Por qué las PYMEs proveedoras de la Administración deben certificarse en ENS

La contratación pública en España moviliza más de 200.000 millones de euros anuales. Para las PYMEs del sector tecnológico y de servicios digitales, este mercado representa una oportunidad enorme, pero con una barrera de acceso que crece año a año: los requisitos de seguridad de la información. El ENS, históricamente percibido como una obligación de la Administración, se está convirtiendo en un estándar exigible también a sus proveedores.

El ENS como barrera de entrada en licitaciones

El artículo 11 del RD 311/2022 establece que los sistemas de información de proveedores que presten servicios a entidades del sector público deben cumplir los requisitos del ENS cuando dichos servicios puedan afectar a la seguridad de los sistemas de la entidad contratante. Esta disposición tiene una consecuencia directa en los pliegos de contratación: los organismos públicos con sistemas ENS tienen tanto la potestad como la obligación de exigir el cumplimiento ENS a sus proveedores de servicios digitales.

La realidad de los pliegos de los últimos años confirma esta tendencia. El ENS aparece en los pliegos técnicos de tres formas: como requisito de admisión (sin cumplirlo no se puede presentar oferta), como criterio de valoración (puntúa pero no excluye) o como obligación contractual (el adjudicatario debe obtener la certificación durante la ejecución del contrato). La primera modalidad es la más exigente y la que excluye de raíz a los proveedores sin preparación.

Sectores más afectados

No todos los proveedores públicos están igualmente expuestos. Los sectores donde la exigencia ENS es más frecuente y más estricta son:

• Tecnologías de la información y comunicaciones: desarrollo de aplicaciones, integración de sistemas, administración de infraestructuras, servicios cloud. Son los contratos donde el proveedor tiene mayor capacidad de afectar a los sistemas de la Administración, y donde la exigencia ENS es más sistemática.
• Servicios gestionados de ciberseguridad: SOC, gestión de vulnerabilidades, respuesta a incidentes. Por la naturaleza del servicio, la certificación ENS es prácticamente universal en estos contratos.
• Telecomunicaciones y conectividad: proveedores de red, fibra, enlaces WAN para la Administración. La infraestructura de red es un vector crítico de ataque, y los organismos contratantes son cada vez más conscientes de ello.
• Consultoría y auditoría TI: los proveedores que acceden a los sistemas de la Administración para auditarlos o asesorar sobre su seguridad deben poder demostrar que gestionan la información a la que acceden con al menos el mismo nivel de seguridad exigido al sistema auditado.
• Mantenimiento de software e infraestructuras digitales: especialmente cuando el mantenimiento implica acceso remoto a sistemas de producción.

¿Qué categoría ENS necesita una PYME proveedora?

Esta es la pregunta más frecuente y también la que más confusión genera. La categoría ENS no la determina la PYME por decisión propia, sino el tipo de sistema al que va a acceder o que va a gestionar en el marco del contrato. Si el sistema de la Administración es de categoría BÁSICA, el servicio del proveedor que afecte a ese sistema debe cumplir con los requisitos de categoría BÁSICA.

En la práctica, la mayoría de las PYMEs proveedoras de servicios generales a la Administración Local y a organismos de la Administración autonómica trabajan con sistemas de categoría BÁSICA o MEDIA. Esto es una buena noticia, porque la certificación ENS en categoría BÁSICA tiene una exigencia de controles significativamente menor que MEDIA o ALTA, y es asequible en términos de coste y plazo incluso para empresas pequeñas.

Para contratos con la Administración General del Estado o con organismos que manejan datos especialmente sensibles, la categoría puede ser MEDIA o ALTA, lo que eleva sustancialmente los requisitos. En estos casos, la PYME debe valorar si su capacidad de inversión en seguridad es compatible con el mercado objetivo.

Cinco pasos concretos para empezar

Paso 1 — Análisis de alcance. Definir qué sistemas de información propios de la PYME están en el ámbito del servicio que se presta a la Administración. Esto puede ser la plataforma de desarrollo, el entorno de pruebas, los portátiles de los técnicos que acceden en remoto, o los servidores donde se almacena información de los proyectos. El alcance debe ser lo suficientemente amplio para cubrir todos los activos relevantes y lo suficientemente estricto para no incluir sistemas que no tienen relación con el servicio público.

Paso 2 — Categorización del sistema. Con el alcance definido, aplicar los criterios del Anexo I del RD 311/2022 para determinar la categoría del sistema. Para la mayoría de las PYMEs de servicios TI, el análisis de las cinco dimensiones (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad) arroja una categoría BÁSICA o MEDIA. Esta determinación debe quedar documentada con justificación de cada dimensión.

Paso 3 — GAP analysis. Comparar el estado actual de los controles de seguridad de la empresa con los requisitos de la categoría determinada. El GAP analysis identifica qué controles están ya implementados (total o parcialmente) y cuáles son las brechas que hay que cerrar antes de la auditoría. Este paso es el que permite estimar el esfuerzo real de implementación y priorizar las acciones.

Paso 4 — Plan de implementación. Con el GAP analysis en mano, diseñar un plan de acción ordenado por prioridad y con hitos temporales realistas. Los controles que cierran brechas de mayor riesgo deben implementarse primero. El plan debe asignar responsable y plazo a cada acción, y debe contar con el respaldo explícito de la dirección de la empresa.

Paso 5 — Auditoría. Para categoría BÁSICA y MEDIA, la auditoría puede ser interna o realizada por consultora externa sin acreditación ENAC. Muchos organismos contratantes aceptan un informe de auditoría de este tipo junto con la documentación ENS. Para contratos que exigen certificación formal (informe de entidad acreditada), habrá que contratar una auditora con acreditación ENAC ISO/IEC 17020.

Coste y plazo estimados para una PYME

Para una empresa de 20 a 50 personas con servicios TI a la Administración, el coste total de implementar y certificar un SGSI conforme al ENS en categoría BÁSICA oscila entre 15.000 y 35.000 euros, incluyendo la consultoría de implementación y la auditoría. Este coste varía en función de la complejidad del entorno técnico, el nivel de madurez de seguridad previo y si se opta por auditoría interna o externa acreditada.

El plazo realista para una PYME que parte de cero es de aproximadamente 1 mes para categoría BÁSICA, según el ritmo con el que la empresa aporte la información y las evidencias. Este plazo es compatible con los ciclos de licitación si la empresa empieza el proceso en cuanto detecta que el ENS va a ser relevante en su mercado, sin esperar a que aparezca en un pliego concreto.

Para categoría MEDIA, el coste sube a un rango de 30.000 a 70.000 euros y el plazo habitual a unos 3 meses, reflejando el mayor número de controles y la mayor complejidad de implementación.

El ENS como argumento de diferenciación comercial

Más allá del cumplimiento, la certificación ENS es un argumento de venta poderoso en el sector público. En un mercado donde muchos proveedores pequeños carecen de certificación, presentarla en una oferta comunica solvencia técnica, madurez organizativa y compromiso con la seguridad de la información del cliente. Estos atributos son difíciles de comunicar de otra forma en el limitado espacio de una oferta técnica.

Algunos organismos contratantes están empezando a incluir la certificación ENS como criterio de valoración con puntuación explícita, lo que convierte cada punto de diferencia con competidores sin certificación en una ventaja cuantificable en la adjudicación. Anticiparse a esta tendencia, en lugar de reaccionar a ella cuando ya es obligatoria, da a la empresa una ventana temporal en la que la certificación diferencia frente a competidores que aún están en proceso.

Una decisión estratégica, no solo de cumplimiento

Para una PYME con ambición de crecer en el mercado de la Administración Pública digital, la certificación ENS no debe tratarse como un coste de cumplimiento sino como una inversión estratégica con retorno medible. Cada contrato al que la empresa puede presentarse gracias a la certificación, y cada punto de valoración adicional que obtiene en los que ya podía presentarse, forma parte del retorno de una inversión que, bien ejecutada, se amortiza con uno o dos contratos adicionales.

El momento de tomar esta decisión no es cuando aparece la primera licitación que la exige: para entonces ya es tarde. El momento es ahora, cuando el proceso de implementación puede planificarse con calma y sin la presión de un plazo de presentación de ofertas.