El ENS para empresas proveedoras es obligatorio cuando prestas servicios o aportas soluciones a la Administración pública, y cada vez más pliegos lo exigen para poder ejecutar el contrato.
Te ayudamos a saber qué te pide exactamente tu contrato, a certificar solo los sistemas que dan ese servicio y a llegar a tiempo a la licitación.
Cuándo el ENS es obligatorio para una empresa proveedora
El artículo 2.3 del Real Decreto 311/2022 extiende el Esquema Nacional de Seguridad a los sistemas de las empresas privadas que, en virtud de un contrato, prestan servicios o proveen soluciones al sector público para el ejercicio de sus competencias. Los contratos se rigen por la Ley 9/2017 de Contratos del Sector Público, y las guías para cumplirlo las publica el Centro Criptológico Nacional (CCN).
No es solo cosa de empresas de informática. Te afecta si tus sistemas tratan información o soportan un servicio de una Administración, por ejemplo:
- Outsourcing TIC: desarrollo, mantenimiento, soporte, centros de datos o servicios gestionados.
- Consultoría y externalización de procesos: tramitación de expedientes, gestión documental, digitalización o atención a la ciudadanía.
- Servicios con sistemas propios: centros de atención telefónica, seguridad privada, mantenimiento de instalaciones con plataformas de gestión o control.
- Software, SaaS y cloud que usa la Administración. Este caso tiene particularidades propias que explicamos en ENS para empresas de informática, software y SaaS.
No toda relación comercial activa el ENS: venderle material de oficina a un ayuntamiento no lo hace. La clave es si tus sistemas forman parte del servicio que prestas. Si eres la propia entidad pública, tu caso está en ENS para administraciones públicas.
¿QUIERES CONSEGUIR EL CERTIFICADO ENS?
Qué te pide el pliego: declaración, certificación y alcance
Cuando un pliego menciona el ENS, conviene leerlo con lupa antes de presentarse. Estas son las cuatro cuestiones que más dudas generan:
Declaración o certificación según la categoría
El pliego debe indicar la categoría del sistema. En categoría básica basta una declaración de conformidad basada en una autoevaluación. En categoría media o alta necesitas una certificación de conformidad, emitida por una entidad acreditada tras una auditoría. La mayoría de los proveedores privados certificados están en categoría media.
Solo los sistemas que dan el servicio, no toda la empresa
La certificación ENS se define sobre «los sistemas de información que dan soporte a» unos servicios concretos. No necesitas certificar toda tu organización, sino el alcance que pide el contrato. Definir bien ese alcance es lo que más tiempo y dinero ahorra en el proyecto.
Plazos: cuándo tienes que tenerlo
Los tribunales de contratación han considerado la conformidad con el ENS una característica del servicio y no un requisito de solvencia, de modo que suele exigirse como condición de ejecución del contrato. Aun así, revisa tu pliego: si te lo piden al empezar a prestar el servicio, una adecuación lleva meses y no se improvisa en la semana de la adjudicación. Lo ideal es tenerlo antes de que te lo pidan.
Subcontratistas y cadena de suministro
Quien firma el contrato con la Administración es el responsable de cumplir. Que un subcontratista tenga su certificado ENS no cubre tu parte del servicio. Además, tú debes trasladar los requisitos del ENS a los proveedores que intervienen en ese servicio cuando el análisis de riesgos lo exige.
Qué debe entregar el proveedor a la Administración
Más allá del certificado, la Administración espera que el proveedor le informe con transparencia sobre el servicio que presta. Según las guías del CCN, debes poder aportar:
- Descripción de los servicios y de su modalidad de prestación.
- Arquitectura de seguridad y medidas aplicadas.
- Ubicación de la información y de los sistemas.
- Cumplimiento de la normativa de protección de datos.
- Gestión y comunicación de incidentes de seguridad.
- Cadena de subcontratación y cambios en ella.
- Seguimiento de los acuerdos de nivel de servicio (SLA).
Si el servicio se presta en la nube, la guía CCN-STIC 823 recoge los requisitos específicos. Si instalas tu solución en la infraestructura del cliente (on-premise), la guía CCN-STIC 858 detalla la documentación que debes aportar: una guía de instalación y configuración segura, una guía de uso seguro y un reparto claro de qué controles del ENS son responsabilidad tuya y cuáles del cliente.
En Soluciones QES te acompañamos en todo el recorrido con nuestra consultoría ENS: leemos el pliego contigo, definimos el alcance mínimo, implantamos las medidas aprovechando tu ISO 27001 si ya la tienes, preparamos esta documentación y te dejamos listo para el proceso de certificación del ENS con una entidad acreditada. Conocemos la contratación pública desde los dos lados, porque también trabajamos para administraciones.
Preguntas frecuentes para empresas proveedoras de la Administración pública
No. La certificación se limita a los sistemas de información que soportan los servicios que prestas a la Administración. Un buen alcance reduce el coste y el plazo del proyecto.
Depende del pliego. Habitualmente se exige como condición de ejecución, no para presentarse, pero tendrás que acreditarlo cuando empieces a prestar el servicio. Si ves que el ENS empieza a aparecer en los pliegos de tu sector, es momento de ponerse en marcha.
No lo sustituye, pero es una muy buena base. Comparten gran parte de los controles, así que lo eficiente es integrar ambos en un mismo sistema de gestión.
No. El responsable ante la Administración es quien firma el contrato. El certificado del subcontratista ayuda en su parte, pero tú tienes que acreditar la tuya.