Adecuación al ENS para empresas

Sí, cuando la empresa privada presta un servicio o aporta una solución al sector público por relación contractual. El Real Decreto 311/2022 extiende las exigencias del ENS a la cadena de suministro de la Administración. El plazo general de adecuación finalizó el 5 de mayo de 2024, así que las organizaciones obligadas deben estar ya adecuadas y mantener su conformidad.

Todo el sector público está obligado, y también las empresas privadas que le prestan servicios o soluciones por contrato, es decir, su cadena de suministro: proveedores TIC, integradores, licitadores y subcontratistas. Si tu actividad depende de contratos con organismos públicos, lo más probable es que el ENS te afecte.

La categoría depende del impacto que tendría un incidente sobre las cinco dimensiones de seguridad (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). Básica corresponde a impacto limitado, media a impacto grave y alta a impacto muy grave. A mayor categoría, más medidas del Anexo II y una vía de conformidad más exigente.

La certificación de conformidad del ENS la emite una entidad acreditada por la ENAC, conforme a la norma UNE-EN ISO/IEC 17065. Es obligatoria para las categorías media y alta, con renovación bienal. En la categoría básica basta con una declaración de conformidad autoevaluada. Summum prepara y acompaña tu adecuación, pero no certifica ni audita: esa función corresponde a la entidad acreditada independiente.

El Kit Consulting está diseñado para financiar el asesoramiento especializado en ciberseguridad y cumplimiento, que es justo la parte de consultoría de una adecuación al ENS (no la implantación técnica). Si tienes un bono concedido y en plazo, lo aplicamos al proyecto. Si no, dejamos tu caso preparado —diagnóstico y alcance— para presentarlo en cuanto se abra la próxima convocatoria. Lo detallamos en nuestra página del bono de ciberseguridad, ISO 27001 y ENS. Y si tu empresa está en Canarias, además facturamos sin IVA porque tenemos oficina propia en las islas.

Depende de la categoría de tus sistemas y de tu madurez de partida. Tras el diagnóstico te damos un calendario realista y trabajamos por fases —diagnóstico, riesgos, plan, implantación y preparación de la auditoría— para no frenar tu operación durante el proyecto.

Para las categorías media y alta, la certificación de conformidad tiene una renovación bienal: la entidad acreditada vuelve a comprobar el cumplimiento cada dos años. La categoría básica se mantiene mediante la declaración de conformidad, que también debe revisarse y actualizarse ante cambios relevantes en tus sistemas.

No son excluyentes. El ENS es obligatorio cuando trabajas con la Administración; la ISO 27001 es una certificación voluntaria de tu sistema de gestión de la seguridad de la información, válida en cualquier sector. Muchas empresas abordan ambas porque comparten buena parte de los controles. Lo analizamos en nuestra guía sobre cuándo elegir ENS o ISO 27001, y conviene tener en cuenta el contexto de la NIS2 y de la relación entre RGPD y ciberseguridad. Muchas organizaciones prefieren unificar ambos esfuerzos en un Sistema de Gestión Integrado (SGI) que combine calidad y seguridad bajo un mismo marco de control.

No hay tarifa única: depende de la categoría de tus sistemas, del alcance que declares y de tu madurez de partida. Como referencia de mercado, una consultora especializada del sector (Novaciber) publica rangos orientativos para el primer año de entre 4.000 y 10.000 euros en categoría básica, entre 12.000 y 30.000 euros en media y entre 35.000 y 110.000 euros o más en alta, para pymes de 10 a 200 empleados. Son estimaciones de un tercero, no tarifas de Summum. A eso hay que sumar el mantenimiento anual y, en categorías media y alta, la renovación bienal de la certificación; y se puede restar lo que financies con el Kit Consulting. Te damos tu cifra después del diagnóstico, no antes.

El Real Decreto 311/2022 no incluye un capítulo sancionador propio: no existe una multa directa por no estar adecuado. La consecuencia real es contractual y administrativa, y suele doler más que una sanción: no poder acreditar la conformidad que exige el pliego, quedar fuera de licitaciones, o incumplir una cláusula de un contrato en vigor con la Administración. Además, si a la falta de medidas se suma una brecha de datos personales, ahí sí entra un régimen sancionador, pero es el del RGPD, no el del ENS. Son marcos distintos y conviene no mezclarlos.

Sí, si prestan servicio al sector público o forman parte de su cadena de suministro. En retail ocurre más de lo que parece: quien suministra a comedores escolares, economatos u hospitales públicos, o integra su plataforma de pedidos con sistemas de la Administración, queda dentro del ámbito por relación contractual. En el ámbito sanitario, los centros concertados y los proveedores del sistema público de salud manejan datos de categoría especial, y la historia clínica electrónica puede llevar la categorización a nivel medio o superior, según el análisis de impacto del Anexo I. Lo que determina el alcance no es tu sector, es tu relación contractual con la Administración y el impacto de tus sistemas.