Una empresa privada que presta servicios o soluciones TIC al sector público debe acreditar su conformidad con el ENS: mediante Declaración de Conformidad si el sistema es de categoría BÁSICA, o mediante Certificación de Conformidad emitida por una entidad acreditada por ENAC si es MEDIA o ALTA.
Si eres proveedor de la Administración o aspiras a serlo, antes o después te encontrarás con la cláusula ENS en el pliego. Esta guía explica qué tienes que hacer, qué documento te van a pedir, cuánto trabajo hay por delante y cómo se extiende la obligación a tu cadena de suministro.
Por qué te lo exigen: cláusulas ENS en los pliegos
El artículo 2.3 del RD 311/2022 obliga a las administraciones a incluir requisitos ENS en los pliegos y a trasladarlos a la cadena de suministro. La consecuencia es directa: no presentar conformidad ENS deja a la empresa fuera del proceso de licitación, salvo excepciones muy acotadas.
Declaración vs. Certificación de Conformidad
La Instrucción Técnica de Seguridad de Conformidad (Resolución de 13 de octubre de 2016) distingue dos vías:
- Declaración de Conformidad — categoría BÁSICA. La propia empresa declara, bajo su responsabilidad, que cumple con los requisitos del ENS, apoyándose en una autoevaluación.
- Certificación de Conformidad — categorías MEDIA y ALTA (opcional en BÁSICA). La emite una entidad de certificación acreditada por ENAC tras una auditoría externa.
Para licitaciones serias, la certificación externa pesa mucho más que la declaración propia, aunque tu sistema sea de BÁSICA. Es habitual encontrar pliegos que aceptan únicamente certificados emitidos por entidades ENAC.
Proceso de adecuación paso a paso
- Categorización del sistema conforme al Anexo I y a la guía CCN-STIC 803.
- Análisis de riesgos formal (típicamente con MAGERIT y la herramienta CCN-PILAR).
- Declaración de Aplicabilidad (artículo 28.2): qué medidas del Anexo II aplican, con qué refuerzos, y justificación de las exclusiones.
- GAP analysis contra el estado actual.
- Implantación de los controles que faltan: técnicos, organizativos y de procedimiento.
- Verificación: autoevaluación (BÁSICA) o auditoría externa por entidad acreditada (MEDIA/ALTA), siguiendo la CCN-STIC 809.
- Declaración o Certificación de Conformidad y registro en el Centro Criptológico Nacional.
Plazos y coste orientativos
Los plazos y costes dependen del alcance del sistema, del estado de partida y del esfuerzo de remediación. Como regla orientativa, un proyecto de adecuación y certificación para una pyme ronda los seis meses si se parte de un mínimo de madurez, y puede prolongarse cuando hay que construir el SGSI desde cero. El coste lo determinan la consultoría, la remediación técnica y los honorarios de la entidad certificadora; conviene pedir presupuesto con el alcance ya cerrado y no a partir de cifras genéricas.
La cadena de suministro y los subcontratistas
El artículo 2.3 obliga a trasladar los requisitos ENS a los proveedores y subcontratistas que tratan información del sistema. En la práctica, esto significa que tus contratos con terceros deben incluir cláusulas equivalentes y que tu sistema de gestión debe verificar el cumplimiento. Un proveedor crítico mal asegurado es un hallazgo de auditoría en tu certificado.
En Nexus llevamos el proceso completo: del análisis inicial y la categorización a la implantación y la preparación de la auditoría de certificación. Si estás preparando una licitación o necesitas adecuar tu organización al ENS, empezamos por un diagnóstico para acotar alcance y plazos. Para decidir si vas a complementarlo con la ISO 27001, échale un vistazo a la guía ENS vs ISO 27001.