Esquema Nacional de Seguridad (ENS)Spanish National Security Framework (ENS)
Categorización, gap analysis, plan de adecuación.Categorisation, gap analysis and remediation plan.
¿Qué es este servicio?What is this service?
Es la adecuación al Esquema Nacional de Seguridad español, regulado por el Real Decreto 311/2022. Incluye categorizar los sistemas, hacer el análisis de brechas contra las medidas que correspondan a esa categoría y ejecutar el plan de adecuación.
Compliance work for the Spanish National Security Framework, governed by Royal Decree 311/2022. It covers categorising systems, running the gap analysis against the measures for that category and executing the adequacy plan.
¿Para qué se usa?What is it used for?
Habilita para contratar con la administración pública española. El ENS define tres categorías —básica, media y alta— y cada una arrastra un conjunto distinto de medidas. El trabajo consiste en categorizar bien, porque sobrecategorizar cuesta dinero y subcategorizar deja a la entidad fuera de la licitación.
It enables contracting with the Spanish public administration. The framework defines three categories — basic, medium and high — each carrying a different set of measures. The work is to categorise correctly, since over-categorising costs money and under-categorising leaves the entity out of the tender.
Qué beneficios traeBenefits it delivers
- Habilita para licitar con el sector público español, que es su razón de ser comercial.
- Se solapa fuertemente con ISO 27001, así que buena parte del esfuerzo sirve para las dos.
- La categorización bien hecha evita implantar medidas de categoría alta donde bastaba la media.
- Qualifies the entity to bid for Spanish public sector work, which is its commercial purpose.
- It overlaps heavily with ISO 27001, so much of the effort serves both.
- Correct categorisation avoids deploying high-category measures where medium would suffice.
¿En qué momentos es obligatorio?When is it mandatory?
Costa RicaCosta Rica
- No aplica en Costa Rica. Es normativa española y ninguna entidad costarricense está sujeta a ella por operar aquí.
- Solo es relevante si la empresa presta servicios a la administración pública de España.
- Conviene no confundirlo: el equivalente funcional costarricense para sector público son las normas técnicas de TI de la Contraloría, que son otra cosa.
- It does not apply in Costa Rica. It is Spanish regulation and no Costa Rican entity is subject to it for operating here.
- It is only relevant where the company provides services to the Spanish public administration.
- It should not be confused with anything local: the functional Costa Rican equivalent for the public sector is the technical IT standards of the Comptroller General, which are a different thing.
InternacionalInternational
- Obligatorio para el sector público español y para las entidades privadas que le presten servicios cuando esos servicios entren en el ámbito del esquema.
- La conformidad se acredita por certificación para categorías media y alta, y por autoevaluación para la básica.
- Mandatory for the Spanish public sector and for private entities providing services to it when those services fall within scope.
- Conformity is evidenced by certification for medium and high categories and by self-assessment for basic.
Requisitos mínimosMinimum requirements
- Definir qué sistemas entran en el alcance y qué información manejan.
- Valorar la información en las cinco dimensiones de seguridad, que es lo que determina la categoría.
- Declaración de aplicabilidad y política de seguridad aprobadas.
- Un responsable de seguridad designado formalmente.
- Defining which systems are in scope and what information they handle.
- Rating the information across the five security dimensions, which determines the category.
- An approved statement of applicability and security policy.
- A formally appointed security officer.
Plazo típico de entregaTypical delivery time
El rango de mercado va de cuatro a nueve meses hasta estar en condiciones de auditoría, según la categoría y el tamaño del alcance. La categoría alta puede irse más allá. El análisis de brechas y la categorización, por separado, se entregan en cuatro a seis semanas.
The market range runs from four to nine months to reach audit readiness, depending on category and scope size. High category can run longer. The gap analysis and categorisation on their own are delivered in four to six weeks.
NomenclaturaTerminology
Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.