El ENS obliga a todo el sector público español y a las empresas privadas que le prestan servicios o gestionan sus sistemas e información. La categoría de cada sistema —BÁSICA, MEDIA o ALTA— se determina por el impacto de un incidente sobre cinco dimensiones de seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
Una de las preguntas más frecuentes cuando una organización empieza a hablar del Esquema Nacional de Seguridad es la más básica: ¿a mí me aplica? Y, si aplica, ¿en qué nivel? Esta guía aclara las dos cosas con el texto del Real Decreto 311/2022 y el Anexo I en la mano.
Ámbito de aplicación: artículo 2 del RD 311/2022
El ENS se aplica a dos grandes grupos:
- Todo el sector público conforme al artículo 2 de la Ley 40/2015: AGE, Comunidades Autónomas, Entidades Locales, universidades públicas, organismos autónomos y entes dependientes.
- Las entidades privadas que prestan servicios o proveen soluciones tecnológicas a entidades del sector público, en los términos del artículo 2.3 del Real Decreto.
Administraciones obligadas
No hay ambigüedad: todo el sector público está dentro. Esto incluye Administración General del Estado, las 17 administraciones autonómicas, las más de 8.000 entidades locales, las universidades públicas, así como organismos autónomos, agencias estatales y entes públicos empresariales. Lo único que cambia es la categoría de cada sistema concreto.
Empresas privadas proveedoras de la Administración
Si tu empresa presta servicios TIC, gestiona información o suministra soluciones que tratan información del sector público, te aplica el ENS. Esto incluye desde el proveedor de un SaaS contratado por un ayuntamiento hasta un integrador que mantiene la infraestructura de un ministerio.
El artículo 2.3 del RD 311/2022 obliga, además, a incluir cláusulas ENS en los pliegos de contratación pública y extiende la cautela a toda la cadena de suministro: si tu empresa subcontrata, los requisitos pasan también a tus subcontratistas.
¿Y si solo vendo hardware o licencias?
Si tu rol se limita al suministro de bienes físicos sin acceso a sistemas ni a información del sector público, queda fuera del ámbito del ENS. Suministrar un servidor o una licencia sin operar sobre los datos del organismo no obliga a la adecuación. En cambio, si proporcionas el hardware y lo administras, vuelves a estar dentro.
Cómo se asigna la categoría del sistema
El Anexo I del RD 311/2022 organiza la valoración alrededor de cinco dimensiones de seguridad:
- Confidencialidad — impacto si se revela información sin autorización.
- Integridad — impacto si la información se altera indebidamente.
- Disponibilidad — impacto si el servicio deja de prestarse.
- Autenticidad — impacto si no se puede acreditar quién hace cada acción.
- Trazabilidad — impacto si no se puede reconstruir qué pasó.
Cada dimensión se valora en nivel BAJO, MEDIO o ALTO. La categoría del sistema la fija el nivel más alto entre las cinco dimensiones:
- Si alguna dimensión es ALTO → categoría ALTA.
- Si la más alta es MEDIO → categoría MEDIA.
- Si la más alta es BAJO → categoría BÁSICA.
Quien asigna formalmente la categoría es la administración titular del sistema, normalmente con apoyo de un análisis siguiendo la guía CCN-STIC 803.
Ejemplos orientativos
- Portal informativo de un ayuntamiento sin tratamiento de datos sensibles: típicamente BÁSICA.
- Sede electrónica con tramitación administrativa y datos personales de ciudadanos: típicamente MEDIA.
- Sistemas de la AGE que tratan información clasificada, sanitaria o crítica para servicios esenciales: típicamente ALTA.
Si tu empresa va a licitar con la Administración, lo siguiente es decidir si necesitas declaración o certificación de conformidad. Lo cuenta en detalle nuestra guía sobre ENS para empresas proveedoras de la Administración y, para iniciar el proyecto, nuestro servicio de Consultoría ENS.