Publicado el 01/01/2019 - Actualizado el 14/09/2026
Consultoría del Esquema Nacional de Seguridad (ENS) en España: le acompañamos hasta el certificado
Si su organización presta servicios a la Administración pública española, o forma parte de ella, el Esquema Nacional de Seguridad no es una recomendación: es una obligación recogida en el Real Decreto 311/2022, de 3 de mayo. Y en la mayoría de los pliegos ya no basta con decir que se cumple: hay que demostrarlo.
Nosotros somos consultores, no certificadores. El certificado se lo emite una entidad de certificación acreditada por ENAC, independiente de nosotros. Se lo decimos desde el principio porque es exactamente lo que garantiza que su certificado valga en una licitación.
Solicite su diagnóstico ENS sin coste
Qué incluye nuestro servicio de consultoría ENS
Un proyecto de adecuación al ENS completo, de principio a fin, con estas piezas:- Diagnóstico inicial sin coste. Revisamos qué tiene, qué le van a pedir y cuánto le falta. Con eso ya sabe a qué se enfrenta.
- Definición del alcance. Qué sistemas, qué servicios y qué información entran. Acertar aquí le ahorra mucho dinero.
- Categorización del sistema. Valoramos las cinco dimensiones de seguridad conforme al Anexo I del Real Decreto 311/2022 y determinamos si su sistema es de categoría BÁSICA, MEDIA o ALTA.
- Análisis y gestión de riesgos. Tal y como exige el artículo 14, con la metodología MAGERIT y, cuando conviene, la herramienta PILAR del Centro Criptológico Nacional.
- Política de seguridad de la información. Redactada según el artículo 12 y lista para que la apruebe el órgano competente de su organización.
- Organización de la seguridad. Definimos y documentamos los cuatro roles que exige el ENS: responsable de la información, responsable del servicio, responsable de la seguridad y responsable del sistema.
- Declaración de Aplicabilidad. Selección justificada de las medidas del Anexo II, con las medidas compensatorias que hagan falta, firmada por el responsable de seguridad conforme al artículo 28.
- Plan de adecuación. Tareas, responsables y fechas. Un documento de trabajo real, no un PDF para el cajón.
- Normativa, procedimientos y registros. Toda la documentación operativa que la auditoría le va a pedir, adaptada a cómo trabaja usted.
- Formación y concienciación. Para dirección, para el personal técnico y para el resto de la plantilla. Cada uno con lo que le toca.
- Auditoría interna previa. Simulamos la auditoría de certificación y cerramos los hallazgos antes de que los vea el auditor.
- Acompañamiento en la auditoría. Estamos con usted el día de la auditoría de la entidad certificadora y le ayudamos con el plan de acciones correctivas si hace falta.
- Mantenimiento posterior. El ENS no termina con el certificado. Le acompañamos en las revisiones, en la auditoría bienal y en la renovación.
- ISOAPPWEB. Implantamos el módulo de nuestra plataforma aplicable al ENS para que todo esto se mantenga vivo y no se le quede en una carpeta de archivos sueltos.
¿Se reconoce en alguna de estas situaciones?
Son los seis motivos por los que nos llaman casi siempre.- «Hemos ganado un contrato con un ayuntamiento y en el pliego nos piden la conformidad con el ENS. No sabemos por dónde empezar.»
Empezamos por el principio: qué sistema entra, qué categoría le corresponde y qué le exige exactamente ese pliego. Muchas veces el alcance es mucho más pequeño de lo que la empresa teme.
- «Nos hemos quedado fuera de una licitación por no acreditar el ENS.»
Es lo más frecuente. Le planteamos un calendario realista para llegar a la siguiente convocatoria y le decimos con franqueza si da tiempo o no.
- «Somos un ayuntamiento pequeño, sin informático propio, y el plazo de adecuación venció hace tiempo.»
No es un caso raro. Existen perfiles de cumplimiento específicos pensados exactamente para eso, y trabajamos con ellos.
- «Tenemos la ISO 27001 y dábamos por hecho que con eso cumplíamos. Nuestro cliente público dice que no.»
Su cliente tiene razón, pero usted tiene bastante ganado. Le contamos más abajo cómo se aprovecha una cosa para la otra.
- «Nos certificamos hace dos años, nadie ha vuelto a tocar el sistema y la renovación está encima.»
Ponemos al día la documentación, revisamos lo que ha cambiado en sus sistemas y le preparamos para la auditoría.
- «Alojamos datos de un cliente público en la nube y nos preguntan dónde están los servidores.»
Esa pregunta tiene detrás una obligación legal concreta. Se la explicamos más abajo, en el apartado de licitaciones.
¿Quién está obligado a cumplir el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad obliga a dos grupos: todo el sector público español y las empresas privadas que le prestan servicios. El artículo 2 del Real Decreto 311/2022 lo dice sin rodeos.Todo el sector público
El ENS se aplica a todo el sector público tal y como lo define el artículo 2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y de acuerdo con su artículo 156.2.Eso incluye la Administración General del Estado, las comunidades autónomas, las entidades locales, el sector público institucional, las universidades públicas, los organismos autónomos, las entidades públicas empresariales y las sociedades y fundaciones del sector público.
Las empresas privadas que trabajan para la Administración
Aquí está el punto que muchas empresas descubren tarde. El artículo 2.3 del Real Decreto 311/2022 establece que el ENS también se aplica a los sistemas de información de las entidades del sector privado cuando, en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas.Y añade expresamente la obligación de contar con la política de seguridad del artículo 12, que en el caso de estas empresas debe aprobar el órgano que ostente las máximas competencias ejecutivas: es decir, la dirección de la empresa, no el departamento de informática.El mismo artículo obliga a que los pliegos de los contratos públicos contemplen los requisitos necesarios para asegurar la conformidad con el ENS, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS».
Si usted es una empresa de desarrollo de software, un proveedor de servicios en la nube, una consultora que trata datos de un organismo público, una empresa de digitalización de expedientes o cualquier compañía cuyo sistema sostiene un servicio público, esto le afecta.
Y la cadena de suministro
El artículo 2.3 cierra con una frase que conviene leer dos veces: esa misma cautela se extiende a la cadena de suministro de los contratistas, en la medida en que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos. Traducido: si usted subcontrata parte del servicio, tendrá que poder responder por su proveedor.Un caso particular: las redes y servicios 5G
Cuando una entidad del sector público instala, despliega o explota redes 5G, o presta servicios 5G, además del ENS le resulta de aplicación el Real Decreto-ley 7/2022, de 29 de marzo, y en particular su artículo 17. Lo indica el artículo 2.4 del propio Real Decreto 311/2022.El marco legal español del ENS: dónde está escrito y qué le obliga de verdad
Esta es la parte que conviene tener clara antes de firmar nada, porque de aquí salen todas las exigencias que le van a llegar por pliego.
Real Decreto 311/2022, de 3 de mayo: la norma vigente
El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE número 106, de 4 de mayo de 2022, y en vigor desde el 5 de mayo de 2022. Este real decreto derogó el anterior Real Decreto 3/2010, de 8 de enero, y ha sido modificado posteriormente por el Real Decreto 1125/2024, de 5 de noviembre.Su estructura es sencilla de recordar: cuarenta y un artículos y cuatro anexos.El Anexo I fija las categorías de seguridad de los sistemas; el Anexo II, las medidas de seguridad; el Anexo III, la auditoría de la seguridad; y el Anexo IV, el glosario de términos.
Ley 40/2015: de dónde nace el ENS
El Esquema Nacional de Seguridad no se sostiene solo en un reglamento. Su fundamento está en el artículo 156.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que encomienda al ENS establecer la política de seguridad en el uso de medios electrónicos y fijar los principios básicos y los requisitos mínimos de seguridad de la información.El plazo de adecuación ya venció
La disposición transitoria única del Real Decreto 311/2022 dio veinticuatro meses a los sistemas ya existentes, incluidos los de los contratistas del sector privado, para alcanzar su plena adecuación al ENS. Ese plazo terminó en mayo de 2024. Hoy, por tanto, ya no hay periodo transitorio al que acogerse.El ENS en las licitaciones públicas
Además de la exigencia del propio artículo 2.3, hay otra pieza que conviene conocer: el Real Decreto-ley 14/2019, de 31 de octubre, de medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones.Esta norma modificó la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, e introdujo en su artículo 122.2 la obligación de que el adjudicatario indique, antes de la formalización del contrato, dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados, y de que comunique cualquier cambio durante la ejecución. Estas obligaciones se califican como esenciales a efectos de resolución del contrato, y la falta de mención en los pliegos se convirtió en causa de nulidad de pleno derecho conforme al artículo 39.2.h) de la misma ley.
El mismo Real Decreto-ley añadió el artículo 46 bis a la Ley 40/2015, que obliga a que determinados sistemas —censo electoral, padrones municipales y registros de población, datos fiscales y datos del Sistema Nacional de Salud— se ubiquen y se presten dentro del territorio de la Unión Europea.
Por eso, cuando en una licitación le preguntan dónde están sus servidores, no es curiosidad: hay una ley detrás.
El CCN: quién fija el criterio técnico
- El Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia, es el organismo de referencia del ENS en España. Publica las guías CCN-STIC de la serie 800, que son las que van a manejar tanto usted como su auditor. Estas son las que más le van a sonar:
- CCN-STIC 808. Verificación del cumplimiento de las medidas del ENS.
- CCN-STIC 809. Declaración y certificación de conformidad con el ENS.
- CCN-STIC 825. Relación entre el ENS y la certificación ISO 27001.
- CCN-STIC 883. Implantación del ENS en entidades locales, con perfiles de cumplimiento específicos según el tamaño del municipio.
El CCN pone además a disposición de las organizaciones herramientas de apoyo como PILAR, para el análisis de riesgos, el catálogo CPSTIC de productos y servicios de seguridad, e INES, la plataforma del informe del estado de la seguridad. A través del CCN-CERT se articula la capacidad de respuesta a incidentes prevista en los artículos 33 y 34 del real decreto.
La disposición adicional segunda del Real Decreto 311/2022 prevé además la aprobación, por el ministerio competente en materia de transformación digital, de instrucciones técnicas de seguridad de obligado cumplimiento, publicadas mediante resolución.
ENAC: por qué su certificado tiene que estar acreditado
ENAC, la Entidad Nacional de Acreditación, es el organismo que acredita en España a las entidades que certifican la conformidad con el ENS. Lo hace conforme a la norma UNE-EN ISO/IEC 17065:2012, mediante un esquema de acreditación desarrollado en colaboración con el Centro Criptológico Nacional.Esto tiene una consecuencia muy práctica para usted: un certificado emitido por una entidad no acreditada no le va a servir donde importa. Antes de contratar la certificación, compruebe que la entidad figura como acreditada. Nosotros se lo comprobamos.BÁSICA, MEDIA o ALTA: la decisión que marca el plazo y el presupuesto
Antes de implantar nada hay que categorizar el sistema. De esa categoría depende cuántas medidas tendrá que aplicar, cuánto le va a costar y cómo tendrá que acreditar la conformidad. Es, con diferencia, la decisión más importante del proyecto.El procedimiento está en el Anexo I del Real Decreto 311/2022. Se valoran cinco dimensiones de la seguridad de la información:
- Confidencialidad. Que la información no la vea quien no debe.
- Integridad. Que no se altere sin autorización.
- Trazabilidad. Que se pueda saber quién hizo qué y cuándo.
- Autenticidad. Que quien dice ser el origen de la información lo sea de verdad.
- Disponibilidad. Que el servicio esté cuando hace falta.
Cada dimensión se valora en nivel BAJO, MEDIO o ALTO según el perjuicio que causaría un incidente. La categoría del sistema la marca la dimensión más exigente, conforme al artículo 40. Y el reparto de decisiones lo fija el artículo 41: los responsables de la información y del servicio determinan las valoraciones, y el responsable de la seguridad determina la categoría del sistema.
Categoría | Cuándo corresponde | Cómo se acredita la conformidad | Qué supone en la práctica |
BÁSICA | Alguna dimensión alcanza el nivel BAJO y ninguna supera ese nivel | Autoevaluación y Declaración de Conformidad. | El proyecto más contenido. Aun así hay que documentar, formar y auditar el sistema. |
MEDIA | Alguna dimensión alcanza el nivel MEDIO y ninguna supera ese nivel. | Auditoría de certificación por entidad acreditada por ENAC. | Es la categoría más habitual en ayuntamientos y en proveedores tecnológicos de la Administración. |
ALTA | Alguna dimensión alcanza el nivel ALTO. | Auditoría de certificación por entidad acreditada por ENAC. | Exige el conjunto más amplio de medidas y refuerzos del Anexo II. |
| Grupo ACMS Consultores. Consultora especializada en diseño, implantación y mantenimiento de Sistemas de gestión | |||
Esa selección se formaliza en la Declaración de Aplicabilidad, que firma el responsable de la seguridad (artículo 28). Cuando una medida no encaja con su realidad, el propio real decreto permite sustituirla por medidas compensatorias, siempre que se documente que protegen igual o mejor.
Declaración de conformidad o certificación: qué necesita usted exactamente
El artículo 38 del Real Decreto 311/2022 establece los procedimientos para determinar la conformidad con el ENS, y distingue dos caminos según la categoría del sistema.Declaración de Conformidad | Certificación de Conformidad | |
A quién corresponde | Sistemas de categoría BÁSICA | Sistemas de categoría MEDIA o ALTA |
Cómo se obtiene | Autoevaluación de la propia organización. | Auditoría realizada por una entidad de certificación acreditada por ENAC. |
Quién la firma o emite | La propia entidad. | La entidad de certificación acreditada. |
Auditoría de seguridad | Sí. El artículo 31 exige auditoría ordinaria al menos cada dos años. | Sí. La misma auditoría del artículo 31 puede servir a efectos de certificación. |
Publicidad | Se da publicidad a la conformidad en la sede electrónica o portal de internet correspondiente. | Igual, y además se dispone del certificado y del distintivo para presentarlo en licitaciones. |
| Grupo ACMS Consultores. Consultora especializada en diseño, implantación y mantenimiento de Sistemas de gestión | ||
Antes de decidir, lea el pliego. Es el pliego el que determina qué le van a exigir, y no siempre coincide con el mínimo legal.
Cuánto dura el certificado
Los certificados de conformidad con el ENS emitidos por entidades acreditadas tienen una vigencia de dos años, en coherencia con la periodicidad de auditoría que fija el artículo 31.Además de la auditoría ordinaria, el real decreto exige auditorías extraordinarias cuando se producen modificaciones sustanciales en el sistema que puedan repercutir en las medidas de seguridad. Un cambio de proveedor de alojamiento, una migración a la nube o una reestructuración de la red entran en esa categoría.
Perfiles de cumplimiento específicos: la vía que casi nadie aprovecha
El artículo 30 del Real Decreto 311/2022 permite implementar perfiles de cumplimiento específicos: conjuntos de medidas adaptados a un tipo de entidad o a un sector concreto, que el Centro Criptológico Nacional valida y publica.un perfil de cumplimiento específico permite alcanzar una adecuación al ENS igual de válida con un esfuerzo proporcionado a la realidad de la organización. Hay perfiles publicados, por ejemplo, para entidades locales según su número de habitantes, para el sector Salud y para facilitar el cumplimiento de la directiva NIS 2.
Si usted es un ayuntamiento pequeño con recursos limitados, esta es probablemente la conversación más rentable que puede tener con un consultor. En el diagnóstico inicial le decimos si existe un perfil aplicable a su caso.
Cómo trabajamos, fase a fase
- Diagnóstico inicial, sin coste. Nos reunimos con usted, vemos qué le están pidiendo y en qué punto está. Salimos de ahí con una idea clara del alcance.
- Propuesta con presupuesto cerrado. Alcance, calendario, entregables y precio. Sin partidas abiertas ni sorpresas a mitad de proyecto.
- Alcance y categorización. Delimitamos los sistemas y servicios afectados y determinamos la categoría conforme al Anexo I. Este paso lo hacemos con su gente, no de espaldas a ella.
- Análisis y gestión de riesgos. Identificamos activos, amenazas y riesgos, y decidimos con usted qué se trata y qué se asume.
- Diseño del sistema y Declaración de Aplicabilidad. Selección justificada de las medidas del Anexo II, con las compensatorias que procedan, y política de seguridad lista para aprobación.
- Documentación e implantación. Normativa, procedimientos, registros y plan de adecuación con tareas, responsables y fechas. Aquí es donde el sistema deja de ser papel.
- Formación y concienciación. Sesiones diferenciadas para dirección, personal técnico y resto de la plantilla.
- Auditoría interna y cierre de hallazgos. Auditamos el sistema como lo haría el auditor externo y corregimos lo que aparezca.
- Auditoría de certificación. Le ayudamos a elegir entidad acreditada, preparamos el expediente y le acompañamos durante la auditoría.
- Mantenimiento. Revisiones periódicas, seguimiento de indicadores, preparación de la auditoría bienal y renovación del certificado.
Qué se lleva usted al terminar
Al cerrar el proyecto, su organización dispone de:- Política de seguridad de la información aprobada por el órgano competente.
- Documento de categorización del sistema con la valoración de las cinco dimensiones.
- Análisis y tratamiento de riesgos documentado.
- Declaración de Aplicabilidad firmada por el responsable de la seguridad.
- Nombramientos y funciones de los cuatro responsables del ENS.
- Cuerpo normativo y procedimental: normativa de seguridad, procedimientos operativos y registros.
- Plan de adecuación con su estado de ejecución.
- Informe de auditoría interna y plan de acciones correctivas.
- Expediente preparado para la entidad de certificación.
- Declaración o Certificación de Conformidad, según la categoría, y el distintivo correspondiente.
- Plataforma ISOAPPWEB con todo el sistema cargado y en funcionamiento. (opcional)
ISOAPPWEB: el software con el que su ENS se mantiene vivo
ISOAPPWEB es la plataforma que hemos desarrollado nosotros mismos para implantar y mantener sistemas de gestión, y cuenta con un módulo aplicable al Esquema Nacional de Seguridad.
No es un extra: es lo que marca la diferencia entre un sistema que se sostiene solo y un sistema que hay que rehacer cada dos años, cuando llega la auditoría.
Con ISOAPPWEB su equipo tiene en un único sitio:
- Toda la documentación del ENS con control de versiones y de aprobaciones.
- La Declaración de Aplicabilidad viva, conectada con las medidas del Anexo II.
- El registro de riesgos y su tratamiento.
- El plan de adecuación con tareas, responsables y fechas, y su seguimiento.
- Los registros y evidencias que le va a pedir el auditor, ordenados y localizables.
- Avisos de vencimientos y revisiones, para que no se le pase nada.
- Acceso desde cualquier lugar, con permisos por perfil.
Es un desarrollo propio de GRUPO ACMS. Eso significa que si necesita un ajuste, hablamos con nuestro equipo de desarrollo, no con el soporte de un tercero.
Si ya tiene la ISO 27001, no parte de cero (pero no le vale sin más)
Son dos marcos distintos. La ISO 27001 es una norma internacional voluntaria, con controles que cada organización selecciona según su análisis de riesgos. El ENS es una norma jurídica española, obligatoria en su ámbito de aplicación, con medidas tasadas por categoría en el Anexo II. Tener una no le da la otra automáticamente.Dicho esto, si ya tiene un sistema de gestión de seguridad de la información certificado, tiene mucho terreno ganado: el análisis de riesgos, la política, la organización de la seguridad, la gestión de incidentes o la formación son aprovechables casi al completo. El Centro Criptológico Nacional publica precisamente una guía, la CCN-STIC 825, dedicada a la relación entre el ENS y la certificación ISO 27001.
Nosotros hacemos el trabajo de correspondencia y le decimos, medida a medida, qué ya cumple y qué le falta. Y al revés: si su objetivo a medio plazo es también la ISO 27001, diseñamos el proyecto para que sirva a las dos cosas.
Qué pasa después del certificado
El ENS no es un trámite que se cierra. Estas son las obligaciones que siguen vivas y que forman parte de nuestro servicio de mantenimiento:- Auditoría ordinaria al menos cada dos años. Lo exige el artículo 31, tanto para los sistemas certificados como para los que se acogen a la declaración de conformidad.
- Auditoría extraordinaria. Cada vez que se produzcan modificaciones sustanciales en el sistema que puedan afectar a las medidas de seguridad.
- Publicidad de la conformidad. Dar a conocer la declaración o certificación en la sede electrónica o portal correspondiente.
- Informe del estado de la seguridad. El artículo 32 prevé la recogida de información sobre el estado de la seguridad a través de la Comisión Sectorial de Administración Electrónica, con el CCN articulando los procedimientos. En la práctica se canaliza mediante la plataforma INES. Pregunte a su entidad de certificación si se lo van a solicitar dentro del expediente.
- Gestión de incidentes. Los artículos 33 y 34 regulan la capacidad de respuesta a incidentes y el papel del CCN-CERT como referencia.
- Mejora continua. El artículo 27 obliga a actualizar y mejorar de forma continua el proceso de seguridad.
Con quién trabajamos en España
Nuestros proyectos de ENS se reparten, más o menos a partes iguales, entre organizaciones públicas y empresas que les prestan servicio:- Ayuntamientos, diputaciones, mancomunidades y consorcios.
- Organismos autónomos, entidades públicas empresariales y sociedades del sector público.
- Universidades, centros de investigación y centros sanitarios.
- Empresas de desarrollo de software y de servicios informáticos con contratos públicos.
- Proveedores de alojamiento, servicios en la nube y centros de datos.
- Consultoras, ingenierías y despachos profesionales que tratan información de organismos públicos.
- Empresas de digitalización y gestión documental.
- Compañías de servicios que operan sistemas al servicio de una administración.
- Atendemos toda España desde nuestras oficinas de Madrid, Barcelona y Burgos, y trabajamos tanto de forma presencial como en remoto.
Cuánto dura y cuánto cuesta
Le decimos la verdad: depende, y quien le dé un precio sin haber mirado su caso le está vendiendo humo. Lo que marca el plazo y el presupuesto es esto:- La categoría del sistema: BÁSICA, MEDIA o ALTA.
- El alcance: cuántos sistemas, servicios y sedes entran.
- El punto de partida: no es lo mismo empezar de cero que venir de un sistema de gestión ya implantado.
- La infraestructura: si está en la nube, en local o repartida, y cuántos terceros intervienen.
- Si le sirve un perfil de cumplimiento específico.
- Si necesita solo la adecuación o también la certificación.
Lo que sí le garantizamos es cómo se lo vamos a plantear: un presupuesto cerrado, un calendario con fechas y unos entregables definidos. Y el coste de la entidad de certificación va aparte, siempre, porque es un tercero independiente y no queremos que aparezca escondido dentro de nuestra factura.
Cuéntenos su caso y le pasamos un presupuesto cerrado
Preguntas frecuentes sobre el ENS en España
¿El Esquema Nacional de Seguridad es obligatorio para una empresa privada?
Sí, cuando la empresa presta servicios o provee soluciones a entidades del sector público para el ejercicio de sus competencias y potestades administrativas, en virtud de una relación contractual. Lo establece el artículo 2.3 del Real Decreto 311/2022. Si su empresa no trabaja con la Administración, el ENS no le obliga, aunque puede aplicarlo voluntariamente como referencia de seguridad.¿Qué diferencia hay entre la Declaración de Conformidad y la Certificación de Conformidad?
La Declaración de Conformidad es una autoevaluación que hace la propia organización y está prevista para los sistemas de categoría BÁSICA. La Certificación de Conformidad la emite una entidad de certificación acreditada tras auditar el sistema, y es la que corresponde a los sistemas de categoría MEDIA o ALTA. Lo regula el artículo 38 del Real Decreto 311/2022.¿Cuánto tiempo vale el certificado del ENS?
Dos años. Después hay que renovarlo mediante una nueva auditoría. Además, el artículo 31 obliga a realizar una auditoría ordinaria al menos cada dos años y auditorías extraordinarias cuando se producen modificaciones sustanciales en el sistema.¿Quién puede emitir un certificado del ENS?
Solo las entidades de certificación acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012, en el esquema desarrollado por ENAC junto al Centro Criptológico Nacional. Antes de contratar, compruebe que la entidad está acreditada para el ENS: un certificado no acreditado no le va a servir en una licitación.Tengo la ISO 27001. ¿Ya cumplo el ENS?
No de forma automática. Son marcos distintos: la ISO 27001 es voluntaria e internacional y el ENS es una norma jurídica española con medidas tasadas por categoría. Ahora bien, si tiene la ISO 27001 implantada, buena parte del trabajo está hecha. El Centro Criptológico Nacional publica la guía CCN-STIC 825 sobre la relación entre ambos.¿Qué me puede pasar si no me adecúo al ENS?
El Esquema Nacional de Seguridad no establece un régimen sancionador propio con multas.El riesgo es contractual y comercial: quedarse fuera de licitaciones que exigen acreditar la conformidad, tener que subsanar durante la ejecución del contrato o exponerse a la resolución del contrato cuando el pliego configura estas obligaciones como esenciales, como ocurre con las introducidas por el Real Decreto-ley 14/2019 en la Ley 9/2017. A esto se suma el riesgo de seguridad, que es el motivo por el que existe la norma.
¿Quién decide la categoría de mi sistema?
Conforme al artículo 41 del Real Decreto 311/2022, los responsables de la información y del servicio determinan las valoraciones de cada dimensión, y el responsable de la seguridad determina la categoría del sistema. No es una decisión del proveedor informático ni del consultor: nosotros le ayudamos a justificarla, pero la firma corresponde a su organización.¿Tengo que publicar algo en mi página web?
El Real Decreto 311/2022 contempla dar publicidad a las declaraciones y certificaciones de conformidad en las sedes electrónicas o portales de internet correspondientes. Para una empresa privada, lo relevante en el día a día es poder aportar el certificado y el distintivo cuando se lo pidan en una licitación.Mis servidores están fuera de España. ¿Es un problema?
Depende del servicio y de la información. Desde el Real Decreto-ley 14/2019, el adjudicatario de un contrato público debe indicar antes de la formalización dónde estarán ubicados los servidores y desde dónde se prestarán los servicios, y comunicar cualquier cambio.Además, el artículo 46 bis de la Ley 40/2015 obliga a que determinados sistemas —censo electoral, padrones municipales y registros de población, datos fiscales y datos del Sistema Nacional de Salud— se ubiquen y presten dentro de la Unión Europea.
¿Qué es un perfil de cumplimiento específico y me conviene?
Es un conjunto de medidas adaptado a un tipo de entidad o a un sector, previsto en el artículo 30 del Real Decreto 311/2022 y validado y publicado por el Centro Criptológico Nacional. Existen perfiles publicados, por ejemplo, para entidades locales según su tamaño y para el sector Salud.Si le aplica uno, le permite adecuarse con un esfuerzo proporcionado a su realidad. Se lo comprobamos en el diagnóstico inicial.
¿Y la NIS 2? ¿Me afecta ya?
La Directiva (UE) 2022/2555, conocida como NIS 2, tiene que transponerse al derecho español mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad. El anteproyecto se aprobó en Consejo de Ministros el 14 de enero de 2025 y, a fecha de agosto de 2026, la ley aún no se ha publicado en el BOE. Conviene seguirlo de cerca, porque el trabajo hecho para el ENS le sitúa en muy buena posición para lo que venga.¿Cuánto se tarda en adecuarse al ENS?
Depende de la categoría, del alcance y del punto de partida. Por eso el diagnóstico inicial es gratuito: al terminarlo le damos un calendario con fechas, no una estimación al aire.¿GRUPO ACMS me puede certificar?
No, y es deliberado. Somos consultores, no entidad de certificación. Le implantamos el sistema y le acompañamos hasta el certificado, pero quien lo emite es una entidad acreditada por ENAC, independiente de nosotros. Esa separación es la que hace que su certificado tenga valor.¿Trabajan en toda España?
Sí. Tenemos oficinas en Madrid, Barcelona y Burgos, y trabajamos en toda España de forma presencial y en remoto. El grupo cuenta además con oficinas en Chile y México, aunque el ENS es una norma exclusivamente española.¿Por qué Grupo ACMS Consultores?
Compromisos y garantías de nuestro servicio | ||
Aspecto | Ventaja líder | |
Experiencia | Más de 25 años de trayectoria en consultoría y formación. Fundado en 1998, con más de 1.000 proyectos implantados con éxito. | |
Certificados propios | Disponemos de los certificados ISO 9001, ISO 27001 y Marca Madrid Excelente en ACMS España. | |
Porfolio y diversificación | Amplia gama de servicios de consultoría en certificación (ISO 9001, ISO 14001, ISO 45001, etc.) y acreditación (ISO 15189, ISO 17025, ISO 17020, entre otras). Capacidad para abordar proyectos integrados y multisectoriales. | |
Precio | Presupuestos personalizados con condiciones de pago adaptadas a las necesidades de cada cliente. | |
Garantía | Compromiso de acompañamiento hasta la certificación o acreditación, asegurando resultados tangibles. | |
Desarrollo y soporte | Asesoramiento continuo durante todo el proceso de implantación, desde el diagnóstico inicial hasta la auditoría final. Desarrollo de sistemas de gestión totalmente adaptados a cada organización evitando la burocratización del mismo. Diseño de procedimientos documentados, flujogramas y cuadros de gestión de procesos de fácil comprensión. | |
Referencias | El GRUPO ACMS trabaja con pequeñas y grandes empresas tanto del sector público como privado. Conozca nuestros casos de éxito. | |
Oficinas | Presencia nacional e internacional con sedes en Madrid, Barcelona, Burgos, México y Chile, lo que permite cercanía y atención personalizada. | |
Software propio | Plataforma ISOAPPWEB desarrollada internamente para el mantenimiento y control de la norma ISO 9001 que agiliza procesos, reduce costes y facilita el control documental. | |
Plataforma formación | Campus online con cursos especializados en diversas áreas donde ofrecemos asesoramiento. Incluye programas actualizados y accesibles en modalidad e-learning. | |
Grupo ACMS Consultores. Consultora especializada en diseño, implantación y mantenimiento de Sistemas de gestión | ||
Hablemos
Cuéntenos a qué se dedica su organización y qué le están pidiendo. Le llamamos, revisamos su situación y le decimos con franqueza qué necesita, qué no necesita y cuánto le va a costar.Si vemos que no le hace falta contratarnos, también se lo diremos.
El diagnóstico inicial no tiene coste ni compromiso.
