ENS en España: sin multa propia, pero te saca del contrato

El Esquema Nacional de Seguridad (ENS) no tiene una multa con su nombre. A diferencia del RGPD, que publica cifras de sanción en cada resolución de la AEPD, el Real Decreto 311/2022 que regula el ENS no incluye ni un artículo de régimen sancionador con importes económicos. Si tu empresa presta servicios o tecnología a una Administración Pública española y crees que eso significa que «no cumplir el ENS no tiene coste», el error está en la palabra multa: el ENS no te multa, te saca del contrato. Y eso, para una empresa que factura a lo público, suele doler más que una sanción.

Qué exige el ENS y a quién obliga

El ENS se rige por el Real Decreto 311/2022, que sustituyó al antiguo RD 3/2010 y lo actualizó para alinearlo con la Directiva NIS2. Es una de las piezas que conviene revisar dentro de la lista de obligaciones de ciberseguridad vigentes para cualquier empresa, aunque el ENS tiene un alcance más concreto: solo afecta a quien trabaja con el sector público. Obliga a:

• Todas las Administraciones Públicas españolas (ayuntamientos, comunidades autónomas, organismos estatales).
• Cualquier empresa privada que preste servicios o soluciones tecnológicas al sector público, sin que el tamaño de la empresa libre de la obligación.
• Proveedoras SaaS o cloud que tratan, almacenan o transmiten información pública, aunque el contrato no sea «informático» en apariencia.

El esquema exige proteger cinco dimensiones de seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Cada sistema se clasifica en una de tres categorías —BÁSICA, MEDIA o ALTA— según el daño que causaría un incidente, y el nivel que cuenta es el más alto que alcance en cualquiera de las cinco dimensiones, no una media entre todas. Un sistema con disponibilidad crítica y el resto en básica ya es ALTA.

Para categoría MEDIA o ALTA, la certificación exige auditoría externa por una entidad acreditada, como mínimo cada dos años, además de una auditoría extraordinaria si el sistema cambia de forma sustancial. Para BÁSICA basta con autoevaluación.

Lo que nadie dice: el ENS no necesita multa para hacer daño

La idea extendida es que si una norma no tiene sanción económica propia, el riesgo de incumplirla es bajo. Con el ENS es justo al revés, por el sitio donde actúa: no interviene después del incidente, como el RGPD, sino antes del contrato.

Lo que de verdad pasa si una empresa no tiene la certificación ENS que exige el pliego:

• Exclusión directa de la licitación. No se puntúa peor: se queda fuera del proceso.
• Inhabilitación en plataformas de contratación pública, que cierra la puerta no solo a ese contrato sino a los siguientes mientras no se regularice.
• Rescisión de contratos ya en marcha si la Administración detecta que la certificación exigida no estaba vigente.
• Si además hay una brecha con datos personales de por medio, la sanción llega por otra vía: el RGPD, con multas de hasta 20 millones de euros o el 4% de la facturación global, lo que sea mayor.

Es decir: el ENS no castiga con una multa. Castiga con un contrato perdido, y eso no aparece en ningún registro público de sanciones — aparece en la cuenta de resultados.

El caso que lo demuestra: el Ayuntamiento de Valdemoro

El 5 de mayo de 2026, el Ayuntamiento de Valdemoro (Madrid) sufrió un ataque del grupo de ransomware Kairos, un actor activo desde finales de 2024 que no cifra los sistemas: roba los datos y exige el pago para no publicarlos. El grupo reivindicó la sustracción de 1,8 TB de información, incluyendo DNIs de vecinos, partes policiales y expedientes administrativos con datos personales y sensibles.

El ayuntamiento desconectó servidores, notificó al Centro Criptológico Nacional (CCN) y a las autoridades competentes, y durante los días siguientes los vecinos tuvieron que volver a trámites en papel para gestiones que dependían de sistemas con conexión a internet. El propio consistorio lo resumió sin rodeos: disponía de medidas de seguridad, pero «el riesgo cero no existe».

El caso no demuestra que el ENS hubiera evitado el ataque — ningún marco normativo lo garantiza. Demuestra algo más concreto para cualquier empresa que trabaje con el sector público: cuando el incidente llega, lo que se revisa primero no es si hubo una ley incumplida con multa propia, sino si los sistemas, los contratos y los proveedores tenían la categoría de seguridad que exige el ENS para ese tipo de información. Un ayuntamiento gestiona DNIs y partes policiales todos los días; cualquier proveedor que le dé servicio tecnológico está, por definición, dentro del alcance del ENS para esa misma información.

5 pasos si tu empresa vende tecnología a la Administración

• Identifica si ya estás dentro del alcance. Si prestas servicio técnico, software o cloud a una Administración, estás dentro aunque tu contrato no lo diga en el título.
• Clasifica el sistema por su dimensión más alta, no por la media. Disponibilidad crítica o datos sensibles bastan para subir de categoría entera.
• Revisa qué exige cada pliego antes de presentarte, no después de ganarlo: la certificación ENS exigida y su categoría suelen estar en los requisitos técnicos.
• Programa la auditoría externa con margen si tu categoría es MEDIA o ALTA: se exige como mínimo cada dos años, y una certificación caducada pesa igual que no tenerla.
• Trata cada incidente, por pequeño que parezca, con el mismo protocolo que un ayuntamiento: notificación a tiempo y documentación del incidente, porque ahí es donde se mide la categoría real del sistema, no solo en el papel.

Preguntas frecuentes

¿El ENS impone multas económicas directas? No. El Real Decreto 311/2022 no tiene un régimen sancionador propio con importes. Las consecuencias de no cumplirlo son contractuales: exclusión de licitaciones, inhabilitación en plataformas de contratación y rescisión de contratos. Si el incumplimiento provoca una brecha de datos personales, la sanción puede llegar por el RGPD.

¿A quién obliga exactamente el ENS? A todas las Administraciones Públicas españolas y a cualquier empresa privada que les preste servicios o tecnología, incluidas las proveedoras de software, cloud o SaaS, sin excepción por tamaño.

¿Qué diferencia hay entre categoría BÁSICA, MEDIA y ALTA? Se mide por el daño que causaría un incidente en cada una de las cinco dimensiones de seguridad. BÁSICA permite autoevaluación; MEDIA y ALTA exigen auditoría externa acreditada. El nivel global del sistema es el más alto que alcance en cualquiera de las cinco dimensiones.

¿Cada cuánto hay que auditar la certificación ENS? Como mínimo cada dos años para categoría MEDIA o ALTA, y de forma extraordinaria si el sistema cambia de forma sustancial.

¿Qué relación tiene el ENS con la NIS2? El RD 311/2022 se actualizó precisamente para alinear el ENS con la Directiva NIS2. Son marcos distintos —el ENS nace para el sector público y sus proveedores, la NIS2 para sectores críticos en general— pero comparten el mismo objetivo de elevar el nivel mínimo de ciberseguridad exigido por ley en España. Puedes ver el estado de la transposición de la NIS2 en España en nuestro artículo sobre la NIS2.

La vía del RGPD que mencionamos arriba no es hipotética: la AEPD multó a Aena con más de 10 millones de euros por desplegar reconocimiento facial sin una evaluación de impacto válida, el mismo tipo de fallo de preparación que deja fuera de una licitación bajo el ENS.

Si esos sistemas incorporan inteligencia artificial, la licitación puede empezar a pedir también una garantía específica para eso: la certificación ISO/IEC 42001, que Iberdrola, Konecta e Inetum ya tienen en España.

---

¿Tu empresa presta servicios a una Administración Pública y no sabe si está dentro del alcance del ENS? En Optima Quantum ayudamos a pymes a identificar su categoría de seguridad y preparar la auditoría de ciberseguridad antes de que sea el pliego de una licitación el que lo descubra por ti.