Qué categoría del ENS te corresponde: Básica, Media o Alta
Si vendes servicios TIC a una administración pública española, el Esquema Nacional de Seguridad (ENS) también te aplica. El Real Decreto 311/2022 incluye de forma expresa a las empresas privadas que prestan servicios o proveen soluciones a entidades del sector público. Y la primera pregunta práctica siempre es la misma: ¿qué categoría tiene mi sistema?
Cómo se determina la categoría
La categoría no se elige: se deduce del impacto que tendría un incidente. El ENS valora cinco dimensiones de seguridad:
Confidencialidad
Integridad
Trazabilidad
Autenticidad
Disponibilidad
Cada dimensión recibe un nivel BAJO, MEDIO o ALTO según el perjuicio que causaría su compromiso. La categoría del sistema corresponde al nivel más alto asignado a cualquiera de ellas:
Categoría BÁSICA: ninguna dimensión supera el nivel BAJO.
Categoría MEDIA: alguna dimensión alcanza el nivel MEDIO y ninguna llega a ALTO.
Categoría ALTA: al menos una dimensión alcanza el nivel ALTO.
La valoración la hacen los responsables de la información y del servicio, normalmente el organismo público con el que trabajas. Muchas veces ya viene indicada en el pliego o en el contrato.
Qué cambia según la categoría
La categoría define qué medidas del Anexo II tienes que aplicar, con qué refuerzos, y cómo demuestras que cumples:
Básica: basta con una autoevaluación, que da lugar a una Declaración de Conformidad.
Media y Alta: hace falta una auditoría formal de una entidad de certificación acreditada, que emite la Certificación de Conformidad.
La conformidad se revisa al menos cada dos años y también cuando el sistema cambia de forma sustancial.
Los tres errores más comunes
Elegir la categoría por costo. Declararte Básica cuando el cliente exige Media te puede dejar fuera del contrato.
Empezar por las herramientas. Comprar tecnología antes de definir alcance, responsables y análisis de riesgos suele frenar el proyecto.
No tener las evidencias ordenadas. Los controles existen, pero nadie puede demostrarlo cuando llega el auditor o el pliego.
Por dónde empezar
Define el alcance: qué sistemas y servicios prestas al sector público.
Valora las cinco dimensiones con tu cliente y fija la categoría.
Haz un análisis de brechas contra las medidas del Anexo II que te aplican.
Prioriza un plan de 90 días y ordena las evidencias desde el primer día.
Si quieres saber en 10 minutos dónde estás, haz el autodiagnóstico gratuito de GoverniFY Compass. Y si ya tienes un pliego sobre la mesa, en ENS para proveedores del sector público te contamos cómo trabajamos.
Preguntas frecuentes
¿Una empresa privada necesita el ENS?
Sí, cuando presta servicios o provee soluciones TIC a entidades del sector público y esos sistemas tratan información o soportan servicios de esas entidades.
¿El ENS sustituye a ISO 27001?
No. Comparten buena parte de los controles y se pueden implantar juntos, pero el ENS es una obligación legal en España y tiene su propio proceso de conformidad.
¿Cuánto tarda una certificación de categoría Media?
Depende del punto de partida y del alcance. Lo habitual es planificar varios meses entre el análisis de brechas, la implantación y la auditoría.
Comentarios