Esquema Nacional de Seguridad para entidades pequeñas

Ámbito de aplicación

El Real Decreto 311/2022 se aplica a todo el sector público definido en el art. 2 de la Ley 40/2015, que incluye expresamente a las entidades que integran la Administración local. No hay umbral de población ni de presupuesto: el municipio de menor tamaño está obligado en los mismos términos que una capital de provincia.

También se aplica a los sistemas de las entidades privadas que presten servicios al sector público o le suministren soluciones, y los pliegos de los contratos deben exigir que esos sistemas sean conformes con el ENS (art. 2.3).

Acreditación de la conformidad (art. 38)

Todos los sistemas incluidos en el ámbito del ENS deben pasar un proceso para determinar su conformidad. Los de categoría básica solo requieren una autoevaluación para la declaración de conformidad, aunque pueden someterse también a una auditoría de certificación. Los de categoría media o alta necesitan una auditoría para la certificación de su conformidad.

Las declaraciones y certificaciones de conformidad deben publicarse en el portal de internet o en la sede electrónica de la entidad (art. 38.2).

Perfiles de cumplimiento para entidades locales

El ENS permite que el Centro Criptológico Nacional valide y publique perfiles de cumplimiento específicos: conjuntos de medidas adaptados a un tipo de entidad, que pueden recogerse en guías CCN-STIC (art. 30). Para la administración local hay dos familias:

• Perfil para entidades locales (guía CCN-STIC 883, «Guía de implantación del ENS para Entidades Locales»), con cuatro anexos: 883A para ayuntamientos pequeños y con recursos limitados (menos de 5.000 habitantes), 883B (menos de 20.000), 883C (entre 20.000 y 75.000) y 883D (diputaciones, cabildos, consejos insulares u órganos equivalentes).
• Perfil de requisitos esenciales de seguridad (guía CCN-STIC 890, con la variante 890A para entidades locales), de categoría básica, que se certifica con la metodología µCeENS.

Primeras actuaciones (propuesta orientativa)

Secuencia propuesta para un ayuntamiento pequeño, a partir de lo anterior:

• Inventariar los sistemas de información y los servicios que se prestan con ellos, propios o contratados.
• Determinar la categoría de cada sistema (básica, media o alta) según el anexo I del Real Decreto 311/2022.
• Elegir el perfil de cumplimiento que corresponda por población y consultar su versión vigente en el portal del CCN.
• Revisar los contratos con proveedores tecnológicos: deben exigir la conformidad con el ENS.
• Realizar la autoevaluación o la auditoría que corresponda y publicar la declaración o la certificación en la sede electrónica.
• Solicitar asistencia a la diputación provincial, que tiene entre sus competencias la asistencia técnica a los municipios, especialmente a los de menor capacidad (Ley 7/1985, art. 36.1.b).

Estado de la transposición de NIS2

El plazo para transponer la Directiva (UE) 2022/2555 venció el 17 de octubre de 2024. El Consejo de Ministros aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero el texto no llegó a las Cortes como proyecto de ley antes de su disolución.

La Comisión Europea abrió el procedimiento de infracción INFR(2024)0270 y el 8 de julio de 2026 decidió llevar a España ante el Tribunal de Justicia de la UE, con petición de sanciones económicas. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpuso la directiva anterior.