Qué es el ENS y a quién obliga
El Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica a las Administraciones Públicas y a las empresas que les prestan servicios o gestionan sistemas en su nombre. A diferencia de NIS2, el ENS ya está vigente y no depende de ninguna transposición pendiente.
Muchas empresas privadas entran en el alcance del ENS simplemente por ser proveedoras de una administración pública, sin ser conscientes de ello hasta que aparece en un pliego de contratación.
NIS2 en España
NIS2 es una directiva europea que España debe incorporar a su derecho nacional. El estado de esa ley debe consultarse en el BOE, porque el contenido definitivo puede introducir matices. Con independencia de ello, clientes y aseguradoras ya piden evidencias de ciberseguridad, y preparar la organización lleva tiempo.
Relación entre ENS y NIS2
Para una empresa que ya cumple con el ENS, buena parte del trabajo técnico de cara a NIS2 está hecho, porque ambos marcos comparten lógica de gestión de riesgos, continuidad y notificación de incidentes. Las diferencias principales:
Alcance
El ENS se aplica al sector público y a sus proveedores. NIS2 abarca a entidades de determinados sectores, con umbrales de tamaño.
Notificación de incidentes
NIS2 prevé un procedimiento por fases, normalmente 24 horas, 72 horas y un mes. El ENS regula la notificación de forma distinta.
Dirección
NIS2 pone el foco en la responsabilidad de los órganos de dirección: aprobar, supervisar y formarse.
Evidencias
En ambos casos cuenta la documentación demostrable más que las declaraciones de intención.
Cómo funciona un análisis de brechas
Cinco pasos: inventario de sistemas y procesos relevantes, comparación con los requisitos de ENS y NIS2, identificación de brechas concretas, priorización según criticidad y un plan de acción claro para la dirección. El alcance real depende del tamaño de la empresa, el sector y el número de ubicaciones, y se estima mejor en una conversación breve que en una descripción genérica.
Dónde suelen estar las brechas
- Procesos de notificación documentados pero nunca probados bajo presión de tiempo real.
- Evaluación de proveedores y terceros hecha una vez, sin actualización periódica.
- Responsabilidades definidas de forma informal, sin trazabilidad documental.
- Categorización ENS realizada hace años, sin revisar tras cambios en los sistemas.
Chequeo inmediato: un informe para su dirección
En lugar de contar por su cuenta: el chequeo inmediato de la página principal ofrece una clasificación con motivación, muestra las obligaciones habituales, ordena sus brechas por urgencia y entrega una tarjeta de notificación para rellenar. Gratuito, listo para imprimir, y sus datos no salen del navegador.
Ir al chequeo inmediatoPreguntas frecuentes
¿Es esto asesoramiento jurídico?
No. Somos auditores y consultores, no abogados. Revisamos evidencias y grado de madurez y situamos dónde se encuentra. Las cuestiones jurídicamente vinculantes las resuelve su asesoramiento jurídico o la autoridad de supervisión competente.
¿Tengo que esperar a que se apruebe la ley NIS2 española?
No es recomendable. Preparar la organización lleva tiempo, y muchos clientes y aseguradoras ya piden evidencias antes de que exista un marco cerrado.
¿El ENS y NIS2 son lo mismo?
No, pero se solapan considerablemente en la práctica. Cumplir el ENS adelanta buena parte del trabajo técnico que exigirá NIS2.
¿Necesito ya un asesor externo?
No necesariamente para una primera orientación: el chequeo inmediato es gratuito. Para el análisis de brechas completo y la documentación, la experiencia externa suele acelerar bastante el proceso.
Claridad antes que suposiciones
Una llamada breve y sin compromiso basta para situar su caso concreto.
Ir al chequeo inmediato Ver servicios¿Prefiere escribir? n.riveros@natalia-riveros.com
Fecha de referencia: octubre de 2026. Esta página es una orientación general y no constituye asesoramiento jurídico. Somos auditores y consultores, no abogados. Prevalecen el texto legal vigente (BOE) y las comunicaciones oficiales de INCIBE-CERT y CCN-CERT.