MagnoSec
Esquema Nacional de Seguridad

Pruebas técnicas para el ENS: qué exige el RD 311/2022 y cómo se evidencia

Qué pruebas de seguridad exige el Esquema Nacional de Seguridad según la categoría del sistema, qué refuerzos aplican a aplicaciones web y qué evidencias revisa la entidad certificadora.

Ver preciosCalcular presupuesto

1. Qué es el ENS y a quién obliga

El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022, de 3 de mayo. Es de obligado cumplimiento para el sector público y para las entidades privadas que le prestan servicios y manejan información en su nombre. No es una certificación voluntaria: es el marco de seguridad exigible a la administración y a su cadena de suministro.

El esquema se apoya en cuatro documentos: la política de seguridad, la normativa de seguridad, los procedimientos y el análisis de riesgos. Sobre esa base, el Anexo II define las medidas de seguridad que cada sistema debe aplicar, y la aplicación concreta depende de su categoría: básica, media o alta, que se determina evaluando el impacto de un incidente sobre la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de la información.

La consecuencia práctica: las pruebas técnicas no se contratan «para el ENS» en abstracto. Se diseñan sobre el sistema categorizado y sobre las medidas que le aplican. Un alcance idéntico para un sistema básico y uno alto no es proporcionado, y un auditor lo va a notar.

2. Qué pruebas técnicas exige el Anexo II

El Anexo II no enumera «haz un pentesting». Lo que hace es incluir inspecciones de seguridad dentro de las medidas de explotación y monitorización. Las dos que importan para una prueba técnica son estas:

op.mon.3 — Vigilancia, refuerzo R6

«Periódicamente, o tras incidentes que hayan desvelado vulnerabilidades del sistema nuevas o subestimadas», exige tres inspecciones: verificación de configuración, análisis de vulnerabilidades y pruebas de penetración. Aplica en categoría ALTA.

mp.s.2 — Protección de servicios web, refuerzos R1 y R2

R1: auditorías continuas de caja negra en desarrollo y antes de producción. R2: auditorías de caja blanca con metodología definida y herramientas automáticas, más análisis de resultados y corrección. BÁSICA y MEDIA: R1 o R2. ALTA: R2 y R3.

Además, el refuerzo R2 de op.mon.3 obliga en categoría MEDIA a disponer de soluciones de vigilancia que determinen la superficie de exposición frente a vulnerabilidades y deficiencias de configuración. No es una prueba de penetración, pero sí un análisis continuo, y su resultado es evidencia que el auditor puede pedir.

La lectura honesta del marco: el ENS exige pruebas de penetración explícitamente en categoría ALTA. En categoría MEDIA exige análisis de vulnerabilidades y vigilancia de la exposición. En la práctica, la mayoría de organizaciones incluyen pruebas de penetración también en MEDIA porque el análisis automatizado no demuestra explotación ni impacto, y porque el mismo informe sirve para ISO 27001 y para NIS2.

3. Qué aplica según la categoría

CategoríaQué exige en pruebas técnicasConformidad
Básicaop.mon.3 base y mp.s.2 con refuerzo R1 o R2 en aplicaciones web. Análisis de vulnerabilidades sobre la superficie expuesta.Autoevaluación (art. 38)
Mediaop.mon.3 con R1 (correlación de eventos) y R2 (análisis dinámico de la exposición). mp.s.2 con R1 o R2. Pentesting recomendable, no exigido literalmente.Auditoría de certificación (art. 38)
Altaop.mon.3 con R1 a R6, incluida la inspección con pruebas de penetración. mp.s.2 con R2 y R3. Revisión de configuraciones e infraestructura en profundidad.Auditoría de certificación (art. 38)

Si tu sistema está en categoría MEDIA o ALTA y la última prueba técnica tiene más de un año, esa es la primera pregunta del auditor: qué se probó, cuándo y qué se corrigió. La respuesta tiene que ser un documento fechado con alcance, no una factura.

4. Auditoría, autoevaluación y certificación

El artículo 31 obliga a una auditoría de seguridad ordinaria al menos cada dos años, y a una extraordinaria cuando se produzcan modificaciones sustanciales que puedan afectar a las medidas. Ese plazo puede prorrogarse tres meses por fuerza mayor no imputable a la entidad titular.

El artículo 38 regula la conformidad. Los sistemas de categoría MEDIA y ALTA necesitan una auditoría de certificación; los de categoría BÁSICA solo requieren autoevaluación para su declaración de conformidad, sin perjuicio de que puedan auditarse. Las declaraciones y certificaciones se publican en el portal o sede electrónica correspondiente.

Aquí conviene ser claro sobre el reparto de papeles: la certificación la emite una entidad de certificación conforme a la Instrucción Técnica de Seguridad de auditoría. Nosotros no certificamos ni firmamos conformidad. Ejecutamos la prueba técnica y entregamos evidencia reproducible, que es la pieza que el auditor revisa y la que tu equipo adjunta al expediente.

Si tu organización responde además a ISO 27001 o a NIS2, un solo alcance suele cubrir las tres cosas. Lo explicamos en pentesting para ISO 27001 y ENS y en pruebas técnicas para NIS2.

5. Las evidencias que revisa el auditor

01

Alcance exacto y fechado

Sistemas, URLs, APIs, rangos de IP y entornos incluidos, con la fecha de ejecución. Sin alcance declarado, la prueba no se puede correlacionar con el sistema categorizado y no sirve como evidencia.

02

Hallazgos con criticidad y evidencia

Cada hallazgo con descripción, CVSS, prueba de concepto o evidencia reproducible e impacto. Una lista de vulnerabilidades sin criticidad obliga al auditor a interpretar y abre la puerta a preguntas.

03

Trazabilidad a la medida del Anexo II

Qué medida o refuerzo evidencia cada prueba: op.mon.3 R6 en categoría ALTA, mp.s.2 R1 o R2 en aplicaciones web. El auditor no revisa informes sueltos: revisa que cada medida declarada tenga evidencia.

04

Plan de acción con responsables y plazos

Demuestra que la organización trata el riesgo y no solo lo detecta, en coherencia con los plazos que declara su política de gestión de vulnerabilidades.

05

Retest de los hallazgos corregidos

Verificación de que la corrección funciona y no ha introducido fallos nuevos. Es la evidencia que cierra el ciclo y la que más peso tiene: demuestra seguimiento.

6. Errores que dejan la medida sin evidencia

  • Presentar una salida de escáner como inspección de seguridad. En categoría ALTA, el refuerzo R6 pide pruebas de penetración además del análisis de vulnerabilidades. Un CSV de Nessus no cubre las dos.
  • Probar sin declarar el alcance. Un informe excelente sin URLs, sistemas y fechas no acredita la medida sobre el sistema que se certifica.
  • No mapear a la medida. El auditor pregunta por op.mon.3 o mp.s.2, no por «el pentesting del año pasado». Si el informe no dice qué evidencia, la respuesta queda a medias.
  • Dejar el retest para el año siguiente. Sin verificación, el ciclo de gestión de vulnerabilidades queda abierto y el hallazgo sigue siendo una pregunta en la siguiente auditoría.
  • Diseñar el alcance para una sola norma. Si respondes a ENS y a ISO 27001 —o a un cuestionario de ciberseguro—, un alcance común cuesta casi lo mismo y evita repetir la prueba.

7. Cuánto cuesta cubrir la parte técnica

AlcanceRango de precioEncaje típico
Una aplicación web de tamaño medio con informe orientado a auditoría1.200 € - 2.500 €mp.s.2 R1/R2, ENS básica y media
Varios sistemas con cloud e infraestructura interna3.000 € - 8.000 €op.mon.3 R6, ENS media y alta
Alcance crítico con documentación reforzada y pruebas avanzadas4.500 € - 15.000 €+ENS alta, DORA, PCI DSS v4.0

El precio se calcula por jornadas y alcance declarado, no por categoría. La categoría cambia la profundidad y la frecuencia exigibles; el tamaño de la prueba lo cambia el número de sistemas, entornos y perfiles incluidos.

Si quieres una estimación ajustada a tu caso, usa la calculadora de presupuesto de pentesting o consulta cómo se contrata una prueba de penetración.

8. Preguntas frecuentes sobre pruebas técnicas y ENS

¿El ENS obliga a hacer un pentesting?
Depende de la categoría. El Real Decreto 311/2022 no usa la palabra «pentesting», pero en el Anexo II la medida op.mon.3 (vigilancia) incorpora el refuerzo R6, «Inspecciones de seguridad», que exige periódicamente o tras incidentes relevantes: verificación de configuración, análisis de vulnerabilidades y pruebas de penetración. Ese refuerzo R6 se aplica a los sistemas de categoría ALTA. En categoría MEDIA la norma exige análisis dinámico de vulnerabilidades, no una prueba de penetración literal; en la práctica, muchas organizaciones la incluyen igualmente porque el auditor pregunta por el resultado.
¿Qué diferencia hay entre auditoría ENS y certificación ENS?
Son dos piezas del mismo proceso. La auditoría de seguridad del artículo 31 revisa el cumplimiento de las medidas del Anexo II y se realiza al menos cada dos años, o antes si hay modificaciones sustanciales. La conformidad con el ENS se determina según el artículo 38: los sistemas de categoría MEDIA y ALTA necesitan una auditoría de certificación, mientras que los de categoría BÁSICA solo requieren autoevaluación. La certificación la emite una entidad de certificación conforme a la Instrucción Técnica de Seguridad de auditoría; nosotros no certificamos, ejecutamos la prueba técnica que alimenta el expediente.
¿Cada cuánto hay que repetir las pruebas técnicas?
El artículo 31 fija una auditoría ordinaria al menos cada dos años y una extraordinaria cuando se produzcan modificaciones sustanciales que puedan afectar a las medidas de seguridad. La periodicidad concreta de las pruebas técnicas la define tu declaración de aplicabilidad y tu procedimiento de auditoría, y suele alinearse con ese ciclo: al menos una vez entre auditorías y siempre tras cambios relevantes —nueva aplicación expuesta, migración a cloud, cambio de proveedor o incidente—. En categoría ALTA, el refuerzo R6 habla de inspecciones periódicas sin fijar plazo.
¿Qué pide exactamente el refuerzo R6 de op.mon.3?
Tres inspecciones: verificación de configuración, análisis de vulnerabilidades y pruebas de penetración. La norma las activa «periódicamente, o tras incidentes que hayan desvelado vulnerabilidades del sistema nuevas o subestimadas». Es el punto del ENS donde la prueba ofensiva aparece de forma explícita, y solo se exige en categoría ALTA. En categoría MEDIA el refuerzo R2 de op.mon.3 se limita a soluciones de vigilancia que determinen la superficie de exposición frente a vulnerabilidades y deficiencias de configuración.
¿Y para aplicaciones web qué medidas aplican?
La medida mp.s.2, protección de servicios web, tiene dos refuerzos de auditoría. R1 exige auditorías continuas de caja negra durante el desarrollo y antes de producción, con la frecuencia definida en el procedimiento de auditoría. R2 exige auditorías de caja blanca durante el desarrollo, con metodologías definidas y herramientas automáticas de detección, más el análisis de resultados y la corrección de las vulnerabilidades encontradas. En categoría BÁSICA y MEDIA se aplica mp.s.2 con R1 o R2; en ALTA, con R2 y R3. Es decir: una aplicación web en el ámbito del ENS casi siempre tiene que demostrar auditorías antes de producción.
¿Vale un escáner de vulnerabilidades como evidencia?
Sirve para la parte de análisis de vulnerabilidades, pero no sustituye una prueba de penetración cuando la medida la exige. Un escáner encuentra vulnerabilidades conocidas y no distingue un falso positivo de un riesgo explotable ni documenta impacto. Para el refuerzo R6 de categoría ALTA, la evidencia es la validación manual con explotación controlada cuando procede, no la exportación de la herramienta.
¿Cuánto cuesta cubrir la parte técnica del ENS?
Una aplicación web de tamaño medio, con informe orientado a auditoría, se sitúa entre 1.200 € y 2.500 €. Un alcance con varios sistemas, cloud e infraestructura interna se mueve entre 3.000 € y 8.000 €. Los alcances que combinan ENS con requisitos de DORA o PCI DSS, con documentación reforzada, parten de 4.500 €. El precio depende del número de sistemas, entornos y perfiles incluidos, no de la categoría del sistema: la categoría cambia la profundidad exigible, no el tamaño del alcance.
¿Sois una consultora de cumplimiento normativo?
No. No implantamos sistemas de gestión, no redactamos políticas ni hacemos análisis de brechas normativas. Ejecutamos la prueba técnica —análisis de vulnerabilidades, pentesting y revisión de configuraciones— y entregamos el informe con alcance fechado, hallazgos con CVSS, plan de acción y retest, mapeado a la medida que tiene que evidenciar. El expediente de certificación y la relación con la entidad certificadora los lleva tu equipo.

Seguir leyendo

¿Necesitas pruebas técnicas para tu auditoría ENS?

Diseñamos el alcance según la categoría de tu sistema y entregamos el informe con la evidencia mapeada a las medidas del Anexo II. Presupuesto en menos de 24 horas.

Responsable: Jaymon Security S.L. (MagnoSec). No compartimos tus datos con terceros. Ver la Política de Privacidad.

¿Prefieres hablar con alguien?WhatsApp+34 633 30 08 78info@magnosec.es
¿Quieres más información?