Si tu empresa vende servicios o soluciones a la administración pública española, tarde o temprano te preguntarán por el ENS, el Esquema Nacional de Seguridad. Y ahora, además, se habla de NIS2. ¿Son lo mismo? ¿Tienes que hacer el trabajo dos veces? Te lo explicamos.
Qué es el ENS
El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022. Fija los principios, requisitos y medidas de seguridad que deben aplicar los sistemas de información del sector público. También se aplica a las empresas privadas que prestan servicios o proporcionan soluciones a las entidades del sector público, en relación con esos servicios.
Por eso muchas licitaciones y contratos piden al proveedor que demuestre su conformidad con el ENS.
Categorías: básica, media y alta
El ENS clasifica los sistemas en tres categorías según el impacto que tendría un incidente: básica, media y alta. La categoría determina qué medidas debes aplicar y con qué intensidad.
Las medidas están en el anexo II del Real Decreto y se agrupan en tres bloques:
- Marco organizativo (org): política de seguridad, normativa, procedimientos y proceso de autorización.
- Marco operacional (op): planificación, control de acceso, explotación, servicios externos, continuidad, monitorización, entre otros.
- Medidas de protección (mp): instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios.
Cómo se demuestra la conformidad
- Categoría básica: basta con una declaración de conformidad, basada en una autoevaluación.
- Categorías media y alta: se necesita una certificación de conformidad, emitida tras una auditoría por una entidad de certificación acreditada.
El Centro Criptológico Nacional (CCN) publica las guías CCN-STIC (serie 800) que explican cómo aplicar cada medida y cómo preparar la auditoría.
¿Y NIS2?
NIS2 es una directiva europea sobre ciberseguridad para empresas de sectores críticos. En España se traspondrá con la futura Ley de Coordinación y Gobernanza de la Ciberseguridad, que, a octubre de 2026, todavía no se ha publicado en el BOE. El anteproyecto mantiene el ENS como referencia para el sector público.
La buena noticia: ENS y NIS2 piden muchas cosas parecidas. Análisis de riesgos, políticas, control de accesos, gestión de incidentes, continuidad, seguridad de proveedores, formación. Si organizas tus controles una sola vez y los vinculas a los dos marcos, una misma evidencia te sirve para ambos.
Cómo prepararte sin duplicar trabajo
- Define el alcance: qué servicios prestas al sector público y qué sistemas los soportan.
- Determina la categoría del sistema (básica, media o alta).
- Haz tu análisis de riesgos y el inventario de activos.
- Recorre las medidas del anexo II y documenta cuáles aplicas, cómo y con qué evidencia.
- Vincula cada control también a NIS2 (artículo 21) y, si te interesa, a ISO 27001.
- Prepara la declaración o la auditoría según tu categoría.
Cómo te ayuda CloudSignLab
En CloudSignLab tienes el marco ENS con sus 73 medidas, junto a NIS2 e ISO 27001. Cada control de la biblioteca indica a qué medidas del ENS, artículos de NIS2 y controles de ISO 27001 responde, y la página del ENS te muestra cuántas medidas cubres ya. Así ves el avance de los tres marcos con el mismo trabajo.
Puedes empezar con la comprobación gratuita de NIS2 o crear una cuenta gratuita y revisar tu nivel de preparación.
Este artículo es informativo y no sustituye el asesoramiento jurídico ni la guía oficial del CCN. Para los detalles de cada medida, consulta el Real Decreto 311/2022 y las guías CCN-STIC.
