El Esquema Nacional de Seguridad (ENS) y la norma ISO 27001 no son lo mismo, aunque el examen TAI los pone a menudo en la misma pregunta para ver si los confundes. El ENS es la normativa española obligatoria para toda la Administración Pública, regulada por el Real Decreto 311/2022. ISO 27001 es una norma internacional de certificación, voluntaria, que cualquier organización (pública o privada) puede adoptar para gestionar la seguridad de la información. Si en el examen te preguntan qué marco regula obligatoriamente la seguridad en las administraciones públicas españolas, la respuesta es el ENS, no ISO 27001.
En este artículo
- Qué es el Esquema Nacional de Seguridad
- Qué es la norma ISO 27001
- Cuáles son las diferencias clave
- Pueden convivir las dos en una misma administración
- Qué debes memorizar para el examen
- Preguntas frecuentes
¿Qué es el Esquema Nacional de Seguridad (ENS)?
El ENS es el conjunto de principios básicos y requisitos mínimos que deben cumplir todas las administraciones públicas españolas para proteger la información y los servicios electrónicos que gestionan. Nace con la Ley 11/2007 de acceso electrónico y se regula hoy con el Real Decreto 311/2022, de 3 de mayo, que sustituyó al antiguo RD 3/2010.
Su objetivo no es certificar productos, sino garantizar que los sistemas de información de cualquier organismo público (un ministerio, un ayuntamiento, una universidad pública) cumplen un nivel mínimo de seguridad acorde a la categoría del sistema: básica, media o alta.
El ENS clasifica los sistemas según cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Según cómo de crítico sea el sistema en cada dimensión, se le exige un conjunto u otro de medidas de seguridad recogidas en su Anexo II.
¿Qué es la norma ISO 27001?
ISO 27001 es una norma internacional publicada por la Organización Internacional de Normalización (ISO) que define los requisitos para implantar un Sistema de Gestión de Seguridad de la Información (SGSI). No es una ley ni un decreto: es un estándar de certificación al que se adhiere voluntariamente cualquier empresa u organismo, público o privado, de cualquier país.
Una organización que se certifica en ISO 27001 pasa una auditoría externa que revisa si ha implantado correctamente los controles de seguridad que marca la norma (en su Anexo A). Esa certificación no la exige ninguna ley española para la Administración Pública, pero muchos organismos la usan como complemento o como referencia de buenas prácticas para cumplir el ENS.
¿Cuáles son las diferencias clave entre ENS e ISO 27001?
| Aspecto | ENS | ISO 27001 |
|---|---|---|
| Naturaleza | Normativa jurídica española (Real Decreto) | Norma técnica internacional (ISO) |
| Obligatoriedad | Obligatoria para toda la Administración Pública española | Voluntaria, para cualquier organización del mundo |
| Ámbito | Solo sector público español | Público y privado, sin límite geográfico |
| Clasificación | Por categoría del sistema: básica, media, alta | Por análisis y tratamiento de riesgos propio |
| Verificación | Auditoría periódica de conformidad con el ENS | Certificación por entidad acreditada (por ejemplo, AENOR) |
¿Pueden convivir las dos en una misma administración?
Sí, y de hecho es habitual. Un organismo público español está obligado a cumplir el ENS, pero nada le impide certificarse además en ISO 27001 si quiere reforzar su imagen de garantía o si trabaja con terceros que lo exigen. En la práctica, muchos de los controles del Anexo A de ISO 27001 y de las medidas del Anexo II del ENS se solapan: control de acceso, gestión de incidentes, copias de seguridad, cifrado, continuidad de negocio.
Lo que no ocurre nunca es lo contrario: estar certificado en ISO 27001 no exime a una administración pública española de cumplir el ENS. Son planos distintos: uno es obligación legal, el otro es una certificación voluntaria que puede usarse como apoyo.
¿Qué debes memorizar para el examen TAI?
Para el Bloque IV, céntrate en estas ideas, que son las que suelen aparecer en el examen tipo test:
- El ENS se regula por el Real Decreto 311/2022, de 3 de mayo.
- Es de obligado cumplimiento para toda la Administración Pública española.
- Clasifica los sistemas en tres categorías: básica, media y alta.
- Trabaja sobre cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
- ISO 27001 es un estándar internacional voluntario, no una obligación legal española.
- Las dos pueden coexistir, pero ISO 27001 nunca sustituye al ENS en el sector público.
Si quieres repasar cómo se relaciona el ENS con otras piezas de la Administración Electrónica, puedes completar este tema con nuestra guía sobre el Esquema Nacional de Seguridad para el TAI y con el artículo sobre cifrado simétrico y asimétrico, otro clásico que se confunde en el examen.
Seguridad informática, ENS, redes y sistemas explicados sin paja. Un bloque suelto para probar el temario antes de comprometerte con una academia.
Preguntas frecuentes
¿El ENS afecta a las empresas privadas?
No directamente. El ENS obliga a las administraciones públicas, pero una empresa privada que preste servicios a una administración (por ejemplo, un proveedor tecnológico) puede verse obligada contractualmente a cumplir ciertos requisitos del ENS para esos servicios concretos.
¿Qué categorías tiene el ENS?
Tres: básica, media y alta, según el impacto que tendría un incidente de seguridad sobre cada dimensión (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad).
¿Es obligatorio certificarse en ISO 27001 si ya cumples el ENS?
No. ISO 27001 es siempre voluntaria. Cumplir el ENS no exige certificación ISO 27001, y al revés, estar certificado en ISO 27001 no sustituye la obligación de cumplir el ENS.
¿Quién audita el cumplimiento del ENS?
Las propias administraciones deben someterse a auditorías periódicas de conformidad con el ENS, que pueden ser internas o realizadas por entidades certificadoras, según la categoría del sistema.
¿Cae mucho esto en el examen del TAI?
El ENS es uno de los temas con más presencia histórica en el Bloque IV, así que sí conviene tenerlo bien dominado. La comparación con ISO 27001 suele aparecer como pregunta de distractor, para ver si confundes lo obligatorio con lo voluntario.