iAvance/Esquema Nacional de Seguridad
El ENS que piden los pliegos, preparado con método y precio cerrado
Preparamos a pymes que venden al sector público para la declaración de conformidad BÁSICA o la certificación MEDIA. Trabajamos por escrito y en remoto, vuestro equipo aplica los ajustes con nuestras instrucciones y la auditoría la hace siempre una entidad independiente.
- Norma
- Real Decreto 311/2022, de 3 de mayo
- Para
- Proveedores del sector público
- Estado
- Lo exigen los pliegos
- Desde
- 490 €, el diagnóstico
Qué es y por qué os lo piden ahora
El Esquema Nacional de Seguridad fija cómo deben protegerse los sistemas de información que usa el sector público. También se aplica a las empresas privadas que prestan servicios o proveen soluciones a entidades públicas (art. 2.3), y por eso los pliegos incluyen la obligación de presentar la declaración o la certificación de conformidad.
El real decreto está en vigor desde mayo de 2022 y el plazo de adaptación de los sistemas existentes terminó en mayo de 2024. Desde entonces, cada vez más órganos de contratación lo exigen, y no solo en contratos de tecnología: también aparece en la gestión de nóminas, la impresión o el transporte sanitario.
Lo que dicen los tribunales. En la Resolución 1289/2026, de 30 de julio, el Tribunal Administrativo Central de Recursos Contractuales dio por válido un pliego que exige la certificación MEDIA antes de empezar a prestar el servicio y que, al presentar la oferta, solo pide una declaración responsable. Se puede licitar sin el certificado, pero hay que tenerlo antes del inicio del contrato. Otros pliegos lo piden ya al presentar la oferta, así que conviene leer cada uno.
Cada vez más pliegos lo exigen
Pliegos que mencionan el ENS, por semestre de adjudicación. Análisis propio de 14.582 pliegos de contratos de servicios adjudicados entre 2024 y 2026 y publicados en la Plataforma de Contratación del Sector Público, en tipos de servicio en los que el ENS suele aplicarse; el 2.º semestre de 2026 incluye datos hasta octubre. En los datos abiertos de la misma plataforma, la mención al ENS en las licitaciones TIC abiertas pasó de cerca del 6 % (2025) a cerca del 9 % (3.er trimestre de 2026).
Quién necesita qué categoría
La categoría sale de valorar cinco dimensiones del sistema (art. 40 y anexo I). En la práctica, la fija el órgano de contratación en el pliego.
BÁSICA
Autoevaluación y declaración
No hace falta auditoría externa: basta una autoevaluación documentada y una declaración de conformidad firmada por la empresa (art. 38), que se publica con su distintivo.
Declaración 1.900 €
MEDIA
Auditoría de certificación
Exige la auditoría de una entidad de certificación acreditada (art. 38), que se repite al menos cada dos años (art. 31). Es la que más aparece en los pliegos.
Diagnóstico 490 € + 6.900 €
ALTA
Medidas reforzadas
El mismo procedimiento que MEDIA, con más medidas del anexo II. Para una primera certificación ALTA, enviadnos el pliego y os diremos con franqueza si podemos asumirla.
Renovación 3.900 €
Tres pasos, y el tercero no lo hacemos nosotros
Los plazos cuentan desde que recibimos el cuestionario completo.
- 1
Diagnóstico
Con un cuestionario por escrito (unas 40 preguntas) y la documentación que ya tengáis, definimos el alcance, categorizamos el sistema y revisamos las medidas del anexo II que os aplican. Recibís un informe con lo que falta, el plan y el precio cerrado de la adecuación.
- 2
Adecuación
Redactamos la documentación, os damos las configuraciones técnicas con instrucciones paso a paso, comprobamos que están aplicadas y ordenamos las evidencias. En MEDIA cerramos con una preauditoría completa.
- 3
Auditoría
Una entidad acreditada por ENAC audita el sistema y emite el certificado. La elegís y la pagáis directamente; os ayudamos a comparar presupuestos y os acompañamos durante la auditoría.
Exactamente qué recibís
Declaración BÁSICA
- Definición del alcance: qué servicios y sistemas cubre la declaración.
- Categorización del sistema según el anexo I.
- Política de seguridad y designación de responsables.
- Análisis de riesgos y declaración de aplicabilidad de las medidas de BÁSICA.
- Normativa y procedimientos de seguridad exigibles.
- Configuraciones técnicas para vuestro equipo, paso a paso.
- Informe de autoevaluación y declaración de conformidad lista para firmar y publicar con el distintivo.
Adecuación MEDIA
- Alcance: servicios, sistemas, ubicaciones y proveedores.
- Categorización del sistema y análisis de riesgos.
- Declaración de aplicabilidad de las 73 medidas del anexo II.
- Política, organización de la seguridad y nombramientos.
- Unos 20 procedimientos: accesos, copias, incidentes, continuidad, proveedores, formación…
- Plan técnico con instrucciones y comprobación de que se aplica.
- Índice de evidencias para el auditor y preauditoría completa.
- Acompañamiento en la auditoría y plan de acciones si hay no conformidades.
Ved un entregable antes de contratarUn ejemplo para una empresa ficticia: índice del conjunto documental y extractos de la política de seguridad y de la declaración de aplicabilidad. No es un documento de ningún cliente.
Abrir el PDF (270 KB)Qué hacéis vosotros
- Designar a una persona de contacto y a los responsables que exige el ENS. Os explicamos cómo separar funciones en una empresa pequeña.
- Rellenar el cuestionario inicial y resolver nuestras dudas por correo.
- Facilitar la información y las evidencias que os pidamos.
- Aplicar las configuraciones que os indiquemos (doble factor, copias, registros, gestión de accesos). Lo hace vuestro equipo: nunca pedimos contraseñas.
- Aprobar la política de seguridad y firmar la declaración.
- En MEDIA y ALTA, contratar la auditoría con una entidad acreditada.
Precios cerrados
Sin IVA. 50 % al aceptar la propuesta y 50 % a la entrega; el diagnóstico se paga entero al aceptar.
| Servicio | Plazo | Condiciones | Precio |
|---|---|---|---|
| Diagnóstico ENS | 1 semana | Se descuenta de la adecuación si la contratáis en los 60 días siguientes. | 490 € |
| Declaración BÁSICA | Unas 2 semanas | Termina con la declaración de conformidad lista para firmar. | 1.900 € |
| Adecuación MEDIA | 4–6 semanas | Lista para la auditoría, con preauditoría y acompañamiento. | 6.900 € |
| Renovación MEDIA | 4–5 semanas | Documentos y evidencias del periodo, preauditoría y acompañamiento. | 2.900 € |
| Renovación ALTA | 4–5 semanas | Igual que la renovación MEDIA, para sistemas de categoría ALTA. | 3.900 € |
| Auditoría de certificaciónNo incluida | La fija la certificadora | La contratáis directamente con una entidad acreditada por ENAC. Importe orientativo, más IVA. | 3.000–6.000 € |
No incluido: licencias, equipos o servicios de terceros, y los cambios técnicos en vuestros sistemas, que aplica vuestro equipo con nuestras instrucciones.
Lo que garantizamos, y lo que no puede garantizar nadie
Corregimos sin coste lo que sea culpa nuestra
Nadie puede garantizar el certificado: lo decide una entidad independiente. Lo que sí garantizamos: si salen no conformidades causadas por nuestro trabajo, las corregimos sin coste.
El auditor nunca somos nosotros
La auditoría la hace una entidad acreditada por ENAC que contratáis directamente. Quien os prepara no puede ser quien os certifica.
Por escrito y en remoto
Los documentos viven en una carpeta compartida de vuestro propio Microsoft 365 o Google. Si queréis, firmamos antes un acuerdo de confidencialidad con anexo de encargo de tratamiento (art. 28 RGPD).
Un auditor externo revisa cada proyecto
Cada proyecto lo revisa y lo preaudita, antes de que llegue la certificadora, un auditor externo con formación de auditor jefe ISO 27001. Una sola persona coordina el proyecto y es vuestro único interlocutor.
Preguntas frecuentes
¿Garantizáis el certificado?
No, y nadie puede hacerlo: la certificación la decide una entidad independiente. Lo que sí garantizamos es que, si salen no conformidades causadas por nuestro trabajo, las corregimos sin coste.
¿La auditoría está incluida?
No. La contratáis directamente con una entidad de certificación acreditada por ENAC (orientativamente, 3.000–6.000 € más IVA, según el alcance). El auditor no puede ser quien os prepara; así la certificación es independiente. Os ayudamos a pedir y comparar presupuestos.
¿Qué categoría necesitamos?
La fija el órgano de contratación en el pliego. Enviadnos el pliego o el enlace a la licitación y os decimos qué categoría pide y qué alcance tiene sentido certificar.
¿Cuánto tarda?
El diagnóstico, 1 semana. La declaración BÁSICA, unas 2 semanas. La adecuación MEDIA, 4–6 semanas más la auditoría, cuya fecha pone la certificadora. Las renovaciones, 4–5 semanas.
¿Podemos presentarnos a una licitación mientras tanto?
Depende del pliego. Algunos solo piden una declaración responsable al presentar la oferta y el certificado antes de empezar el servicio, como el que validó el Tribunal Administrativo Central de Recursos Contractuales en la Resolución 1289/2026. Otros lo exigen ya al presentar la oferta. Leemos vuestro pliego y os lo decimos por escrito.
¿Necesitáis acceso a nuestros sistemas?
No. Nunca pedimos ni aceptamos contraseñas. Os damos las configuraciones con instrucciones paso a paso, vuestro equipo las aplica y nos envía la evidencia (capturas, exportaciones o informes).
¿Tenemos que instalar o comprar algún programa?
No. Seguís con vuestras herramientas; no revendemos licencias. Nosotros trabajamos con herramientas propias: el cuestionario, la matriz con las 73 medidas del anexo II y nuestro generador de documentos.
Ya tenemos ISO 27001. ¿Nos sirve?
Sirve una parte importante del trabajo, pero el ENS tiene requisitos propios: la categorización del sistema, las medidas del anexo II con sus refuerzos y una declaración de aplicabilidad específica. El diagnóstico os dice qué podéis reutilizar y qué falta.
¿Cada cuánto hay que renovar?
En MEDIA y ALTA, la auditoría se repite al menos cada dos años (art. 31 del RD 311/2022). La renovación cuesta 2.900 € en MEDIA y 3.900 € en ALTA, más la auditoría de vuestra certificadora.
¿Tenéis experiencia o referencias?
Todavía no tenemos referencias de ENS que podamos citar: estamos empezando, y preferimos decirlo claramente. Por eso publicamos el método, los precios y un ejemplo de entregable; cada proyecto lo revisa un auditor externo antes de que llegue la certificadora; y si salen no conformidades por nuestro trabajo, las corregimos sin coste. Si queréis empezar con poco riesgo, el diagnóstico (490 €) os permite ver cómo trabajamos.
¿Firmáis un acuerdo de confidencialidad?
Sí. Antes de recibir información vuestra podemos firmar un acuerdo de confidencialidad mutuo con un anexo de encargo de tratamiento conforme al artículo 28 del RGPD.
Enviadnos el pliego
Con tres datos os decimos categoría, plazo y precio: el pliego o el enlace a la licitación, dónde está alojado el servicio y cuántas personas lo administran.
No nos enviéis contraseñas ni datos personales de terceros. Si necesitáis un acuerdo de confidencialidad antes de compartir documentación, pedídnoslo.