Una de las primeras dudas al abordar el Esquema Nacional de Seguridad es: ¿qué nivel tengo que cumplir? La respuesta no depende de lo que prefieras, sino del impacto que tendría un incidente sobre la información y los servicios que manejas. Entender los niveles te evita implantar de menos, con riesgo de quedar fuera de una licitación, o de más, con un coste innecesario.

Los tres niveles del ENS

  • Básico (36 medidas): el impacto de un incidente sería limitado.
  • Medio (58 medidas): el impacto sería grave.
  • Alto (73 medidas): el impacto sería muy grave.

Cada nivel incluye las medidas del anterior y añade otras más exigentes, que se recogen en el Anexo II del Real Decreto 311/2022.

Cómo se determina el nivel

Se valoran las consecuencias de un incidente sobre cinco dimensiones de la seguridad:

  • Confidencialidad: que la información no llegue a quien no debe.
  • Integridad: que no se altere sin autorización.
  • Disponibilidad: que esté accesible cuando se necesita.
  • Autenticidad: que se sepa quién la originó o accedió a ella.
  • Trazabilidad: que pueda reconstruirse quién hizo qué y cuándo.

Cada dimensión se califica como Baja, Media o Alta, y el nivel del sistema resulta de esa categorización. Este ejercicio es el primer paso de cualquier implantación y debe documentarse.

¿Quién decide el nivel?

Lo determina la propia organización responsable del sistema, aplicando los criterios del ENS y las guías del CCN. Cuando eres proveedor de una Administración, el nivel suele venir condicionado por los servicios que le prestas y por lo que indique el propio pliego. Conviene aclararlo con el cliente antes de empezar.

¿Qué exige cada nivel en la auditoría?

Los niveles Medio y Alto requieren auditoría externa realizada por una entidad certificadora acreditada por ENAC. En el nivel Básico es posible la autoevaluación con declaración de conformidad, aunque cada vez más clientes públicos solicitan la certificación por una entidad independiente.

No te sobredimensiones

Implantar el nivel Alto sin necesitarlo dispara plazos y costes sin ningún beneficio comercial adicional. Al revés, quedarte corto puede dejarte fuera del contrato. El nivel debe justificarse por el riesgo real de tus sistemas y no por querer «quedar bien».

Un sistema, varios niveles

No es obligatorio que toda tu empresa tenga el mismo nivel. Se puede delimitar el alcance a los sistemas que prestan servicio a la Administración y categorizarlos por separado. Acotar bien el alcance es una de las decisiones que más tiempo y dinero ahorra.

Si quieres ver todo el proceso, consulta nuestra página de certificación ENS.

Preguntas frecuentes

¿Cuántas medidas tiene cada nivel del ENS?

Básico, 36 medidas; Medio, 58; Alto, 73. Cada nivel incluye las del anterior y añade otras más exigentes.

¿Quién decide el nivel del ENS?

Lo determina la organización responsable del sistema aplicando los criterios del ENS y las guías del CCN. Si eres proveedor, suele venir condicionado por el servicio que prestas y por lo que indique el pliego.

¿Qué niveles exigen auditoría externa?

Los niveles Medio y Alto. En el Básico es posible la autoevaluación con declaración de conformidad.

¿Puede una empresa tener niveles distintos?

Sí. Se puede delimitar el alcance a los sistemas que prestan servicio a la Administración y categorizarlos por separado.

¿Necesitas ayuda con tu certificación? En MBV Calidad te acompañamos desde el diagnóstico hasta la auditoría. Solicita presupuesto sin compromiso.