Cada vez es más habitual encontrarse las siglas ENS en un pliego, en un cuestionario de seguridad o en la web de un proveedor tecnológico. Suele aparecer junto a ISO 27001 como sello de confianza, pero no siempre está claro qué garantiza exactamente.
En este artículo explicamos qué es la certificación ENS, cuáles son sus categorías y qué significa para una infraestructura cloud, con el ejemplo de la categoría Alta.
Qué es la certificación ENS y para qué sirve
ENS son las siglas del Esquema Nacional de Seguridad, el marco que fija las medidas de seguridad que deben cumplir los sistemas de información del sector público en España. Está regulado por el Real Decreto 311/2022 y no se limita a las administraciones: también se aplica a las entidades privadas que prestan servicios o proveen soluciones tecnológicas a organismos públicos.
La certificación ENS es la comprobación de que un sistema cumple de verdad ese marco. No basta con afirmarlo: lo verifica una auditoría independiente y el resultado es un certificado que puede consultarse. Para una empresa que contrata un servicio cloud, es una forma de apoyarse en algo verificado y no solo en la palabra del proveedor.
Las categorías del ENS: básica, media y alta
El ENS no exige lo mismo a todos los sistemas. La categoría depende del impacto que tendría un incidente de seguridad sobre la disponibilidad, la autenticidad, la integridad, la confidencialidad o la trazabilidad de la información y los servicios. Cuanto mayor es el impacto posible, más exigentes son las medidas. En el día a día se oye también hablar de «nivel», pero la norma usa el término categoría.
| Categoría y cuándo corresponde | Cómo se comprueba la conformidad |
|---|---|
| Categoría básicaUn incidente tendría un perjuicio limitado. | Basta una autoevaluación para declarar la conformidad, aunque también puede certificarse mediante una auditoría. |
| Categoría mediaUn incidente tendría un perjuicio grave. | La conformidad se certifica mediante una auditoría. |
| Categoría altaUn incidente tendría un perjuicio muy grave. | La conformidad se certifica mediante una auditoría, con las medidas más exigentes. |
Además, el ENS exige repetir las auditorías de forma regular, al menos cada dos años, y hacer una auditoría extraordinaria cuando el sistema cambia de forma sustancial. La certificación no es una foto fija: hay que mantenerla.
Qué significa el ENS para una infraestructura cloud
En un servicio cloud, la seguridad no depende solo del software. Depende de cómo se opera toda la plataforma: quién puede entrar al centro de datos, cómo se controlan los accesos, cómo se vigila el sistema, cada cuánto se hacen copias y qué ocurre si hay un incidente o una caída. El ENS ordena estas medidas en tres bloques: el marco organizativo, el marco operacional y las medidas de protección. Un proveedor con certificación ENS ha demostrado ante un auditor externo que las aplica, y no solo que las tiene escritas.
Conviene, eso sí, mirar el certificado con atención. Hay tres comprobaciones que ayudan: que esté vigente y lo haya emitido una entidad certificadora, que la categoría sea la adecuada para la información que vas a alojar, y que el alcance incluya el servicio que vas a contratar. Sobre qué debe verificar una empresa antes de contratar, profundizamos en qué exige la certificación ENS a un proveedor cloud.
La categoría Alta de Linube, en concreto
En Linube contamos con la certificación ENS en categoría Alta, emitida por AENOR conforme al Real Decreto 311/2022. Su alcance cubre el diseño, el desarrollo, el despliegue, la operación, el soporte y el mantenimiento de nuestra plataforma de servicios cloud, además de la administración de sistemas. Es decir, no se limita a un servidor concreto, sino a la forma en que operamos el servicio de principio a fin.
El certificado recoge 71 medidas y puede consultarse completo en este documento, junto con el resto de certificaciones de Linube, como la ISO 27001. Todo ello se traduce en una infraestructura pensada para quienes necesitan cloud con ENS Categoría Alta, desde servicios para la administración pública hasta empresas que exigen esas garantías a sus proveedores.
Si estás valorando un proveedor y el ENS está entre tus requisitos, la pregunta útil no es solo si tiene el certificado, sino qué categoría y qué alcance. Y si quieres revisarlo con alguien que lo ha pasado, hablamos.
