¿Cuándo aplica el ENS a una empresa privada? El criterio del artículo 2.3

Para una visión general de NIS2 y ENS conjuntamente, puedes consultar la guía introductoria del sitio sobre ambas normativas. Aquí vamos directos al criterio legal concreto que determina si tu empresa privada está dentro del ámbito del ENS.

El artículo 2.3 del Real Decreto 311/2022 es la disposición que extiende el ámbito subjetivo del Esquema Nacional de Seguridad más allá de la Administración Pública. Establece que el ENS resulta aplicable a entidades del sector privado cuando concurren dos condiciones simultáneamente:

Las dos condiciones del artículo 2.3

Primera: existe una relación contractual. La empresa privada presta servicios o provee soluciones a una entidad del sector público para el ejercicio de sus competencias y potestades administrativas. Segunda: el pliego lo recoge expresamente. Los pliegos de prescripciones administrativas o técnicas del contrato contemplan la necesidad de cumplir requisitos para asegurar la conformidad con el ENS de los sistemas de información en los que se sustentan los servicios prestados por el contratista.

En la práctica, esto afecta de forma directa a proveedores cloud (PaaS, IaaS, SaaS), empresas de desarrollo de software para AAPP, integradores de sistemas, proveedores de soporte técnico y mantenimiento, y cualquier empresa que aloje, procese o administre sistemas TIC que tratan información o sustentan servicios del sector público. Si tu empresa encaja en alguno de estos perfiles, el siguiente paso lógico es revisar los pliegos de tus contratos vigentes y futuros para confirmar si la exigencia ENS está presente.

ENS y licitaciones públicas: por qué sin certificación no puedes presentarte

El efecto del ENS sobre la contratación pública depende de cómo esté configurada la exigencia dentro del pliego. No es lo mismo que se exija como requisito de solvencia, que se valore como un mérito en la adjudicación o que se imponga como obligación durante la ejecución del contrato. Cada configuración tiene un efecto jurídico distinto, y confundirlas es el error más costoso para una pyme que se presenta a una licitación.

El primer paso práctico ante cualquier pliego con mención al ENS es identificar en qué categoría de las tres anteriores se encuadra la exigencia. La redacción concreta del pliego es la única fuente fiable: las suposiciones genéricas sobre "qué suele exigirse" llevan a errores de planificación que se descubren demasiado tarde.

Niveles del ENS: básico, medio y alto

El ENS no asigna un nivel de seguridad a la empresa, sino a cada sistema de información concreto. La categoría se determina evaluando el impacto que tendría un incidente de seguridad sobre cinco dimensiones: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Cada dimensión recibe un nivel de impacto —bajo, medio o alto— y la categoría final del sistema corresponde al valor más alto obtenido entre las cinco, no a una media ni a una elección de la empresa.

Para la dirección de una pyme, lo relevante no son los detalles técnicos de cada dimensión, sino lo que cada nivel implica en términos de esfuerzo, gobernanza y evidencia documental exigible:

El nivel que corresponde a tu empresa no es una decisión interna: depende del análisis de impacto sobre los sistemas concretos que sustentan el servicio prestado a la Administración. Conocer el nivel antes de presentarte a una licitación o de negociar un contrato evita comprometerte a un calendario de certificación que no se ajusta a la realidad de tu organización.

ENS y tu cadena de suministro: cuándo te lo exige un cliente, no la ley

Esta es, probablemente, la situación más frecuente y menos comprendida entre pymes españolas: una empresa puede no tener ninguna relación contractual directa con la Administración Pública y, aun así, recibir la exigencia del ENS por la vía de su propio cliente.

El artículo 2.3 del RD 311/2022 extiende la cautela del ENS a la cadena de suministro de los contratistas "en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos". En la práctica, esto significa que si tu cliente es un integrador, una consultora TIC o un proveedor de servicios gestionados que sí está obligado por el ENS porque presta servicios directamente a la AAPP, ese cliente puede trasladarte la exigencia a ti como su subcontratista, aunque tú nunca firmes nada directamente con la Administración.

Para una pyme que se encuentra en esta situación, la primera señal de alarma no es una notificación oficial: es un cuestionario de seguridad inesperado, una nueva cláusula en la renovación de un contrato de servicios, o una solicitud de evidencias de cumplimiento que antes no se pedían. Gestionar esta relación contractual en cascada —entender qué nivel corresponde, qué evidencias hay que generar y cómo responder sin comprometer plazos— es exactamente el tipo de función que normalmente recae en un responsable de seguridad, interno o externo (CISO/vCISO), capaz de interpretar la exigencia del cliente y traducirla en un plan de acción concreto.

Diferencia entre ENS, NIS2 e ISO 27001: qué normativa aplica a tu empresa

Las tres normativas comparten objetivo —proteger la información y los sistemas frente a incidentes de seguridad— pero difieren en ámbito, obligatoriedad y origen. La pregunta relevante para una pyme no es "cuál es mejor", sino cuál te exige tu situación contractual concreta:

En la práctica, una misma pyme puede encontrarse sujeta a más de un marco simultáneamente: por ejemplo, una empresa de servicios TIC que es proveedora de un organismo público (ENS) y que, además, opera en un sector regulado por NIS2 como cliente final. En ese escenario, lo razonable es identificar primero qué requisitos coinciden entre ambos marcos para evitar duplicar trabajo, y abordar después las exigencias específicas de cada normativa por separado.

Qué exige el ENS en la práctica: política de seguridad, comité y evidencias

Más allá de los controles técnicos del Anexo II, el ENS exige una estructura de gobernanza concreta que recae en buena parte sobre la dirección de la empresa, no únicamente sobre el equipo técnico. Se apoya en tres pilares:

Política de seguridad aprobada por la dirección

El artículo 12 del RD 311/2022 exige que la política de seguridad sea aprobada formalmente por el órgano que ostente las máximas competencias ejecutivas de la organización. No basta con que el departamento técnico redacte el documento: tiene que estar respaldado y aprobado al máximo nivel, con el contenido mínimo que marca el propio artículo 12.

Designación formal de responsables

El ENS exige nombrar formalmente, como mínimo, un responsable de seguridad y un responsable del sistema (en organizaciones pequeñas, ambos roles pueden recaer en la misma persona, pero deben estar designados explícitamente). El responsable de seguridad es quien mantiene la política, supervisa su cumplimiento y actúa como interlocutor ante auditorías. Esta función no requiere necesariamente una contratación interna a tiempo completo: para muchas pymes, cubrir este rol mediante un CISO externo o vCISO es la fórmula más eficiente, ya que aporta experiencia especializada sin el coste de una incorporación a jornada completa.

Declaración de aplicabilidad documentada

Una vez categorizado el sistema (básico, medio o alto), la empresa debe formalizar una declaración de aplicabilidad: el documento donde se listan las medidas de seguridad del Anexo II que resultan de obligado cumplimiento tras el análisis de riesgos, justificando explícitamente cualquier exclusión. Esta declaración es, junto con la política de seguridad, el documento que un auditor revisará primero.

Cuánto tiempo lleva certificarse y qué pasa si no lo tienes a tiempo

La pregunta sobre el plazo de certificación no tiene una respuesta única, y cualquier cifra genérica de "X meses" que encuentres en internet debe tomarse con cautela. El tiempo real depende de tres factores que varían de una empresa a otra:

El punto de partida. Una empresa que ya tiene políticas documentadas, responsables designados y controles técnicos razonables tiene una brecha mucho menor que una que empieza desde cero. El alcance. El número de sistemas que entran dentro del perímetro de certificación multiplica directamente el trabajo de categorización, documentación y auditoría. El nivel exigido. Un sistema de nivel básico requiere un conjunto de medidas mucho más reducido que uno de nivel alto, lo que afecta directamente al tiempo de implantación.

Por eso, en lugar de prometer un plazo cerrado, lo honesto es decir que depende del punto de partida, el alcance y el nivel exigido — el mismo enfoque que aplicamos al hablar de plazos de adaptación a NIS2.

Qué pasa si no lo tienes a tiempo

Si el ENS está configurado como requisito de solvencia técnica en el pliego y no puedes acreditarlo en el plazo de presentación de ofertas, la consecuencia directa es la exclusión del procedimiento concreto o, si el contrato ya estaba adjudicado bajo condición, la pérdida de ese contrato específico. Es importante matizar que esto no implica una inhabilitación general para participar en licitaciones futuras: una vez regularizada la situación y obtenida la certificación, la empresa puede volver a presentarse con normalidad a nuevos procedimientos.

Cuando la falta de concreción sobre el nivel exigido en un pliego genera dudas, lo razonable es solicitar una aclaración formal al órgano de contratación antes de presentar la oferta, en lugar de asumir un nivel por defecto que después no se corresponda con lo realmente exigido.

Si quieres saber si tu empresa está realmente dentro del ámbito del ENS, qué nivel te correspondería y qué tiene sentido priorizar en tu situación concreta, agenda una llamada de diagnóstico gratuita de 15 minutos. Sin compromiso y sin tecnicismos.

Preguntas frecuentes sobre el ENS para empresas privadas

¿Quieres revisar tu nivel de preparación frente a ENS y NIS2 a la vez? Descarga la checklist NIS2/ENS para dirección, gratuita y sin tecnicismos.