ENS para ayuntamientos: requisitos y plan de adecuación paso a paso
El Esquema Nacional de Seguridad para ayuntamientos no debe entenderse como una certificación que se obtiene al final de un proyecto tecnológico. Es un marco de gestión que obliga a conocer qué sistemas sostienen los servicios públicos, qué información manejan, qué riesgos existen y qué medidas deben mantenerse de forma continua.
Para una entidad local, el reto es especialmente relevante porque conviven aplicaciones de padrón, registro, sede electrónica, expedientes, recaudación, recursos humanos, policía local, servicios sociales, contratación, correo, almacenamiento, copias de seguridad y servicios prestados por terceros. Una estrategia de digitalización de la Administración Pública que ignore esta realidad puede aumentar la superficie de riesgo aunque modernice la experiencia del ciudadano.
El marco actual del ENS se regula mediante el Real Decreto 311/2022, de 3 de mayo. Su enfoque refuerza la gestión del riesgo, la protección de la información y los servicios, la vigilancia continua, la respuesta a incidentes y la responsabilidad de los distintos actores.
Qué es el Esquema Nacional de Seguridad
El ENS establece los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y de los servicios prestados por medios electrónicos en el sector público. Su objetivo es crear condiciones de confianza en el uso de sistemas digitales, evitando que la seguridad dependa únicamente de decisiones aisladas de cada proveedor o departamento.
La seguridad debe gestionarse de forma integral. No basta con disponer de antivirus, firewall o copias de seguridad. El ayuntamiento necesita saber qué activos tiene, quién los administra, qué datos contienen, qué impacto tendría una interrupción, cómo se controlan los accesos, cómo se registran eventos y qué ocurre si un proveedor deja de prestar servicio.
Este enfoque conecta con la ciberseguridad en procesos digitalizados: proteger herramientas aisladas es insuficiente si el flujo completo incluye puntos débiles.
Por qué el ENS es especialmente importante en un ayuntamiento
Los ayuntamientos gestionan información sensible y servicios que afectan directamente a la vida diaria. Una caída prolongada de la sede, una pérdida de expedientes, un acceso indebido al padrón o un compromiso de correo institucional puede tener consecuencias administrativas, económicas y reputacionales.
Además, muchas entidades locales tienen equipos reducidos y dependen de proveedores externos. Esta combinación hace imprescindible ordenar responsabilidades y contratos. La digitalización de ayuntamientos debe contemplar desde el diseño quién mantiene cada componente y qué garantías ofrece.
Seguridad como servicio público
La disponibilidad de un sistema municipal no es solo un asunto técnico. Si un ciudadano no puede presentar una solicitud dentro de plazo o el personal no puede acceder a un expediente, existe impacto sobre el servicio público. Por eso continuidad y recuperación forman parte del ENS.
Datos de especial sensibilidad
Servicios sociales, recursos humanos, policía local o determinadas actuaciones administrativas pueden contener información especialmente delicada. El control de acceso y la trazabilidad deben adaptarse al nivel de riesgo.
Dependencia de terceros
Hosting, software de gestión, soporte, backups, comunicaciones y plataformas SaaS suelen estar externalizados. El ayuntamiento sigue necesitando gobernanza sobre esos servicios y debe revisar cómo los proveedores cumplen las obligaciones aplicables.
Ámbito de aplicación y responsabilidades
El Real Decreto 311/2022 define el ámbito subjetivo y material del ENS y contempla también requisitos relativos a proveedores que prestan servicios o suministran soluciones al sector público. En un ayuntamiento, esto obliga a identificar qué sistemas están dentro del alcance y qué terceros participan.
La primera decisión práctica es establecer una estructura de gobierno. Deben distinguirse responsabilidades sobre información, servicios, seguridad y sistemas. La concentración informal de todas las decisiones en una única persona genera dependencia y dificulta demostrar control.
Este punto se relaciona con los errores habituales en la digitalización de ayuntamientos, donde la ausencia de documentación y responsables definidos suele convertirse en un riesgo recurrente.
Inventario de activos: el punto de partida real
No se puede proteger lo que no se conoce. El inventario debe incluir aplicaciones, servidores, equipos, redes, bases de datos, servicios cloud, cuentas privilegiadas, integraciones, certificados, copias de seguridad, contratos y proveedores.
También conviene mapear dependencias. Por ejemplo, una sede electrónica puede depender de identidad, registro, gestor de expedientes, firma, notificaciones y almacenamiento. Si falla una pieza, el servicio puede quedar parcialmente inutilizado aunque la web siga accesible.
En proyectos de digitalización municipal, este inventario debería realizarse antes de incorporar nuevas herramientas. Evita duplicidades y permite conocer qué sistemas son críticos.
Categorización de sistemas
Uno de los pasos esenciales del ENS es categorizar los sistemas atendiendo al impacto que tendría un incidente sobre dimensiones de seguridad. La categoría resultante condiciona las medidas que deben aplicarse.
No todos los sistemas municipales requieren exactamente el mismo nivel de protección. Una web informativa y un sistema con datos sensibles o capacidad de producir efectos administrativos tienen perfiles distintos. La categorización permite evitar tanto la infraprotección como la aplicación indiscriminada de controles sin criterio.
Para hacerlo correctamente hay que analizar servicios e información, no solo tecnología. El área administrativa debe participar porque conoce las consecuencias reales de una indisponibilidad o alteración.
Medidas de seguridad: cómo abordarlas sin convertir el ENS en una checklist
El anexo II del ENS organiza medidas de seguridad que deben aplicarse según la categoría y circunstancias del sistema. El error es tratarlas como casillas independientes. Muchas están conectadas y requieren procesos sostenidos.
Marco organizativo
Incluye políticas, normativa interna, procedimientos de seguridad y asignación de responsabilidades. La documentación debe reflejar cómo funciona realmente el ayuntamiento, no copiar plantillas genéricas sin aplicación práctica.
Marco operacional
Abarca planificación, control de accesos, explotación, gestión de cambios, servicios externos, continuidad y monitorización. Aquí se evidencia si el ayuntamiento tiene procesos maduros o depende de actuaciones reactivas.
Medidas de protección
Incluyen protección de instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones e información. Las medidas deben adaptarse al riesgo y mantenerse durante todo el ciclo de vida.
Identidad y control de accesos
Las cuentas compartidas son incompatibles con una buena trazabilidad. Cada persona debe disponer de identidad individual y permisos ajustados a su función. Las cuentas privilegiadas requieren controles reforzados y revisión periódica.
Cuando un empleado cambia de puesto o deja la organización, los permisos deben actualizarse rápidamente. Lo mismo ocurre con personal externo. Un procedimiento de altas, modificaciones y bajas es más importante que cualquier revisión puntual.
La automatización de procesos administrativos puede ayudar a reducir errores en este ciclo, siempre que exista una fuente fiable de información y controles de aprobación.
Copias de seguridad y continuidad
Tener backups no significa estar preparado para recuperar. Es necesario conocer qué se copia, con qué frecuencia, dónde se almacena, quién puede acceder y cuánto tiempo se tardaría en restaurar.
Las pruebas de restauración son esenciales. Un backup que nunca se ha probado puede fallar precisamente cuando se necesita. También debe contemplarse la continuidad de servicios críticos, con prioridades y procedimientos documentados.
En un ayuntamiento pequeño, el enfoque debe ser proporcional. La guía sobre digitalización de ayuntamientos pequeños insiste en priorizar infraestructura y procesos básicos antes de proyectos sofisticados.
Gestión de incidentes
Un incidente no se improvisa. El ayuntamiento debe definir cómo se detecta, quién recibe el aviso, quién decide, cómo se contiene, qué evidencias se conservan y cómo se comunica. También debe identificar obligaciones de notificación cuando correspondan.
El CCN-CERT publica guías, alertas y recursos de referencia para el sector público. Mantener canales de información actualizados ayuda a anticipar vulnerabilidades y campañas activas.
Después de un incidente conviene realizar una revisión para identificar causa raíz y medidas correctoras. Limitarse a restaurar el servicio deja intacta la posibilidad de repetición.
Proveedores y contratación pública
El ENS debe reflejarse en la relación con terceros. Antes de contratar una plataforma, conviene definir requisitos de seguridad, niveles de servicio, ubicación y tratamiento de datos, copias, respuesta ante incidentes, reversibilidad, acceso a registros y condiciones de finalización.
La contratación pública es una oportunidad para convertir necesidades técnicas en obligaciones verificables. Un pliego ambiguo puede generar dependencia y dificultar exigir mejoras después.
En proyectos pequeños, puede ser útil analizar fórmulas como el contrato menor para digitalización pública cuando el alcance y el importe lo permiten, siempre dentro de la normativa aplicable y evitando fraccionamientos indebidos.
Auditoría y conformidad
La adecuación al ENS requiere evidencias. No basta con afirmar que una medida existe; hay que poder demostrar políticas, configuraciones, registros, procedimientos, revisiones y resultados.
La auditoría ayuda a identificar desviaciones entre lo documentado y la operación real. Debe verse como una herramienta de mejora, no únicamente como un trámite para obtener una declaración o certificación.
La documentación debe mantenerse actualizada cuando cambian sistemas, proveedores, responsables o riesgos. Un expediente de seguridad que describe una arquitectura de hace tres años pierde utilidad operativa.
Plan de adecuación al ENS para un ayuntamiento
1. Definir alcance
Identificar servicios, sistemas, información y proveedores incluidos.
2. Establecer gobernanza
Asignar roles y responsabilidades, aprobar política y definir canales de decisión.
3. Inventariar activos y dependencias
Crear un mapa técnico y funcional de aplicaciones, datos, infraestructuras e integraciones.
4. Categorizar sistemas
Analizar impacto y determinar la categoría aplicable con participación de responsables del servicio y la información.
5. Evaluar medidas existentes
Comparar controles actuales con los requeridos, identificando brechas y evidencias.
6. Priorizar riesgos
No todas las brechas tienen la misma urgencia. Primero deben abordarse accesos privilegiados, vulnerabilidades críticas, copias no verificadas, sistemas expuestos y dependencias sin control.
7. Ejecutar mejoras
Aplicar medidas técnicas, organizativas y contractuales con responsables y fechas.
8. Auditar y mantener
Revisar cumplimiento, corregir hallazgos y establecer un ciclo periódico de actualización.
ENS y transformación digital: deben avanzar juntos
Un ayuntamiento no debería digitalizar primero y securizar después. Cada nuevo servicio debe incorporar requisitos de seguridad desde el diseño. Esto aplica a sedes, automatizaciones, inteligencia artificial, portales y plataformas de datos.
La automatización de procesos necesita controles sobre credenciales, logs, permisos y errores. La inteligencia artificial para servicios públicos añade cuestiones de datos, modelos, proveedores y supervisión.
También la web municipal debe integrarse en una visión de seguridad y continuidad, especialmente cuando conecta con formularios, autenticación o sistemas internos.
Referencias tecnológicas complementarias
El ecosistema BlackHold contiene recursos sobre automatización y gestión tecnológica que pueden servir como referencias complementarias para diseñar controles en procesos digitales: automatización de tareas administrativas, automatización de procesos con IA, digitalización de procesos y flujos y gestión documental automatizada.
También resultan útiles los contenidos sobre automatizaciones administrativas no-code, automatización empresarial con IA, agentes de IA para procesos y estrategia de automatización e IA. No sustituyen el marco ENS, pero ayudan a identificar dependencias, credenciales, registros y controles que deben evaluarse en cualquier automatización.
Preguntas frecuentes sobre el ENS en ayuntamientos
¿El ENS afecta a los ayuntamientos pequeños?
Sí. La aplicación del marco no depende de que una entidad local sea grande. La implementación debe adaptarse al alcance, sistemas y riesgos concretos.
¿Tener antivirus significa cumplir el ENS?
No. El ENS incluye gobierno, gestión de riesgos, control de accesos, continuidad, proveedores, auditoría, protección de información y múltiples medidas adicionales.
¿Qué norma regula actualmente el ENS?
El marco vigente está establecido por el Real Decreto 311/2022, de 3 de mayo.
¿Hay que revisar a los proveedores?
Sí. Los terceros forman parte de la cadena de prestación del servicio y deben contemplarse en alcance, contratos, riesgos y controles.
¿Es obligatorio probar las copias de seguridad?
Desde un punto de vista operativo, una estrategia de backup sin pruebas de restauración no ofrece garantías suficientes. Las pruebas permiten verificar recuperación y tiempos reales.
¿Cada sistema tiene las mismas medidas?
No necesariamente. La categoría, el riesgo y las características del sistema condicionan las medidas aplicables.
Conclusión
El ENS para ayuntamientos es, sobre todo, una forma de gobernar la seguridad. Obliga a conocer activos, categorizar sistemas, asignar responsabilidades, controlar accesos, gestionar proveedores, preparar continuidad y demostrar que las medidas funcionan.
La adecuación más efectiva no empieza comprando herramientas. Empieza con un diagnóstico real de sistemas y procesos, seguido de prioridades basadas en riesgo. Ese enfoque permite que la transformación digital pública avance sobre una base más sólida.
Cuando seguridad y digitalización evolucionan juntas, el ayuntamiento reduce dependencia, mejora capacidad de respuesta y protege mejor tanto sus servicios como la información de la ciudadanía.
Fotografía: Tima Miroshnichenko / Pexels.
