Servicios de Auditoría y Certificación del ENS (Esquema Nacional de Seguridad) | Cumplimiento acreditado de ENS – Lazarus Alliance. Llamar +1 (888) 896-7580 .
Lazarus Alliance se coordinará directamente con su organización para programar su Marco de Seguridad Nacional (ENS) Evaluación. Nuestros evaluadores le ayudarán a identificar el nivel de certificación en función de los requisitos comerciales específicos de su empresa. Su empresa recibirá la certificación en el nivel ENS adecuado tras demostrar la madurez adecuada en capacidades y madurez organizacional.
El Esquema Nacional de Seguridad es una Ley de obligado cumplimiento para las empresas del sector público y sus proveedores de tecnología, que establece las condiciones necesarias para garantizar la confianza en el uso de los medios electrónicos. Para ello, establece una serie de medidas que garantizan la seguridad de los sistemas, datos, comunicaciones y servicios electrónicos, permitiendo el ejercicio de derechos y el cumplimiento de deberes a través de estos medios.
El marco establece la política de seguridad para el uso de medios electrónicos y consta de principios básicos y requisitos mínimos que permiten una adecuada protección de los sistemas de información, los servicios y su información.
El Esquema de Seguridad Nacional (ENS)
El Esquema Nacional de Seguridad (ENS), creado bajo Real Decreto 311/2022 (que actualiza el Real Decreto 3/2010) es un marco normativo español diseñado para garantizar la seguridad de los sistemas de información utilizados por entidades públicas y privadas. Su objetivo principal es proteger la información y los servicios mediante la promoción de un enfoque coherente y basado en el riesgo en materia de ciberseguridad, salvaguardando la confidencialidad, la integridad, la disponibilidad, la autenticidad y la trazabilidad de los datos.
La ENS se aplica a:
- Entidades publicas:Todos los organismos de la administración pública, incluidas las organizaciones gubernamentales centrales, regionales y locales, deben proteger sus servicios y datos electrónicos.
- Entidades privadas:Organizaciones que prestan servicios a administraciones públicas o manejan datos sensibles vinculados a servicios públicos, como proveedores o contratistas de infraestructuras críticas.
El esquema exige la implementación de medidas de seguridad proporcionales al nivel de riesgo de los sistemas, categorizadas como Básicas, Medias o Altas, y requiere certificación para demostrar su cumplimiento. La certificación implica un riguroso proceso de auditorías documentales e in situ para verificar el cumplimiento de los requisitos de seguridad del ENS, garantizando así una protección robusta contra las ciberamenazas.
Niveles de Seguridad de la ENS (Esquema Nacional de Seguridad – Real Decreto 311/2022)
La ENS española clasifica cada sistema de información en uno de tres niveles de seguridad: Bajo, Medio o Alto — basado en el impacto potencial de un incidente de seguridad en las dimensiones de confidencialidad, integridad, autenticidad, trazabilidad y disponibilidad.
| Nivel | Cuándo se aplica (impacto de un compromiso) | Requisito de certificación (desde mayo de 2025) |
|---|---|---|
| BAJO | Daños menores o insignificantes a la organización, los ciudadanos o el Estado. No se observan daños significativos a los derechos, la actividad económica ni los servicios esenciales. | Solo declaración de conformidad (autodeclaración). No es necesaria la certificación externa. |
| MEDIANO (Medio) | Daño considerable: afecta a un número significativo de usuarios, causa una pérdida económica relevante o dificulta el normal funcionamiento de los servicios (pero no crítico). | Certificación obligatoria de terceros por una entidad acreditada por ENAC (por ejemplo, Lazarus Alliance). |
| ALTO (Alto) | Daños muy graves: impacto a gran escala en los derechos de los ciudadanos, repercusiones económicas o financieras significativas o interrupción de servicios esenciales o críticos (incluida la seguridad nacional o información clasificada). | Certificación obligatoria de terceros (alcance de auditoría más riguroso) + requisitos adicionales (por ejemplo, uso de productos criptográficos aprobados por CCN para datos clasificados). |
Cómo se determina el nivel
La organización debe llevar a cabo un proceso formal análisis de riesgos (Amenazas × Vulnerabilidades × Valor de los activos) para cada una de las cinco dimensiones de seguridad. El mayor impacto resultante en cada dimensión define el nivel general del sistema.
Ejemplo:
- Si la pérdida de confidencialidad causaría un daño “considerable” → Medio
- Si la pérdida de disponibilidad pudiera paralizar un servicio público crítico → Alto
Desde 2025 de mayoTodos los sistemas existentes de nivel medio y alto deben contar con un certificado ENS válido, emitido por una entidad de certificación acreditada por ENAC. Los sistemas nuevos deben certificarse antes de entrar en producción.
¿Necesita ayuda para determinar el nivel ENS de su sistema o para obtener la certificación? Llame a Lazarus Alliance al +1 (888) 896-7580. Somos una entidad de certificación ENS cualificada por ENAC y hemos certificado con éxito a decenas de proveedores internacionales y entidades públicas españolas.
Cronograma de auditoría: Qué esperar con Lazarus Alliance
Lazarus Alliance sigue un proceso estructurado que cumple con la norma ISO/IEC 17065. Nuestro enfoque utiliza la metodología de la ruta crítica y la Máquina de auditoría de TI (ITAM) Plataforma para acelerar las auditorías hasta en un 46%, centrándose en la identificación proactiva de brechas y la gestión eficiente de la evidencia. La certificación inicial completa suele tardar 3-6 meses desde el inicio, dependiendo del alcance, la preparación y las necesidades de remediación.
Cronograma detallado de auditoría y cumplimiento del ENS (Esquema Nacional de Seguridad)
Lazarus Alliance sigue este proceso estructurado de 6 fases para la certificación ENS, las evaluaciones de deficiencias y el cumplimiento continuo del Plan Nacional de Seguridad de España (Real Decreto 311/2022) para la administración pública y los operadores de infraestructuras críticas.
| Fase | Actividades | Duración típica | Entregables y herramientas clave |
|---|---|---|---|
| Fase 0 – Pre-compromiso y toma de decisiones | Consulta inicial, revisión de aplicabilidad de ENS, acuerdo de confidencialidad y carta de compromiso. | 1-2 semanas | Declaración de trabajo firmada, acta constitutiva del proyecto y acceso al portal Continuum GRC. |
| Fase 1 – Inicio y definición del alcance | Reunión inicial, selección de categoría ENS (ALTA/MEDIA/BAJA), revisión del catálogo de control y matriz de aplicabilidad | Semana 0–1 | Documento finalizado del alcance de ENS, lista de control personalizada, lista de solicitudes de documentos. |
| Fase 2 – Evaluación de brechas y recopilación de evidencias | Análisis de brechas con respecto a todos los requisitos de ENS (organizativos, operativos, de protección, defensa y recuperación), carga de evidencia | Semanas 1 a 5 | Paquete completo de evidencias en Continuum GRC, plan detallado de subsanación de deficiencias |
| Fase 3 – Remediación y validación | Soporte para la remediación, actualizaciones de políticas, implementación de controles técnicos y alineación del SGSI con la norma ISO 27001. | Semanas 5 a 9 | Controles validados, procedimientos operativos estándar (POE) actualizados y registros de capacitación. |
| Fase 4 – Trabajo de campo y pruebas de evaluación | Pruebas de control, entrevistas, evaluaciones de vulnerabilidad, pruebas de penetración, simulacros de auditorías ENS. | Semanas 9 a 12 | Resultados de las pruebas, informe de hallazgos preliminares y paneles de control en tiempo real. |
| Fase 5: Informes, certificación y mantenimiento continuo | Entrega del informe final, resolución de hallazgos, declaración de conformidad de la ENS y planificación de la vigilancia anual. | Semanas 12-14 + en curso | Informe final de cumplimiento de ENS, paquete de declaración oficial, hoja de ruta de monitoreo continuo de Cybervisor™. |
Por qué los clientes terminan más rápido con Lazarus Alliance: Nuestra metodología Proactive Cyber Security®, la plataforma Cybervisor™ y la automatización Continuum GRC suelen reducir el tiempo de evaluación y certificación ENS entre un 40 % y un 50 %, al tiempo que ofrecen una documentación de mayor calidad, preparada para CCN-STIC, y un sólido programa de seguridad nacional.
Para obtener una cotización de auditoría ENS personalizada o para comenzar, llame al +1 (888) 896-7580. Los equipos de Lazarus Alliance Cybervisor™ están listos.
Preguntas frecuentes
¿Qué es el ENS (Esquema Nacional de Seguridad) y a quién se aplica en España?
El Esquema Nacional de Seguridad (ENS) es el marco de seguridad nacional español establecido por Real Decreto 311/2022. Se aplica a todas las entidades del sector público en España y a las empresas privadas que prestan servicios o suministran sistemas a la Administración pública española (incluidos proveedores de nube, servicios gestionados, operadores de infraestructuras críticas y sus subcontratistas).
¿Cuáles son los principales cambios que introduce la nueva ENS (Real Decreto 311/2022)?
La ENS actualizada eleva significativamente el nivel en comparación con la versión de 2010: requisitos de gestión de riesgos más estrictos, certificación obligatoria para sistemas de nivel medio y alto, nuevas medidas de seguridad (por ejemplo, seguridad en la nube, seguridad de la cadena de suministro y criptología), plazos más estrictos para informar incidentes (dentro de las 24 horas para incidentes significativos) y alineación explícita con NIS2 y otras regulaciones de la UE.
¿Cuáles son los tres niveles de cumplimiento de la ENS (Bajo, Medio, Alto) y cómo se determina el nivel?
- Bajo:Protección básica para información o servicios no críticos
- Media:Se aplica cuando existe un riesgo moderado para la confidencialidad, integridad o disponibilidad.
- AltoRequerido para sistemas que manejan información clasificada, servicios críticos o donde una vulneración podría causar daños graves a los ciudadanos o al Estado. El nivel se determina mediante un análisis formal de riesgos basado en las dimensiones de confidencialidad, integridad, autenticidad, trazabilidad y disponibilidad.
¿Es obligatoria la certificación ENS y cuándo deben cumplir las organizaciones?
Sí. Todos los sistemas de información que alcanzaron el nivel Medio o Alto deben obtener la certificación ENS. Los sistemas existentes tienen hasta mayo de 2024 para obtener la certificación según la nueva norma. Real Decreto 311/2022Los sistemas nuevos deben certificarse antes de entrar en producción.
¿En qué consiste el proceso de certificación ENS?
El proceso incluye:
- Evaluación formal de riesgos y determinación del nivel de seguridad
- Análisis de las deficiencias en relación con las más de 75 medidas de seguridad del Anexo II
- Implementación o remediación de controles
- Preparación de la Declaración de Aplicabilidad (DoA) y la Declaración de Seguridad
- Evaluación de la conformidad independiente (auditoría) por una entidad acreditada por ENAC
- Emisión del certificado ENS (válido por 5 años con auditorías anuales de seguimiento)
Somos una empresa internacional que presta servicios a entidades públicas españolas. ¿Necesitamos la certificación ENS?
Sí. Cualquier organización (independientemente de su ubicación) que procese información o preste servicios electrónicos a la administración pública española debe cumplir con el ENS al nivel requerido por el contrato o servicio. Muchas licitaciones públicas exigen ahora explícitamente la certificación ENS como requisito previo.
¿Cómo se relaciona ENS con NIS2, ISO 27001 y otros marcos?
ENS está totalmente alineado con los requisitos NIS2 en España. Una organización con una sólida trayectoria ISO 27001, La certificación puede lograr la certificación ENS más rápidamente porque aproximadamente el 70-80% de los controles se superponen, pero ENS tiene requisitos adicionales específicos de España (por ejemplo, criptología nacional, informes de incidentes específicos a INCIBE y requisitos de la cadena de suministro).
¿Cómo puede Lazarus Alliance ayudarnos a lograr y mantener la certificación ENS?
Lazarus Alliance ofrece servicios ENS de extremo a extremo, que incluyen:
- Evaluación inicial del riesgo y del nivel de seguridad
- Análisis de brechas y hojas de ruta de remediación
- Apoyo a la implementación de medidas técnicas y organizativas
- Preparación de toda la documentación requerida (DoA, políticas de seguridad, etc.)
- Auditorías de evaluación de conformidad completa (somos entidad cualificada por ENAC)
- Mantenimiento continuo y auditorías anuales de vigilancia. Hemos ayudado a numerosas entidades públicas españolas y proveedores internacionales a obtener con éxito y puntualmente la certificación ENS de alto nivel.
Beneficios del cumplimiento de ENS
Los beneficios de obtener la certificación ENS (Esquema Nacional de Seguridad), regulada por el Real Decreto 311/2022 en España, son significativos tanto para entidades públicas como privadas, garantizando una ciberseguridad robusta y el cumplimiento del Esquema Nacional de Seguridad. A continuación, se detallan los principales beneficios:
- Ciberseguridad mejorada: La certificación ENS garantiza que los sistemas de información cumplen con estrictos requisitos de seguridad en cuanto a confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Al implementar medidas de seguridad basadas en riesgos y adaptadas a las categorías del sistema (Básica, Media, Alta), las organizaciones reducen las vulnerabilidades y se protegen contra ciberamenazas, como filtraciones de datos o accesos no autorizados.
- Cumplimiento Regulatorio: Para las entidades públicas, la certificación ENS es obligatoria para cumplir con el Real Decreto 311/2022, lo que garantiza el cumplimiento de los estándares nacionales de servicios electrónicos seguros. Las entidades privadas que colaboran con las administraciones públicas (por ejemplo, contratistas o proveedores de infraestructuras críticas) también cumplen con sus obligaciones legales, evitando sanciones o la exclusión de contratos públicos.
- Mayor confianza y credibilidad: La certificación demuestra un compromiso con la ciberseguridad, lo que refuerza la confianza entre clientes, socios y partes interesadas. Las entidades públicas y privadas pueden demostrar su cumplimiento con un estándar nacional reconocido, fortaleciendo así su reputación de fiabilidad y seguridad.
- Acceso a oportunidades del sector público: Las organizaciones privadas con certificación ENS obtienen una ventaja competitiva al licitar por contratos con administraciones públicas, ya que el cumplimiento es a menudo un requisito previo para la colaboración o la prestación de servicios en sectores como la atención sanitaria, las finanzas o la infraestructura crítica.
- Gestión de riesgos y resiliencia: El marco ENS promueve un enfoque basado en riesgos, que exige que las organizaciones identifiquen, evalúen y mitiguen los riesgos sistemáticamente. Esto mejora la resiliencia operativa, reduce la probabilidad de incidentes y garantiza una recuperación más rápida ante posibles interrupciones.
- Prácticas de seguridad estandarizadas: La certificación alinea los sistemas con un conjunto unificado de medidas de seguridad, lo que fomenta prácticas de ciberseguridad consistentes e interoperables en todos los departamentos o unidades de negocio. Esto resulta especialmente beneficioso para grandes organizaciones o aquellas que operan en entornos de TI complejos.
- Protección de Datos Sensibles: La certificación ENS garantiza una protección robusta de la información sensible, como datos personales o datos operativos críticos, en cumplimiento con normativas de protección de datos como el RGPD. Esto reduce el riesgo de responsabilidades legales y daños a la reputación por filtraciones de datos.
- Diferenciación de mercado: Para las entidades privadas, la certificación ENS señala un alto nivel de madurez en ciberseguridad, lo que las distingue de sus competidores en industrias donde la seguridad es una prioridad, como tecnología, telecomunicaciones o proveedores de servicios públicos.
- Apoyo a la Transformación Digital: Al proteger los sistemas de información, la certificación ENS permite a las organizaciones adoptar de forma segura tecnologías digitales, servicios en la nube e iniciativas de gobierno electrónico, apoyando la innovación y manteniendo el cumplimiento.
- Mejoras Continuas: El proceso de certificación incluye auditorías periódicas de vigilancia y renovación (normalmente cada 2 o 3 años), lo que garantiza el cumplimiento continuo y alienta a las organizaciones a mantener y actualizar sus medidas de seguridad en respuesta a las amenazas cambiantes.
Al obtener la certificación ENS, las organizaciones no solo cumplen con los requisitos regulatorios, sino que también construyen una base más sólida y segura para sus operaciones, fomentando la confianza y permitiendo una colaboración segura en los sectores público y privado de España.
Habla con uno de nuestros expertos
Nuestros equipos de Lazarus Alliance Cybervisor™ tienen experiencia en la realización de miles de evaluaciones para organizaciones que brindan servicios a clientes de todo el mundo.
Estamos aquí para responder cualquier pregunta que puedas tener.
Proceso de Certificación ENS
El proceso de certificación del Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022 en España, consta de una serie de etapas estructuradas para verificar que los sistemas de información de una organización cumplen con los requisitos del Esquema Nacional de Seguridad. A continuación, se presenta una descripción clara del proceso de certificación, incluyendo sus etapas, basado en el esquema ENS y alineado con la norma UNE-EN ISO/IEC 17065:2012 para entidades de certificación como Lazarus Alliance:
- Solicitud y Contrato:
Descripción: La organización que busca la certificación presenta una solicitud a un organismo de certificación acreditado. La solicitud incluye detalles sobre el/los sistema(s) de información que se certificarán, su alcance y la categoría de seguridad (Básica, Media o Alta) según los requisitos de la ENS.
- Actividades: El organismo de certificación revisa la solicitud para verificar su integridad y viabilidad, define el alcance de la certificación y acuerda con el cliente un contrato de certificación legalmente exigible, en el que se describen responsabilidades, plazos y costos.
- Resultado: Se firma un acuerdo formal, que garantiza que el cliente se compromete a proporcionar el acceso y la documentación necesarios para el proceso de certificación. - Auditoría Documental (Etapa 1):
- Descripción: El organismo de certificación realiza una revisión externa de la documentación de la organización para evaluar el cumplimiento de los requisitos del ENS.
- Actividades:
- Revisión de las políticas de seguridad de la organización, evaluaciones de riesgos, medidas de seguridad y procedimientos de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
- Verificación de que las medidas de seguridad del sistema se alinean con la categoría ENS (Básica, Media o Alta) recogida en el Real Decreto 311/2022.
- Identificación de posibles lagunas o no conformidades en la documentación.
Resultado: Se emite un informe que detalla los hallazgos, incluyendo cualquier incumplimiento que deba abordarse antes de pasar a la siguiente etapa. La organización podría necesitar implementar acciones correctivas. - Auditoría in situ (etapa 2):
- Descripción: El organismo de certificación realiza una evaluación en sitio para verificar la implementación y efectividad de las medidas de seguridad documentadas en la Etapa 1.
- Actividades:
- Inspección de los controles de seguridad físicos y lógicos, incluidos los controles de acceso, los mecanismos de respuesta a incidentes y las configuraciones del sistema.
- Entrevistas con el personal para confirmar el cumplimiento de los procedimientos documentados.
- Pruebas de medidas técnicas (por ejemplo, cifrado, sistemas de autenticación) y procesos operativos para garantizar que cumplen con los requisitos ENS para la categoría especificada.
- Evaluación del cumplimiento de las acciones correctivas identificadas en la Etapa 1.
Resultado: Se elabora un informe de auditoría detallado que destaca el estado de cumplimiento y las no conformidades restantes. Las no conformidades importantes deben resolverse antes de otorgar la certificación. - Decisión de certificación:
- Descripción: El organismo de certificación revisa los hallazgos de ambas etapas de auditoría para tomar una decisión imparcial sobre la concesión de la certificación ENS.
- Actividades:
- Un comité de revisión independiente o un responsable de decisión designado evalúa los informes de auditoría, garantizando la objetividad y el cumplimiento de la norma UNE-EN ISO/IEC 17065:2012.
- Verificación de que todas las no conformidades (mayores y menores) han sido abordadas adecuadamente.
Resultado: Si cumple con los requisitos, la organización recibe la certificación ENS, válida por un período definido por el esquema (normalmente de 2 a 3 años). El organismo de certificación emite un certificado y autoriza el uso de la marca/logotipo ENS bajo las condiciones especificadas. - Auditorías de vigilancia:
- Descripción: Se realizan auditorías periódicas durante el período de validez de la certificación para garantizar el cumplimiento continuo de los requisitos de la ENS.
- Actividades:
- Auditorías de vigilancia anuales o bienales (dependiendo del esquema y la categoría del sistema) para verificar el cumplimiento continuo de las medidas de seguridad.
- Revisión de cambios al sistema, evaluaciones de riesgos o incidentes de seguridad desde la certificación.
- Evaluación de los registros de quejas y acciones correctivas tomadas por la organización.
- Resultado: Un informe de vigilancia confirma el cumplimiento o identifica no conformidades que requieren acciones correctivas para mantener la certificación. - Auditoría de renovación:
- Descripción: Al final del período de validez de la certificación (normalmente 2-3 años), se realiza una auditoría de renovación para recertificar el sistema.
- Actividades:
- Una reevaluación integral similar a las Etapas 1 y 2, evaluando el sistema frente a los requisitos actuales del ENS y cualquier actualización del Real Decreto 311/2022.
- Revisión de los hallazgos de la auditoría de vigilancia y del cumplimiento continuo de la organización.
Resultado: Si se aprueba, se emite un nuevo certificado, extendiéndolo por otro ciclo. Las no conformidades pueden retrasar o impedir la renovación hasta su resolución.
Notas adicionales
- Requisitos de acreditación: El organismo de certificación debe estar acreditado por un organismo de acreditación nacional (por ejemplo, ENAC en España) para garantizar la imparcialidad y competencia, según la norma UNE-EN ISO/IEC 17065:2012.
- Responsabilidades del cliente: La organización debe proporcionar acceso a la documentación, al personal y a las instalaciones, mantener registros de quejas y notificar al organismo de certificación sobre cambios significativos en el sistema, como se describe en la cláusula 17065 de la norma ISO/IEC 4.1.2.
- Consideraciones específicas de ENS: El proceso se alinea con el enfoque del esquema ENS en medidas de seguridad basadas en riesgos, con requisitos más estrictos para las categorías de sistema más altas (Media y Alta). El Centro Criptológico Nacional (CCN) proporciona orientación adicional sobre la implementación del ENS, que el organismo de certificación incorpora al proceso de auditoría.
- No conformidades: Cualquier incumplimiento identificado durante las auditorías debe abordarse dentro de un plazo acordado con el organismo de certificación. Los incumplimientos graves (por ejemplo, brechas críticas de seguridad) suelen requerir una resolución antes de la certificación, mientras que los menores pueden abordarse durante la supervisión.
Este proceso estructurado garantiza que los sistemas certificados cumplen con los rigurosos estándares de seguridad del ENS, protegiendo la información sensible y permitiendo el cumplimiento de la normativa española.