El escenario habitual: alguien de tu empresa lee un pliego de prescripciones técnicas y se encuentra una cláusula que exige conformidad con el ENS. A veces es un requisito de solvencia; a veces, una condición de ejecución. En ambos casos la fecha de presentación de ofertas ya está fijada y el reloj corre.
Las dos primeras semanas no se dedican a "certificarse". Se dedican a entender exactamente qué te piden y a tomar tres o cuatro decisiones que evitan semanas de trabajo en la dirección equivocada. Este es el orden.
Primera decisión: qué categoría del ENS exige el pliego
La categoría del sistema —básica, media o alta— es el primer dato que hay que extraer del pliego, porque determina el nivel de exigencia, el número de medidas aplicables y, sobre todo, si necesitas una declaración o una certificación.
El RD 311/2022 clasifica los sistemas según el impacto que tendría un incidente sobre cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad (Anexo I). El nivel más alto alcanzado en cualquiera de esas dimensiones fija la categoría del sistema.
Muchos pliegos indican la categoría directamente ("se exige certificación del ENS en categoría MEDIA"). Otros la dejan implícita y hay que deducirla del tipo de información y de servicios que se van a tratar. Si el pliego no lo especifica, esa es la primera consulta al órgano de contratación, no una suposición.
Segunda decisión: ¿declaración de conformidad o certificación?
La categoría determina el mecanismo de conformidad. Según el artículo 38 del RD 311/2022, los sistemas de categoría básica pueden acreditar su conformidad mediante una autoevaluación que da lugar a una declaración de conformidad. Los sistemas de categoría media o alta requieren una auditoría de certificación realizada por una entidad de certificación acreditada por ENAC.
No son el mismo trámite ni el mismo plazo. Una declaración de conformidad es un proceso interno: la organización evalúa sus medidas y publica su distintivo. Una certificación exige una auditoría externa, con su calendario, su entidad acreditada y sus no conformidades que subsanar antes de emitir el certificado. El certificado de conformidad tiene una vigencia de dos años, con auditorías ordinarias al menos cada dos años.
Conviene ser honesto con el calendario: una fecha límite de licitación no acorta una auditoría de certificación. La entidad acreditada tiene sus tiempos, y una categoría media o alta no se certifica en el hueco que queda hasta presentar la oferta. Lo que sí puedes preparar en ese plazo es todo lo que hace que la auditoría, cuando llegue, no te sorprenda. Si tu pliego usa el término genérico "conformidad con el ENS" sin aclarar cuál, merece la pena distinguir bien declaración y certificación antes de decidir.
El problema del artículo 11: quién puede ser el responsable de seguridad
El candidato obvio para "encargarse del ENS" suele ser el responsable de sistemas o de IT. Y es precisamente a quien el RD 311/2022 descarta. El artículo 11 obliga a diferenciar cuatro responsabilidades —de la información, del servicio, de la seguridad y del sistema— y su apartado 2 establece que "la responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la explotación de los sistemas de información".
En la práctica: la persona que opera los sistemas (el responsable del sistema) no puede ser, a la vez, quien decide y supervisa la seguridad (el responsable de seguridad). El reglamento admite excepciones, pero exigen documentarse y acompañarse de medidas compensatorias; no son la norma, sino la excepción justificada.
Esto tiene una consecuencia de coste que conviene ver antes de empezar. Cubrir el rol de responsable de seguridad con una contratación interna no es un gasto menor: un CISO en España se sitúa en torno a los 100.000–120.000 € brutos anuales según el informe "Salarios estimados perfiles IT 2026" de Setesca Talent, y los perfiles sénior alcanzan los 180.000 € según Robert Walters. Y el artículo 11 impide resolverlo dándole ese sombrero a quien ya lleva los sistemas. Para una sola licitación, montar una función de seguridad interna y segregada raramente sale a cuenta.
Semana 1: categorizar, leer el pliego y asignar responsabilidades
El objetivo de la primera semana es convertir una cláusula del pliego en un alcance claro y unos roles asignados.
- Extrae del pliego la categoría exigida y el mecanismo (declaración o certificación). Si no está explícito, consúltalo por escrito al órgano de contratación.
- Define el alcance: qué sistema de información concreto entra en el ENS —el que da soporte al servicio licitado—, no toda la empresa.
- Asigna los cuatro roles del artículo 11 respetando la separación entre seguridad y explotación. Si vas a aplicar una excepción, documenta por qué y con qué medidas compensatorias.
- Localiza las guías CCN-STIC aplicables a tu categoría: son el criterio con el que se te va a auditar.
- Inventaría lo que ya tienes (políticas, controles, evidencias) frente a lo que el ENS exige. Si ya trabajas con ISO 27001, buena parte de la base documental se reaprovecha; encajar ISO 27001 y ENS como un solo programa evita duplicar trabajo.
Semana 2: análisis diferencial, plan de adecuación y decisión de camino
El objetivo de la segunda semana es saber a qué distancia estás del ENS y decidir cómo lo cubres antes de comprometerte en la oferta.
- Completa el análisis diferencial frente a las medidas del Anexo II para tu categoría.
- Redacta el plan de adecuación con responsables y fechas realistas: es el documento que demuestra que sabes qué falta y cómo lo vas a cerrar.
- Empieza la declaración de aplicabilidad: qué medidas aplican, cuáles no y por qué.
- Decide el camino: autoevaluación (categoría básica) o contacto con una entidad acreditada para planificar la auditoría (media o alta). Pide fechas reales de auditoría.
- Traslada esas fechas a la oferta: qué puedes acreditar el día de presentación y qué quedará en plan de adecuación.
El error de plazos que puede costarte la licitación
El error más caro es prometer en la oferta un certificado que no puedes tener el día de presentación. Si el pliego admite acreditar la conformidad durante la ejecución —y muchos lo admiten—, lo defendible es presentar el plan de adecuación y el calendario de auditoría, no afirmar una certificación que aún no existe. Si el pliego la exige como requisito de solvencia previo, el análisis de plazos de la semana 2 te dice si llegas, y es mejor saberlo antes de invertir en la oferta.
Comprometer una fecha de certificación que depende de una entidad acreditada externa, sin haber hablado antes con ella, es la forma más rápida de que una adjudicación se caiga en la fase de ejecución.
Cómo abordar el ENS sin montar un departamento de seguridad
La tensión de fondo es esta: el ENS te obliga a tener una función de seguridad real y separada de IT (artículo 11), pero levantar esa función internamente para una licitación cuesta seis cifras al año y no se improvisa en el plazo de un pliego.
La alternativa es operar esa función de forma externa y continua. Qalea actúa como el equipo de seguridad que la mayoría de empresas de este tamaño no puede permitirse en plantilla: asume el rol de seguridad de forma segregada de tu operación de sistemas, levanta la base documental y de controles del ENS y te deja en condiciones de afrontar la auditoría. No sustituye a la entidad de certificación —que es quien emite el certificado— ni promete plazos que dependen de ella.
Si tienes un pliego sobre la mesa con fecha de presentación, el punto de partida útil no es "certifícame", sino "dime en qué categoría estoy, qué necesito y si llego". Cuéntanos qué exige tu pliego y te devolvemos ese diagnóstico.
