Implantación del ENS: guía para cumplir el Esquema Nacional de Seguridad

1. Introducción

La implantación del ENS (Esquema Nacional de Seguridad) es el proceso por el que una entidad del sector público, o una empresa que le presta servicios, adapta sus sistemas de información a los requisitos del Real Decreto 311/2022. La implantación del ENS no es un trámite administrativo: es un programa de gestión de riesgos que afecta a personas, procesos y tecnología, y que exige un análisis de riesgos previo realizado con metodologías como Magerit.

En esta guía recorremos las fases de la implantación del ENS, desde la categorización del sistema hasta la auditoría de conformidad, con ejemplos reales de la declaración de aplicabilidad y un cronograma orientativo. Si tu organización necesita ayuda con este proceso, Jaymon Security acompaña a empresas y entidades en la implantación del ENS completa, incluidos el análisis de riesgos y la documentación exigida.

2. Qué es el ENS y a quién le aplica

El Esquema Nacional de Seguridad, regulado actualmente por el Real Decreto 311/2022, es el conjunto de principios y requisitos mínimos de seguridad que deben cumplir los sistemas de información de la Administración Pública. Su objetivo es crear un nivel de confianza homogéneo en el uso de medios electrónicos, protegiendo la información según su valor y los servicios que sustentan.

La obligación de implantación del ENS afecta directamente a todos los organismos del sector público. Pero tiene un efecto cascada: las empresas privadas que prestan servicios a la Administración (desarrolladores, integradores, proveedores de hosting o de nube) también deben cumplir requisitos del esquema, porque el artículo 33 del reglamento obliga a las entidades públicas a exigir garantías a sus proveedores. En la práctica, una licitación pública con requisitos de seguridad implica que tu empresa necesite la implantación del ENS para poder competir.

2.1. A quién afecta la implantación del ENS en la práctica

Conviene distinguir tres escenarios. Primero, el organismo público que debe adecuarse él mismo. Segundo, el proveedor que debe acreditar que presta servicios de forma segura y alineada con el esquema. Y tercero, la empresa privada que, sin relación con la Administración, decide adoptar la implantación del ENS como referencia de buenas prácticas y como ventaja competitiva. En los tres casos, la metodología de trabajo es la misma y se apoya en el análisis de riesgos.

3. Análisis de riesgos y categorización del sistema

El punto de partida de la implantación del ENS es la categorización del sistema, que puede ser básica, media o alta. La categoría se determina evaluando el impacto de la pérdida de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y de los servicios. Una categorización errónea provoca o un gasto innecesario (categorizar de más) o un riesgo de incumplimiento (categorizar de menos).

Después se realiza el análisis de riesgos con una metodología reconocida, preferentemente Magerit. El análisis identifica las amenazas sobre cada activo, calcula su impacto y su frecuencia de materialización, y determina la severidad resultante. El resultado se cruza con el nivel de protección exigido por la categoría. Un ejemplo simplificado del tipo de salida que produce esta fase:

ANÁLISIS DE RIESGOS (extracto, Magerit)
---------------------------------------
Activo: [Dat] Base de datos de clientes  Nivel: MEDIO
Amenaza: [N.2] Error del operador        Impacto: 2  Frecuencia: 3  Riesgo: 6
Amenaza: [E.1] Acceso no autorizado      Impacto: 4  Frecuencia: 2  Riesgo: 8
Amenaza: [A.6] Abuso de privilegios      Impacto: 4  Frecuencia: 2  Riesgo: 8
Nivel de protección exigido: ALTO

Fig. 1 – Ejemplo de resultado de análisis de riesgos estilo Magerit para la implantación del ENS.

La valoración de las dimensiones de seguridad es decisiva en la implantación del ENS: la pérdida de confidencialidad de unos datos personales no equivale a la pérdida de disponibilidad de un servicio de urgencia. Por eso, el documento de categorización debe justificar cada valor asignado a información y servicios, y el análisis debe tratar las dimensiones por separado. Un error habitual es valorar solo la confidencialidad y olvidar que, en muchos sistemas de la Administración, la disponibilidad es la dimensión crítica. Una implantación del ENS rigurosa refleja esta priorización en la propia selección de medidas: las medidas de continuidad y de redundancia se justifican precisamente por esos valores.

4. Declaración de aplicabilidad y medidas de seguridad

Con la categoría y el análisis de riesgos definidos, la implantación del ENS pasa a la declaración de aplicabilidad (DA): el documento que relaciona cada medida del anexo II del Real Decreto 311/2022 con el estado de implantación en el sistema, indicando si aplica, si no aplica y el motivo. Las medidas se agrupan en familias: organizativas (op), de protección de la información (mp.info), de protección de los servicios y sistemas (mp.sw, mp.com, mp.eq), de continuidad (mp.cont) y de protección de instalaciones (mp.fis).

Un extracto típico de la declaración de aplicabilidad durante una implantación del ENS podría verse así:

DECLARACIÓN DE APLICABILIDAD (extracto)
---------------------------------------
[mp.com.1] Requisitos de seguridad de la información    SÍ
[mp.com.2] Seguridad de los sistemas de información     SÍ
[mp.com.3] Seguridad de las comunicaciones              SÍ
[mp.sw.1]  Ciclo de vida de los sistemas de información SÍ
[mp.sw.2]  Procedimientos de desarrollo                 NO (servicios contratados)
[mp.eq.1]  Identificación y autenticación               SÍ
[op.exp.1] Procedimiento de gestión de servicios externos  SÍ
[op.exp.2] Segregación de funciones y tareas            SÍ
[op.exp.3] Monitorización de los sistemas de información   SÍ
[op.exp.4] Gestión de incidencias                       SÍ

Fig. 2 – Extracto de declaración de aplicabilidad con códigos de medidas del ENS.

Es habitual que muchas medidas de la familia [op.exp] y [mp.sw] detecten carencias en esta fase: procedimientos de gestión de incidencias inexistentes, desarrollo de software sin controles de seguridad o servicios externos sin acuerdos de nivel de servicio. Estas carencias se corrigen en el plan de adecuación, que debe priorizar las medidas por el nivel de riesgo residual.

5. Fases de la implantación del ENS y cronograma

La implantación del ENS se organiza en fases que conviene planificar con hitos medibles. La siguiente tabla resume las fases habituales de un proyecto para un sistema de categoría media, con sus entregables y duración orientativa.

Fase	Actividades	Entregables	Duración
1. Categorización	Identificación de información y servicios, dimensiones de seguridad	Documento de categorización	2-3 semanas
2. Análisis de riesgos	Inventario de activos, valoración de amenazas con Magerit	Informe de análisis de riesgos	3-4 semanas
3. Adecuación	Declaración de aplicabilidad, plan de adecuación, implementación de medidas	DA, plan de adecuación, medidas implantadas	3-6 meses
4. Documentación	Políticas, procedimientos, instrucciones de gestión de seguridad	Paquete documental del ENS	2-4 semanas (paralelo)
5. Seguimiento	Autoevaluación, informes de estado, revisión periódica	Informe de estado de seguridad	Continuo

El plazo total de una implantación del ENS completa suele situarse entre 6 y 12 meses para sistemas de categoría media, y puede superar el año en sistemas de categoría alta con muchos servicios. La clave del éxito está en no tratar la documentación como un fin en sí misma: los procedimientos solo valen si las personas los conocen y los aplican.

Además del cronograma, la implantación del ENS exige asignar responsabilidades concretas desde el inicio: las figuras del responsable del sistema, del responsable de seguridad y del responsable de información, coordinadas por un comité de seguridad. Sin una asignación clara de estas figuras, los plazos se dilatan, la documentación queda huérfana y la declaración de aplicabilidad deja de estar viva. Recuerda que la implantación del ENS no es un proyecto de tecnología en sentido estricto, sino de gobernanza: el componente técnico es consecuencia del organizativo, no al revés, y los proveedores externos deben quedar formalmente integrados en la gestión del sistema.

6. Autoevaluación, informes de estado y auditoría

Una vez implantadas las medidas, la entidad debe operar el sistema con un ciclo de mejora continua. El Real Decreto 311/2022 exige elaborar un informe de estado de seguridad con periodicidad mínima anual, basado en la autoevaluación de cumplimiento de la declaración de aplicabilidad. Además, los sistemas deben someterse a una auditoría de conformidad: cada tres años como mínimo, y cada dos para los sistemas de categoría alta. La auditoría la realiza una entidad habilitada o el personal acreditado por la propia organización.

Es importante entender la diferencia entre autoevaluación y auditoría: la primera es interna y continua; la segunda es independiente y verifica la conformidad real con la implantación del ENS declarada. Cuando la auditoría detecta desviaciones, se elabora un plan de corrección con plazos, y el informe de estado del siguiente año debe reflejar su seguimiento. El informe de estado de seguridad, una de las obligaciones periódicas de la implantación del ENS, debe alimentarse de esos datos y recoger al menos el estado de la declaración de aplicabilidad, los incidentes relevantes del periodo y el seguimiento de las medidas correctoras; sin esos bloques, no sirve como insumo para la auditoría ni para la mejora continua.

7. Conclusión

La implantación del ENS es un proceso exigente, pero perfectamente asumible si se aborda con método: categorizar bien, analizar riesgos con Magerit, declarar y desplegar las medidas adecuadas, y sostener un ciclo de autoevaluación y auditoría. Para una empresa que trabaja con la Administración, la implantación del ENS se ha convertido en un requisito comercial y en una ventaja diferencial frente a competidores que todavía no la han abordado. Planifica por fases, documenta con rigor y no dejes el seguimiento para el final: la conformidad es un estado continuo, no un evento puntual.

Para profundizar, consulta el Real Decreto 311/2022 en el BOE, las guías del CCN-CERT y las publicaciones de ENISA.

Si tu organización necesita ponerse al día con el esquema, Jaymon Security ayuda a empresas y entidades en la implantación del ENS con un enfoque práctico: análisis de riesgos, declaración de aplicabilidad, documentación y preparación de la auditoría de conformidad.

¿Necesitas ayuda con Implantación del ENS?

En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.

Contacta con nosotros para una evaluación gratuita de tu infraestructura.