¿Qué cubre la certificación ENS de Innguma?

¿Qué es el Esquema Nacional de Seguridad?

El Esquema Nacional de Seguridad (ENS) fija la política de seguridad para el uso de medios electrónicos en el sector público español. Lo regula el Real Decreto 311/2022, de 3 de mayo, que sustituyó al Real Decreto 3/2010; su última modificación, en la disposición adicional segunda, procede del Real Decreto 1125/2024, de 5 de noviembre, y está en vigor desde el 7 de noviembre de 2024^[1].

No se limita a las administraciones. El artículo 2.3 lo extiende a los sistemas de información de las entidades del sector privado que prestan servicios o proporcionan soluciones a entidades del sector público, y obliga a que los pliegos de esos contratos recojan los requisitos necesarios para asegurar la conformidad con el ENS^[1]. Por eso un proveedor tecnológico de la administración suele necesitar una declaración o certificación de conformidad.

¿Cómo se determina la categoría de un sistema?

La categoría se fija valorando el impacto que tendría un incidente sobre cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad (artículo 40 y anexo I)^[1]. Un sistema es de categoría MEDIA cuando alguna dimensión alcanza el nivel MEDIO, que corresponde a un perjuicio grave, y ninguna alcanza el nivel ALTO. Cuanto mayor es la categoría, más exigentes son las medidas del anexo II y la forma de acreditar el cumplimiento:

Fuente de la tabla: artículo 38 del Real Decreto 311/2022^[1] y criterios de ENAC^[2].

¿Quién certifica y cada cuánto se audita?

• Acreditación de la certificadora. En categorías MEDIA y ALTA, la certificación debe expedirla una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012; sin esa acreditación no puede emitir certificaciones de conformidad^[2][3].
• OCA Global. La relación de entidades de certificación del ENS que publica el Centro Criptológico Nacional (CCN) recoge a OCA Global (OCA Instituto de Certificación, S.L.U.) como entidad acreditada desde el 30 de octubre de 2020^[4].
• Auditoría periódica. Los sistemas se auditan de forma ordinaria al menos cada dos años, y de forma extraordinaria tras cualquier modificación sustancial, que reinicia ese plazo (artículo 31)^[1].
• Distintivo y publicidad. La guía CCN-STIC 809, en su edición de abril de 2026, establece que el distintivo de conformidad incluya un enlace a la certificación y que esta permanezca accesible en la web o sede electrónica de la organización^[3].

¿Qué dice exactamente el certificado de Innguma?

• Certificado: n.º 34/5704/24/05039.
• Esquema: Esquema Nacional de Seguridad, Real Decreto 311/2022.
• Categoría: MEDIA.
• Alcance: los sistemas de información que dan soporte a los servicios de vigilancia gestionada.
• Entidad de certificación: OCA Global, acreditada por ENAC.
• Vigencia: hasta junio de 2028.

Puedes consultar el certificado completo en PDF^[5].

¿Cómo leer el alcance de un certificado ENS?

Un certificado ENS vale para los sistemas que figuran en su alcance, en la categoría indicada y durante su vigencia. Al evaluar a cualquier proveedor, comprueba esos tres datos en el propio certificado, no solo en el distintivo:

1. Alcance: qué sistemas o servicios cubre. Si lo que contratas no aparece descrito, ese certificado no lo cubre; pregúntalo antes de firmar.
2. Categoría: debe ser igual o superior a la que exige el pliego o tu análisis de riesgos.
3. Vigencia: fecha de validez y, si ha pasado más de dos años desde la emisión, evidencia de la auditoría siguiente.
4. Certificadora: que figure como acreditada en la relación del CCN.

¿Por qué importa si no eres una administración pública?

Para una administración, contratar un servicio tecnológico exige que el proveedor cumpla el ENS en la categoría que corresponda. Para una empresa privada, el certificado es una evidencia independiente de que los sistemas que tratan su información de vigilancia, a menudo estratégica y no pública dentro de la organización, aplican medidas de seguridad auditadas. Además, Innguma se integra con el Directorio Activo del cliente para el inicio de sesión corporativo y las altas y bajas centralizadas, trata los datos conforme al RGPD y no entrena modelos de IA con los datos de sus clientes.