Las formas de exigirlo, contadas
Sobre los 1,405 pliegos que imponen el Esquema. Un mismo pliego puede hacer varias cosas a la vez; aquí manda la forma principal de cada uno.
Te obliga a cumplir el Esquema, pero no te pide un certificado. Es la forma más común con diferencia. Lo que acaba pidiendo el órgano si pregunta son evidencias de que las medidas están puestas, no un sello.
El pliego dice BÁSICA, MEDIA o ALTA. Ese nivel decide cuántas medidas te aplican y es lo primero que hay que mirar: la diferencia entre básica y alta es de orden de magnitud, no de matiz.
Aquí sí hay un papel de por medio, y no es lo mismo una declaración —la firmas tú— que una certificación de entidad acreditada, que lleva auditoría, meses y coste. El pliego dice cuál de las dos.
Es la versión con dientes: incumplirlo puede costar una penalidad o la resolución del contrato. Poco frecuente, pero cambia por completo la urgencia.
Acota la obligación al servicio que prestas, no a toda tu empresa. Delimitar bien ese alcance por escrito es lo que evita discusiones después.
No es obligatorio: suma puntos. Merece la pena saber cuántos antes de gastar en ello.
Sin eso no puedes ni presentarte. Es la única forma que hay que resolver ANTES de la oferta, no después de ganar.
Busca en tu pliego las palabras «Esquema Nacional de Seguridad», «ENS» o «Real Decreto 311/2022». La frase que las rodea es la que decide qué te toca hacer.
Lo primero que mira cualquiera, incluido tu cliente público
El Esquema cubre mucho más que el correo, y buena parte se acredita con documentación que desde fuera no se ve. Pero hay una parte que se comprueba en diez segundos sin acceso a nada: si tu dominio impide que un tercero envíe correo poniéndolo en el remitente.
74%
de 299 empresas con el ENS exigido por pliego no lo impide. Es la puerta por la que entra la factura falsa a nombre de un adjudicatario — y la que tu propio órgano de contratación puede mirar sin pedirte permiso.
Medición externa y pasiva · el estudio completo, con sus datos abiertos y sus límites
Qué se cierra rápido y qué no
- Rápido, y sin depender de nadie: la autenticación del correo (SPF, DKIM y DMARC). Son unos registros en tu dominio y un periodo de observación para no cortar el correo legítimo. Los valores exactos de cada proveedor están en nuestras guías, gratis.
- Semanas: el inventario, la política de acceso y las copias de seguridad con su prueba de restauración. No hay atajo, pero tampoco hace falta un auditor para empezar.
- Meses, y solo si el pliego lo pide: la certificación por entidad acreditada. Si tu cláusula no la exige, gastar en ella antes de tener lo demás es empezar por el final.
Lo que esta página no es
No es asesoría jurídica ni sustituye al texto del Real Decreto 311/2022, que es el que manda. Los porcentajes describen cómo redactan los pliegos que hemos leído, no lo que la norma obliga. Y no decimos que ninguna empresa incumpla nada: medimos exposición externa, que es otra cosa.
¿Te acaba de tocar y no sabes por dónde empezar?
Empieza por lo que tu cliente público puede ver sin pedirte permiso. El comprobador es gratis, externo y pasivo, y te decimos también qué no hemos podido comprobar.
Comprobar mi dominio Que lo dejemos cerradoEl estudio con los datos abiertos está en /ciberseguridad/estudio/ens-y-contratos-publicos y cómo medimos, con la herramienta descargable, en /ciberseguridad/como-lo-medimos.