ENS RD 311/2022 en 2026: certifica tu DMS o quedas fuera
El ENS (RD 311/2022) cerro su transición en abril 2024. En 2026, los proveedores de DMS al sector publico sin certificación ENAC quedan fuera de concurso.
El cierre de la ventana de transición en 2024 marca el régimen 2026
El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), introdujo una versión ampliada del marco anterior (RD 3/2010) y, lo mas relevante para el sector privado, extendió el ámbito de aplicación a todas las entidades del sector privado que presten servicios o aporten soluciones al sector publico. La disposición transitoria única concedió un periodo de 24 meses, finalizado el 4 de abril de 2024, para que dichas entidades obtuvieran su certificación. A partir de esa fecha, el cumplimiento del ENS es exigible en cualquier procedimiento de contratación publica.
Durante 2024 y 2025 numerosos órganos de contratación permitieron presentar el compromiso de certificación como sustitutivo, exigiendo el certificado antes del inicio efectivo del servicio. En 2026 esa flexibilidad ha desaparecido: las mesas de contratación exigen el certificado vigente en el momento de la apertura de las ofertas. Un proveedor sin ENS certificado queda excluido en el primer filtro, sin posibilidad de subsanacion.
Quien es proveedor privado a efectos del ENS
El termino entidad del sector privado bajo el RD 311/2022 cubre una gama amplia que muchas empresas no anticipan:
- Empresas SaaS que ofrecen gestión documental, firma electrónica, archivado, mensajería certificada a una administración publica
- Integradores y consultoras que despliegan, mantienen o desarrollan sistemas para entidades publicas
- Proveedores de hosting y cloud cuyas infraestructuras alojen datos o procesos de un organismo publico
- Empresas de digitalización de archivos y custodia documental
- Editores de software cuyo producto se instala en infraestructura publica, aunque la operación no la realice el proveedor
- Subcontratistas a cualquier nivel de la cadena: si un consultor contratado por una empresa que tiene contrato con la administración toca un sistema, el subcontratista también debe estar en regla
El criterio que aplican los pliegos es funcional: si el servicio puede afectar a la seguridad de la información o de los servicios de la administración contratante, hay que cumplir el ENS. La lectura restrictiva (solo aplica a quien firma directamente con la administración) ha quedado descartada por las directrices del CCN-CERT y por la jurisprudencia administrativa de 2024-2025.
Categorías Básica, Media y Alta: cual aplica
El ENS clasifica los sistemas en tres categorías en función del impacto que una eventual incidencia produciría sobre cinco dimensiones (disponibilidad, autenticidad, integridad, confidencialidad, trazabilidad):
- Categoría Básica: 39 medidas de seguridad obligatorias. Acreditación mediante declaración responsable o auditoria interna documentada. Revisiones cada 2 anos.
- Categoría Media: 71 medidas. Acreditación obligatoria mediante auditoria de tercera parte realizada por entidad acreditada por ENAC. Revisiones cada 2 anos.
- Categoría Alta: 107 medidas, incluyendo aspectos como criptografía certificada, segregación física de redes y planes de continuidad probados. Auditoria ENAC cada 2 anos.
Para un servicio de gestión documental medio que custodie expedientes administrativos, la categoría Media es el mínimo realista. Si el servicio toca datos de salud, datos policiales o datos relacionados con seguridad nacional, la categoría Alta es obligatoria. Los proveedores que se autodeclaran Básica para abaratar costes y luego acceden a expedientes que correspondan a Media o Alta exponen al cliente publico y a si mismos a sanciones por incumplimiento contractual y a posibles sanciones de la AEPD si hay datos personales involucrados.
El registro CCN: la fuente fiable para la verificación
El Centro Criptologico Nacional (CCN), dependiente del CNI, mantiene el registro oficial de entidades certificadas en ENS. A principios de 2026 figuraban aproximadamente 3 000 entidades activas en el registro. Cualquier órgano de contratación verifica la presencia y vigencia del certificado en este registro durante la fase de calificación. Para una empresa privada, la comprobación previa antes de presentarse a una licitación es:
- Confirmar que la entidad certificadora aparece en la lista de ENAC autorizada por el CCN
- Verificar la categoría certificada (Básica, Media o Alta) frente a la requerida por el pliego
- Comprobar el alcance especifico de la certificación (que sistemas y servicios concretos cubre)
- Verificar la fecha de validez y la fecha del próximo audit de seguimiento
Un certificado que cubre solo la sede central pero no la plataforma SaaS contratada con el cliente publico es invalido para el pliego concreto. Esta es la trampa mas frecuente: la empresa presenta el sello del ENS como atributo de la empresa, no como certificación del producto concreto que va a usar el cliente.
ENS, RGPD y NIS2: una sola matriz de control en vez de tres
Las empresas que operan a la vez como proveedores del sector publico (sujeto a ENS), responsables del tratamiento de datos personales (sujeto a RGPD) y entidades esenciales o importantes bajo la transposición española de NIS2 (RDL 2024) tienen tres regímenes regulatorios que se solapan en mas del 80% de los controles. Construir tres sistemas separados es ineficiente y costoso. La practica recomendada por el CCN-CERT es construir una matriz única de controles donde cada control se mapea contra:
- Las 71 medidas ENS Categoría Media o 107 ENS Categoría Alta
- Los artículos correspondientes del RGPD (especialmente 32 sobre seguridad)
- Las obligaciones de gestión de riesgos y notificación de NIS2
- Las clausulas contractuales del cliente publico (frecuentemente piden ISO 27001 ademas)
Las empresas que han recorrido este camino reducen entre un 40% y un 60% el coste recurrente de mantener los tres certificados, frente a abordarlos de forma independiente. El precio de la ineficiencia es directamente proporcional al volumen de licitaciones publicas que se afronten.
Sanción contractual y exposición al RGPD
El ENS no tiene un régimen sancionador propio en el sentido de multa administrativa directa. Pero su incumplimiento se traduce en:
- Exclusión de licitaciones (perdida de contratos)
- Resolución contractual por incumplimiento de clausula esencial (penalizaciones y devolución de cantidades)
- Activación de la responsabilidad del articulo 32 RGPD por seguridad inadecuada del tratamiento, con sanciones de la AEPD que pueden llegar a 20 millones de euros o el 4% del volumen mundial
- En contextos NIS2, sanciones especificas hasta 10 millones de euros o el 2% del volumen mundial
La vía mas habitual para que un proveedor descubra que su ENS no era valido es el primer pliego perdido en 2026. La empresa que confiaba en presentarse a 4 licitaciones publicas al ano y ahora no puede participar en ninguna sin la certificación vigente realiza el calculo: el coste de la certificación ENAC para Categoría Media oscila entre 12 000 y 30 000 euros para PYMES, el coste de no obtenerla es la totalidad del segmento publico del negocio.
