactamente el contrato, a qué servicios afecta y cómo debe acreditarse el cumplimiento.

2. ¿Qué debe revisar una empresa cuando un cliente le exige el ENS?

Antes de iniciar un proyecto de adecuación, conviene analizar el requisito recibido. No es lo mismo que un cliente solicite determinadas medidas de seguridad que exigir una certificación ENS de categoría MEDIA.

Estos son los principales aspectos que deberían comprobarse:

1. El servicio afectado. Identificar qué actividad o solución está vinculada al requisito: desarrollo de software, alojamiento, mantenimiento, soporte técnico, tratamiento de información o gestión de infraestructuras.
2. Los sistemas incluidos. Determinar qué aplicaciones, servidores, redes, equipos, procesos y servicios externos intervienen en la prestación. El alcance es fundamental porque la conformidad se refiere a sistemas de información concretos.
3. La categoría exigida. Revisar si el cliente solicita una categoría de seguridad determinada y cuál es su justificación. La categorización debe realizarse conforme a los criterios del ENS, teniendo en cuenta la información y los servicios afectados.
4. La forma de acreditar el cumplimiento. Comprobar si se requiere una declaración de conformidad, una certificación emitida por una entidad acreditada u otras evidencias adicionales.
5. El momento en que debe acreditarse. Revisar si la documentación se exige durante la licitación, antes de formalizar el contrato, al iniciar el servicio o durante su ejecución.

Este análisis inicial evita que la empresa emprenda un proceso de adecuación sin haber definido previamente qué necesita cumplir.

3. Adecuación y certificación ENS: ¿son lo mismo?

Aunque ambos conceptos están relacionados, no significan exactamente lo mismo.

La adecuación al ENS consiste en implantar los requisitos organizativos, operativos y técnicos que correspondan a los sistemas afectados.

La certificación de conformidad es el procedimiento mediante el cual se acredita formalmente, a través de la evaluación correspondiente, que un sistema cumple los requisitos exigidos.

El ENS establece tres categorías de seguridad: BÁSICA, MEDIA y ALTA.

Categoría	Cómo se acredita la conformidad
BÁSICA	Declaración de conformidad basada en una autoevaluación. También puede obtenerse una certificación voluntaria mediante auditoría formal.
MEDIA	Certificación de conformidad mediante auditoría formal.
ALTA	Certificación de conformidad mediante auditoría formal, con las medidas correspondientes a esta categoría.

La categoría no se determina por el tamaño de la empresa ni por el volumen de facturación. Se establece a partir del impacto que tendría un incidente de seguridad sobre la información y los servicios del sistema.

Para ello se consideran cinco dimensiones: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.

Por ejemplo, una plataforma que gestiona información especialmente sensible o cuya interrupción puede afectar gravemente a la prestación de un servicio público puede necesitar requisitos de seguridad superiores a los de una aplicación con un impacto limitado.

Las evaluaciones de conformidad deben revisarse, con carácter ordinario, al menos cada dos años, sin perjuicio de las evaluaciones extraordinarias que correspondan cuando se produzcan modificaciones sustanciales.

4. ¿Qué implica adecuar una empresa al ENS?

La adecuación requiere revisar tanto las medidas tecnológicas como la forma en que la organización gestiona la seguridad de sus sistemas.

El Centro Criptológico Nacional estructura el proceso en distintas fases, que incluyen la planificación, el análisis de riesgos, la implantación de medidas y la evaluación de conformidad.

Definir el alcance y categorizar los sistemas

El primer paso consiste en identificar los sistemas afectados, la información que gestionan, los servicios que prestan y sus dependencias tecnológicas.

También deben identificarse los proveedores externos que intervienen en su funcionamiento.

Con esta información se realiza la categorización del sistema, que determina las exigencias de seguridad aplicables.

Evaluar los riesgos y las medidas existentes

Una vez delimitado el alcance, es necesario analizar las amenazas, vulnerabilidades y posibles consecuencias de un incidente.

El análisis de riesgos permite identificar qué medidas se encuentran implantadas y cuáles necesitan reforzarse.

Entre los aspectos que habitualmente deben revisarse están:

• Gobierno de la seguridad: política de seguridad, asignación de responsabilidades y procedimientos internos.
• Control de accesos: gestión de usuarios, permisos, autenticación y retirada de accesos cuando dejan de ser necesarios.
• Protección de sistemas e información: actualización de equipos, gestión de vulnerabilidades, configuración segura y protección de datos.
• Gestión de incidentes: procedimientos para detectar, comunicar, registrar y responder ante incidentes de seguridad.
• Continuidad de los servicios: copias de seguridad, recuperación ante fallos y medidas para mantener la disponibilidad.
• Seguridad de proveedores: evaluación de dependencias externas y control de los requisitos exigidos a terceros.

Las medidas concretas dependerán de la categoría, del análisis de riesgos y de los requisitos establecidos en el Anexo II del Real Decreto 311/2022.

Implantar las medidas y preparar las evidencias

Una de las dificultades habituales es confundir la existencia de un procedimiento con su aplicación efectiva.

Por ejemplo, disponer de una política de copias de seguridad no demuestra por sí solo que las copias se realizan correctamente o que pueden recuperarse.

Para acreditar el cumplimiento pueden necesitarse registros de ejecución, resultados de pruebas, evidencias de revisión, inventarios actualizados o documentación de las medidas implantadas.

Por ello, el plan de adecuación debería incluir actuaciones pendientes, responsables, prioridades, plazos y evidencias necesarias para comprobar su cumplimiento.

5. ¿Qué ocurre si una empresa ya tiene ISO 27001?

Disponer de una certificación ISO/IEC 27001 puede facilitar el proceso de adecuación al ENS, pero no supone automáticamente cumplirlo.

Ambos marcos comparten elementos relacionados con la gestión de riesgos, las políticas de seguridad, el control de accesos, la continuidad y la mejora continua.

Sin embargo, el ENS establece requisitos propios de categorización, medidas de seguridad y evaluación de conformidad.

Por tanto, una empresa certificada en ISO 27001 debe revisar qué controles existentes puede aprovechar, qué requisitos adicionales necesita implantar y cómo acreditará la conformidad de los sistemas incluidos en el alcance.

Realizar este análisis de correspondencia puede evitar duplicar documentación, procedimientos o controles que ya funcionan correctamente.

6. Errores habituales cuando una empresa privada aborda el ENS

El proceso de adecuación puede complicarse cuando se inicia sin revisar correctamente las obligaciones o las condiciones contractuales.

Dar por hecho que toda la empresa debe certificarse. El alcance debe determinarse a partir de los sistemas afectados y los servicios prestados. Definirlo incorrectamente puede generar trabajo innecesario o dejar fuera componentes relevantes.

Confundir cumplimiento con certificación. Es necesario identificar qué forma de acreditación corresponde según la categoría del sistema y lo que exige el contrato.

Comenzar demasiado tarde. Si la certificación es necesaria para concurrir a una licitación o iniciar un servicio, los plazos de implantación y auditoría pueden convertirse en una dificultad comercial.

Centrarse únicamente en herramientas tecnológicas. La adecuación también requiere responsabilidades definidas, procedimientos, análisis de riesgos, documentación y evidencias de funcionamiento.

No revisar los proveedores externos. Servicios de nube, alojamiento, soporte o mantenimiento pueden formar parte del alcance y deben analizarse desde el inicio.

Preparar la auditoría sin evidencias suficientes. No basta con disponer de documentos. Es necesario demostrar que los controles aplicables se han implantado y se mantienen operativos.

7. ¿Por dónde empezar si tu empresa necesita cumplir el ENS?

Antes de comprometerse con un cliente o iniciar una certificación, es recomendable realizar un diagnóstico inicial de cumplimiento.

Este trabajo debería permitir responder a cinco preguntas:

1. ¿Qué contrato, servicio o requisito está originando la necesidad de adecuación?
2. ¿Qué sistemas de información están afectados y cuáles son sus dependencias?
3. ¿Qué categoría de seguridad corresponde y cómo debe acreditarse?
4. ¿Qué medidas existen actualmente y qué requisitos están pendientes?
5. ¿Qué recursos, responsables y plazos necesita la empresa para completar el proceso?

A partir de este análisis puede definirse una hoja de ruta de adecuación, priorizando las actuaciones necesarias para cumplir los requisitos aplicables y preparar la evaluación de conformidad.

Si existe una licitación o renovación contractual en curso, conviene revisar desde el principio las fechas y las condiciones de acreditación. No hacerlo puede comprometer la participación de la empresa aunque técnicamente disponga de capacidad para prestar el servicio.

El ENS también influye en la relación con clientes y proveedores

Para muchas empresas privadas, la necesidad de cumplir el ENS aparece por primera vez durante una contratación, una homologación de proveedores o la renovación de un servicio.

En estas situaciones, conocer el alcance de las obligaciones y disponer de las evidencias adecuadas puede resultar determinante para continuar trabajando con determinados clientes.

En CAVALA Soluciones Sostenibles ayudamos a las empresas a evaluar sus requisitos de seguridad, identificar las brechas de cumplimiento y planificar la adecuación al Esquema Nacional de Seguridad, tanto desde el punto de vista organizativo como técnico.

¿Tu empresa necesita cumplir el ENS para acceder a una licitación o responder a las exigencias de un cliente?

Contacta con nuestro equipo para analizar los requisitos aplicables y definir los siguientes pasos.

info@cavala.es