Abres un pliego de licitación y ahí está: «Se requerirá conformidad con el Esquema Nacional de Seguridad (ENS)». Tu empresa lleva años instalando sistemas de alarma, gestionando centrales receptoras o prestando servicios de vigilancia. Sabes lo que haces. Pero ahora también te piden demostrar cómo proteges la información y los sistemas que sostienen esos servicios.
Y no es solo la Administración Pública. Cada vez más clientes privados en banca, energía o infraestructuras críticas exigen a sus proveedores de seguridad demostrar cumplimiento normativo. La pregunta ya no es si el ENS te va a llegar. Es cuándo. Y sobre todo: qué deberías hacer antes de lanzarte a certificar.
El ENS, ¿aplica a mi empresa de seguridad privada?
El ENS puede aplicar a los sistemas de tu empresa de seguridad privada cuando, en virtud de un contrato, sustentan servicios o soluciones prestados a una entidad del sector público para el ejercicio de sus competencias. No a toda tu empresa ni a todos tus contratos, sino a esos sistemas concretos. Una central receptora que recibe señales de un organismo público, un sistema de videovigilancia que graba las instalaciones de un ayuntamiento o la aplicación con la que gestionas rondas y partes de incidencias pueden quedar dentro del alcance si sustentan el servicio contratado. Dependerá en cada caso del contrato, del funcionamiento del servicio y de quién opera cada sistema.
Pero la obligación legal es solo una parte del panorama. La directiva europea NIS2 refuerza el control de los riesgos de ciberseguridad en la cadena de suministro, y las organizaciones afectadas están elevando las exigencias a sus proveedores. En ese contexto, el ENS, por su rigor y por el respaldo del Centro Criptológico Nacional, se utiliza cada vez más como referencia para acreditar buenas prácticas de ciberseguridad. No disponer de esa acreditación puede dejar fuera de contratos que antes se ganaban por experiencia y trayectoria.
Antes de empezar
Tres cosas que debes tener claras antes de empezar:
- Lo primero que conviene entender es que la categoría del ENS no la elige tu empresa. Depende del impacto que tendría un incidente de seguridad sobre los sistemas que sustentan los servicios que prestas, medido en cinco dimensiones: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. El ENS establece tres categorías de seguridad –Básica, Media y Alta– y de esa categoría depende todo lo demás. Para la categoría Básica suele bastar con una declaración de conformidad mediante autoevaluación documentada, aunque también es posible optar voluntariamente por una certificación externa. Para las categorías Media y Alta se necesita una auditoría formal por una entidad acreditada por ENAC (Entidad Nacional de Acreditación).
- Lo segundo es que el Anexo II del ENS recoge 73 medidas de seguridad, pero eso no significa que tengas que implementarlas todas ni al mismo nivel. Cuáles te aplican y con qué exigencia depende de tu categoría, del alcance concreto de tus sistemas y de tu declaración de aplicabilidad, que es el documento donde se justifica qué medidas corresponden a tu actividad y cuáles no. Es un traje a medida, no un uniforme.
- Y lo tercero, que suele ser lo que más preocupa, es el coste. Pero no es una cifra única: tiene varias partidas que conviene separar. Diagnóstico inicial, consultoría de adecuación, implantación técnica, auditoría externa, dedicación de tu propio equipo y mantenimiento posterior. Para una pyme, el conjunto puede ir desde unos pocos miles de euros en categoría Básica hasta varias decenas de miles en categoría Media. Lo que más influye en esa cifra es tu punto de partida. Y eso, precisamente, es lo primero que deberías averiguar.
¿Dónde estás?
Hay un escenario que se repite más de lo deseable: una empresa de seguridad recibe la exigencia del ENS, contrata directamente una consultora o se presenta a un proceso de auditoría sin haberse evaluado antes. El resultado habitual es pagar para descubrir que no cumples. Dinero y meses perdidos.
Quien trabaja en seguridad lo entiende bien. Nadie diseña un sistema de protección sin hacer antes un estudio de seguridad. Nadie instala una central receptora de alarmas sin analizar primero las necesidades del cliente. Con el cumplimiento normativo debería ser igual: antes de invertir en la solución, necesitas entender el problema. Saber qué tienes, qué te falta y por dónde conviene empezar.
Triaje del ENS aplicado a la seguridad privada
Esa evaluación inicial –ese diagnóstico de cumplimiento, ese análisis de situación– es lo que en Laguun llamamos triaje. ENS by Laguun es un módulo desarrollado en colaboración con el Centro Criptológico Nacional que permite hacer una evaluación guiada del cumplimiento del ENS mediante inteligencia artificial conversacional. Sin necesidad de ser experto en ciberseguridad. En menos de una hora, la plataforma identifica en qué punto está tu organización, qué brechas presenta y qué medidas conviene priorizar. Cada respuesta incluye referencias a las guías técnicas del CCN (conocidas como guías CCN-STIC) y a la documentación oficial del ENS.
Quiero ser clara en lo que hace y lo que no hace. Este triaje no sustituye a la consultoría de adecuación ni a la auditoría de certificación. Es el paso anterior: el que te permite saber qué categoría te corresponde, qué distancia te separa del cumplimiento y qué camino tienes por delante. A partir de ahí, puedes decidir con criterio si avanzas con recursos propios, con una consultora o con una combinación de ambos. El coste de ese primer paso es de 80 euros al mes.
Más de mil organizaciones en España y Latinoamérica ya han completado este diagnóstico. No porque sea obligatorio, sino porque tiene sentido: saber dónde estás antes de decidir cuánto invertir.
El ENS no es un trámite más ni una barrera burocrática. Es la garantía de que los sistemas que utilizáis para proteger a vuestros clientes –sean administraciones públicas, bancos o empresas industriales– están, a su vez, protegidos. Para quienes lleváis años en el sector de la seguridad, cumplir con el ENS no debería ser un salto al vacío, sino una extensión natural de lo que ya hacéis: proteger. Pero también protegeros. Y todo empieza por saber dónde estamos.
La entrada Certificación ENS para pymes de seguridad privada: qué hacer se publicó primero en Seguritecnia.
