¿Sabías que el 60% de las organizaciones públicas españolas no sabe exactamente qué categoría ENS les aplica? Y lo que es peor: muchas creen que estar en categoría media les exime de ciertos riesgos legales. Spoiler: no es así.

La diferencia entre ENS alto y medio no es solo una cuestión de más o menos controles de seguridad. Es la diferencia entre conducir un Seat Ibiza y un camión articulado: ambos te llevan del punto A al B, pero las responsabilidades, exigencias y consecuencias de un accidente son radicalmente distintas.

¿Qué determina si eres ENS alto o medio?

Antes de entrar en diferencias, aclaremos el punto de partida. La categorización no la decides tú: viene determinada por el análisis de riesgos y la valoración de activos según el Real Decreto 311/2022.

Los criterios son cinco dimensiones de valoración:

• Disponibilidad: ¿Qué pasa si el sistema no funciona?
• Autenticidad: ¿Importa quién accede?
• Integridad: ¿Qué consecuencias tiene que alguien modifique la información?
• Confidencialidad: ¿Qué impacto tendría una fuga de datos?
• Trazabilidad: ¿Es crítico saber quién hizo qué y cuándo?

Si alguna dimensión alcanza nivel ALTO, todo el sistema se categoriza como ENS alto. Es como en el fútbol: no importa que tengas 10 jugadores excelentes; si el portero tiene un mal día, pierdes el partido.

Las diferencias prácticas entre ENS alto y medio

Controles de seguridad: cantidad y profundidad

La diferencia más obvia está en los controles. ENS medio requiere 73 controles, mientras que ENS alto exige 114 controles. Pero aquí viene lo interesante: no es solo «hacer más cosas», sino hacerlas con mayor rigor.

Por ejemplo, en ENS medio puedes hacer copias de seguridad semanales. En ENS alto, necesitas copias diarias, con verificación de integridad y pruebas de restauración regulares. Es como la diferencia entre lavarse los dientes una vez al día versus ser dentista: ambos se lavan los dientes, pero el nivel de detalle es abismal.

Gestión de incidentes y notificaciones

Aquí está una de las diferencias más críticas que muchos pasan por alto:

Aspecto	ENS Medio	ENS Alto
Notificación CCN-CERT	Incidentes relevantes en 24h	Todos los incidentes en 24h
Análisis forense	Recomendable	Obligatorio
Informe detallado	72 horas	72 horas + seguimientos

En ENS alto, un simple intento de phishing fallido puede requerir informe completo. En medio, solo si tiene éxito y causa daño. La diferencia en carga administrativa es considerable.

Personal y responsabilidades

ENS alto requiere que tengas un Responsable de Seguridad dedicado y cualificado. No vale el informático que «además» se encarga de seguridad. Necesitas formación específica, certificaciones y dedicación temporal suficiente.

Además, ENS alto exige separación de funciones críticas. No puede ser la misma persona quien configura los sistemas, los administra y los audita. Es como pedirle al cocinero que sea también el crítico gastronómico de su propio restaurante.

El coste oculto: no es solo tecnología

Muchas organizaciones piensan que la diferencia entre ENS medio y alto está en comprar más software de seguridad. Error garrafal.

Según nuestros datos de implementaciones reales, el 70% del coste adicional de ENS alto está en personal, formación y procesos. No en tecnología.

Impacto en recursos humanos

ENS alto requiere:

• Formación específica y recurrente del personal
• Procedimientos documentados y actualizados
• Auditorías internas más frecuentes
• Gestión de cambios más rigurosa
• Monitorización 24/7 (no necesariamente interna, pero sí efectiva)

En una Diputación Provincial que acompañamos en su transición de medio a alto, el cambio supuso contratar 1,5 personas adicionales y formar a 12 empleados existentes. El presupuesto de formación se multiplicó por 3.

Auditorías y cumplimiento: el gran diferenciador

Las auditorías en ENS alto son mucho más exhaustivas. Los auditores revisan:

1. Registros detallados: Cada acción administrativa debe estar documentada
2. Análisis de vulnerabilidades: Pentesting y revisiones de código obligatorias
3. Planes de continuidad: Probados, no solo documentados
4. Gestión de terceros: Cada proveedor debe cumplir requisitos específicos

En ENS medio, una auditoría puede durar 2-3 días. En ENS alto, hablamos de 1-2 semanas completas. Y las no conformidades en ENS alto tienen implicaciones legales más severas.

¿Cuándo merece la pena «subir» de medio a alto?

Esta es la pregunta del millón. Legalmente, no puedes elegir: tu categorización viene dada por el análisis de riesgos. Pero en la práctica, muchas organizaciones tienen margen de interpretación.

Casos donde ENS alto es inevitable:

• Sistemas que manejan datos especialmente protegidos (salud, justicia)
• Infraestructuras críticas (suministro eléctrico, agua)
• Sistemas de defensa o seguridad nacional
• Procesos electorales o democráticos críticos

Casos límite donde puedes argumentar ENS medio:

• Sistemas internos sin acceso externo
• Datos públicos o de baja sensibilidad
• Servicios con alternativas offline viables

Errores típicos en la transición

Después de acompañar a más de 50 entidades públicas, vemos los mismos errores una y otra vez:

1. Subestimar el cambio cultural

ENS alto no es «ENS medio con más controles». Es un cambio de mentalidad completo. Requiere que toda la organización entienda que la seguridad no es «cosa de IT».

2. Implementar tecnología antes que procesos

Comprar el SIEM más caro del mercado no sirve de nada si no tienes quien lo monitorice 24/7 o procedimientos claros de escalado.

3. No calcular el coste real de operación

ENS alto no es un proyecto, es un modo de vida. Los costes recurrentes (personal, formación, auditorías) suelen ser 3-4 veces superiores a los de implementación inicial.

La realidad tras 25 años viendo implementaciones

Después de ayudar a implementar ENS desde sus primeras versiones, te voy a contar una verdad incómoda: la mayoría de organizaciones en ENS alto están sobrecumpliendo, y muchas en ENS medio están infraprotegidas.

¿La razón? Miedo y malentendidos. ENS alto genera tanto respeto que muchas organizaciones implementan controles que van más allá de lo requerido. Mientras que ENS medio crea una falsa sensación de «es fácil» que lleva a relajarse peligrosamente.

La clave está en entender que tanto ENS medio como alto buscan el mismo objetivo: proteger los activos críticos de la Administración. La diferencia está en el nivel de riesgo que estamos dispuestos a asumir y los recursos que podemos dedicar a mitigarlo.

Si estás evaluando una transición de medio a alto, o intentando entender qué categoría te corresponde realmente, no lo hagas solo. Es una decisión que afectará a tu organización durante años, y los errores de interpretación pueden costarte muy caros en una auditoría.

Si algo de lo que has leído te ha llamado la atención o tienes dudas sobre tu categorización ENS, conversemos. Entre todos conseguiremos que el sector público español esté mejor protegido.

¿Sabías que el 76% de las administraciones públicas españolas han sufrido al menos un incidente de ciberseguridad en los últimos dos años? Y aquí viene lo mejor: la mayoría podría haberse evitado cumpliendo adecuadamente con el ENS. Pero tranquilo, que no voy a soltarte el típico rollo corporativo sobre normativas. Te voy a explicar qué es realmente el ENS esquema nacional seguridad y por qué debería importarte tanto como elegir una buena contraseña para tu Netflix.

El Esquema Nacional de Seguridad (ENS) no es una sugerencia amable del BOE para que «mejoremos un poquito» la seguridad. Es una obligación legal que marca cómo deben proteger su información y sistemas todas las administraciones públicas españolas. Y cuando digo todas, es todas: desde el Ayuntamiento de tu pueblo hasta los ministerios de Madrid.

Qué es exactamente el ENS esquema nacional seguridad

Imagínate que el ENS es como el código de circulación, pero para la ciberseguridad del sector público. Establece las reglas del juego para que todos los organismos públicos protejan adecuadamente:

• Los datos de los ciudadanos que manejan.
• Sus propios sistemas informáticos.
• Los servicios que ofrecen online.
• Las comunicaciones entre administraciones.

El ENS nació del Real Decreto 3/2010, posteriormente actualizado por el Real Decreto 951/2015. No es una norma técnica abstracta: es un marco legal que tiene dientes. Incumplirlo puede acarrear sanciones que van desde los 30.000 hasta los 600.000 euros. Y créeme, el CCN-CERT no está para bromas cuando hace sus auditorías.

Los tres pilares fundamentales del ENS

El ENS se sustenta en tres principios básicos que cualquier responsable IT debería tatuarse en el antebrazo:

1. Seguridad integral: No vale con poner un antivirus y ya está. La seguridad debe cubrir toda la organización.
2. Gestión de riesgos: Identifica qué puede fallar, evalúa el impacto y toma medidas proporcionadas.
3. Prevención, detección y respuesta: Como en Matrix, no basta con esquivar las balas; hay que ver venir al agente Smith.

Quién debe cumplir con el ENS (spoiler: más gente de la que piensas)

Aquí viene una de las partes que más sorprende. El ENS no es solo para ministerios y grandes organismos. Es obligatorio para:

• Toda la Administración General del Estado
• Administraciones autonómicas
• Entidades locales (sí, tu ayuntamiento también)
• Organismos públicos dependientes
• Empresas que prestan servicios a las administraciones públicas

Este último punto es clave. Si tu empresa trabaja con el sector público, es muy probable que tengas que demostrar que cumples con ciertos requisitos del ENS. Es como cuando Netflix te pide que actualices tu tarjeta de crédito: no es opcional.

Las tres categorías del ENS: básica, media y alta

No todos los sistemas son iguales, y el ENS lo sabe. Por eso clasifica los sistemas en tres categorías según su importancia:

Categoría	Descripción	Ejemplos
Básica	Sistemas cuya compromisión tendría un impacto limitado	Web informativa municipal
Media	Sistemas cuya compromisión tendría un impacto considerable	Sistema de gestión tributaria autonómica
Alta	Sistemas cuya compromisión tendría un impacto muy grave	Sistemas de defensa nacional

Cada categoría tiene requisitos de seguridad más estrictos. Es como los videojuegos: nivel fácil, medio y «prepárate para sufrir».

Las medidas de seguridad del ENS: 75 controles que debes conocer

El ENS establece 75 medidas de seguridad organizadas en 14 familias. Antes de que te entre el pánico, no tienes que implementar todas: depende de la categoría de tu sistema. Pero sí hay algunas que son básicas para todos:

Medidas organizativas fundamentales

• Política de seguridad: Documento formal que establezca las reglas del juego.
• Normativa de seguridad: Procedimientos específicos para cada área.
• Formación y concienciación: Porque el eslabón más débil suele ser humano.
• Gestión de incidentes: Plan para cuando las cosas se tuercen (y se van a torcer).

Medidas técnicas imprescindibles

• Control de acceso: Quién puede hacer qué y cuándo.
• Protección de la información: Cifrado, clasificación, copias de seguridad.
• Seguridad de las comunicaciones: Protección en el transporte de datos.
• Monitorización del sistema: Logs, alertas y análisis continuo.

Según el último informe del CCN-CERT, el 89% de los incidentes en administraciones públicas se podrían haber evitado o mitigado significativamente con estas medidas básicas bien implementadas.

Cómo implementar el ENS sin morir en el intento

Implementar el ENS no es como montar un mueble de IKEA (aunque a veces la documentación sea igual de confusa). Requiere un enfoque sistemático:

Paso 1: Análisis y categorización

Primero, identifica todos tus sistemas y clasifícalos según su criticidad. Es como hacer inventario, pero más importante. Un sistema mal categorizado puede llevarte a implementar medidas insuficientes… o a gastar una fortuna en medidas excesivas.

Paso 2: Análisis de riesgos (obligatorio para categoría media y alta)

Aquí es donde separamos a los profesionales de los amateurs. El análisis de riesgos no es hacer una lista de «cosas malas que pueden pasar». Es un proceso metodológico que identifica:

• Amenazas específicas para tu entorno.
• Vulnerabilidades existentes.
• Impacto real de cada riesgo.
• Medidas de seguridad necesarias.

Paso 3: Plan de adecuación

Con la fotografía clara de dónde estás y dónde necesitas llegar, toca hacer el plan. Y aquí viene un consejo de oro: no intentes hacerlo todo a la vez. Prioriza las medidas según el riesgo y los recursos disponibles.

Paso 4: Implementación y certificación

Para sistemas de categoría media y alta, necesitarás una auditoría externa que certifique el cumplimiento. Es como el examen de conducir: puedes saber manejar, but el papel oficial te lo da otro.

Los errores más frecuentes (y cómo evitarlos)

En mis 25 años viendo implementaciones de seguridad, he visto los mismos errores una y otra vez:

Error 1: Pensar que es solo IT

El ENS no es un problema técnico que se resuelve comprando software. Es un cambio cultural que afecta a toda la organización. Si tu director general no entiende la importancia, estás perdido antes de empezar.

Error 2: Copiar y pegar políticas

He visto políticas de seguridad que mencionan sistemas que la organización no tiene. Es como ponerte el traje de otro: puede que te quede, pero no vas a estar cómodo.

Error 3: Implementar sin formar

Puedes tener la mejor tecnología del mundo, pero si tus usuarios no saben usarla o la ven como un obstáculo, van a encontrar formas de saltársela. Y cuando lo hagan, estarás peor que antes.

El futuro del ENS: hacia dónde vamos

El ENS no es algo estático. El CCN-CERT actualiza regularmente sus guías y requisitos para adaptarse a nuevas amenazas. Las tendencias actuales incluyen:

• Mayor énfasis en la ciberseguridad por diseño.
• Integración con marcos internacionales como ISO 27001.
• Requisitos específicos para cloud computing.
• Medidas adicionales para inteligencia artificial y IoT.

El último borrador de actualización del ENS incluye 12 medidas nuevas relacionadas específicamente con tecnologías emergentes. No es casualidad: el 34% de los incidentes en 2023 estuvieron relacionados con servicios cloud mal configurados.

Cumplir con el ENS: inversión, no gasto

Sé que implementar el ENS requiere recursos: tiempo, dinero, esfuerzo. Pero piénsalo como un seguro de vida para tu organización. El coste medio de un incidente de ciberseguridad para una administración pública española está en 1.2 millones de euros, según el último informe de IBM.

Además, cumplir con el ENS te abre puertas. Muchas licitaciones públicas ya incluyen requisitos de ciberseguridad basados en el esquema. Es tu pasaporte para competir en igualdad de condiciones.

Implementar el ENS correctamente no es tarea fácil, pero tampoco es imposible. Requiere conocimiento específico, experiencia práctica y, sobre todo, un enfoque que entienda que la seguridad es cosa de personas, no solo de tecnología. En servicios-ciberseguridad hemos acompañado a decenas de organizaciones en este proceso, desde ayuntamientos hasta organismos autonómicos.

Si algo de lo que has leído te ha llamado la atención, o si tienes dudas sobre cómo aplicar el ENS en tu organización, conversemos. Al final, la ciberseguridad pública es responsabilidad de todos, y entre todos la hacemos mejor.