ENS para pymes: la llave para vender a administración pública.
Esquema Nacional de Seguridad en pyme española 2026: qué obliga, qué categorías existen, cuánto cuesta adecuarse, plazos realistas y errores típicos al cruzar al sector público.
Actualizado mayo 2026
Sin ENS, vender a administración pública española está cerrado.
El Esquema Nacional de Seguridad (ENS) es el marco español de seguridad de la información para sistemas de las administraciones públicas y sus proveedores. Real Decreto 311/2022 lo actualiza con categorías de seguridad (básica, media, alta) y obligaciones de adecuación. Ver qué es ENS.
Para una pyme privada que presta servicios a administración pública (consultoría, SaaS, integración, soporte, hosting), el ENS no es opcional. Si tu solución toca datos o sistemas de la administración, hay que cumplirlo. Sin certificación o declaración de conformidad ENS, los pliegos públicos te dejan fuera.
Lo que muchas pymes descubren tarde: ENS se parece a ISO 27001 pero no es lo mismo. Hay solapamiento (70-80%) pero también obligaciones específicas que solo cubre ENS. Trabajo combinado bien hecho ahorra dinero. Ver también NIS2, ISO 27001 y SOC 2 pyme.
ENS clasifica sistemas en básico, medio y alto
Categoría básica
Sistemas con bajo impacto potencial en caso de incidente. La mayoría de servicios administrativos comunes. Requisitos: documentación política, controles básicos, gestión de incidentes. Certificación o declaración de conformidad por organismo acreditado o entidad reconocida.
Categoría media
Sistemas con impacto medio (datos sensibles a cierto nivel, servicios relevantes). Catálogo controles ampliado. Obligación de auditoría externa por organismo certificador acreditado por ENAC. Renovación cada 2 años.
Categoría alta
Sistemas críticos con impacto alto (datos especialmente protegidos, infraestructuras críticas, servicios esenciales). Catálogo controles máximo. Auditoría externa cada 2 años. Suele alinearse con NIS2 entidades esenciales. Ver qué es NIS2.
Bloques de obligaciones agrupados.
1. Política de seguridad y organización. Política firmada por dirección, comité de seguridad, responsable seguridad nombrado. Funciones, roles, responsabilidades documentados. Reunión revisión anual mínimo.
2. Análisis y gestión de riesgos. Metodología documentada (MAGERIT, ISO 27005). Análisis riesgos por activo, valoración impacto, plan tratamiento. Revisión anual. Sin esto no se puede demostrar adecuación a auditor.
3. Catálogo de medidas según categoría. Anexo II del ENS detalla controles por categoría (básica, media, alta) en cinco familias: marco organizativo, marco operacional, medidas de protección, monitorización. Implementación documentada con evidencias.
4. Gestión de incidentes. Procedimiento detección, escalado, contención, recuperación. Notificación al CCN-CERT (Centro Criptológico Nacional) según gravedad y categoría. Plazos específicos. Registro auditado.
5. Adecuación y mejora continua. Plan de adecuación periódica, auditorías internas o externas según categoría, plan de mejora continua, formación equipo. ENS no es proyecto puntual, es ciclo continuo. Ver automatización procesos con IA para apoyo operativo.
Cómo adecuar una pyme al ENS desde cero
Mes 1 · Diagnóstico y categoría
Determinar alcance: qué sistemas se adecuan al ENS (los que tocan datos/servicios de admin pública). Análisis impacto y categorización (básica, media o alta) según naturaleza de servicios prestados.
Mes 2-3 · Política, organización y análisis riesgos
Redactar política seguridad, nombrar responsable seguridad, comité, roles. Análisis riesgos con MAGERIT u otra metodología reconocida. Documentar metodología y resultado por activo crítico.
Mes 4-7 · Implementación controles
Implementar medidas Anexo II ENS según categoría. Si ya tienes ISO 27001 base, reutilizas el 70%. Faltarán controles específicos ENS (notificación CCN-CERT, criptografía exigida, etc).
Mes 8-9 · Auditoría interna y declaración
Auditoría interna para detectar gaps. Categoría básica: declaración de conformidad firmada por organismo competente. Media y alta: auditoría externa por entidad certificadora acreditada por ENAC.
Mes 10-12 · Certificación y operativa
Certificado emitido (validez 2 años). Operación continua: gestión incidentes, monitorización, formación, auditoría interna anual. Renovación bienal con auditoría completa. Plan mejora continua activo.
Lo que vemos romperse al adecuarse al ENS
Confundir ENS con ISO 27001
Empresa con ISO 27001 cree que ya cumple ENS automáticamente. No es así. Solapamiento alto pero hay obligaciones específicas (notificación CCN-CERT, MAGERIT como metodología sugerida, controles concretos de criptografía). Auditor rechaza si solo presentas ISO.
Categorizar de menos para ahorrar
Pyme prefiere categoría básica para evitar auditoría externa. Si los servicios tocan datos sensibles o críticos, la categoría correcta es media o alta. Auditor o cliente pueden rechazar la declaración como inadecuada, y vuelves a empezar con sobre-coste.
No usar CCN-CERT y CCN-STIC
CCN-STIC son las guías técnicas oficiales del Centro Criptológico Nacional. Son referencia obligada para configuraciones, criptografía, hardening. Pyme que ignora STIC suele implementar controles incorrectos y falla auditoría.
Cero formación equipo
Plan ENS perfecto en papel y empleados sin formación en seguridad básica. Una phishing exitosa demuestra que la adecuación es cosmética. ENS exige formación demostrable, no solo papeles.
Checklist mínima para pyme que quiere vender a admin pública
Decisión adecuación ENS tomada
Si tu plan es vender a administración pública: empezar adecuación 9-12 meses antes de la primera licitación seria. Sin ENS, pliego te deja fuera o te penaliza fuertemente.
Categoría correctamente asignada
Análisis impacto serio para clasificar bien (básica, media, alta). Sub-categorizar para ahorrar es trampa que se paga doble. Asesor especializado ENS al inicio vale lo que cobra.
Política, organización y análisis riesgos
Política firmada, responsable seguridad nombrado, análisis riesgos MAGERIT documentado. Sin estos tres pilares, ninguna implementación técnica vale para auditor.
Guías CCN-STIC aplicadas
Configuraciones, criptografía, hardening según STIC relevantes. CCN-STIC 803 para auditoría, STIC 805 política seguridad, STIC 808 criptografía, etc. Documentar aplicación.
Plan formación documentado
Formación anual obligatoria equipo en seguridad. Plan formación, registros asistencia, evaluación. ENS exige formación demostrable, no asumida. Ver <a href="/blog/rgpd-pyme-2026-practico" class="text-magnetia-red underline">RGPD pyme 2026 práctico</a>.
Dudas que nos hacéis llegar
¿Quieres licitar con administración pública sin que ENS te deje fuera?
Diagnóstico, categorización, plan de adecuación realista y soporte hasta auditoría. Combinado con ISO 27001 si tiene sentido, sin pagar dos veces lo mismo.