{"id":43898,"date":"2026-07-23T12:47:14","date_gmt":"2026-07-23T10:47:14","guid":{"rendered":"https:\/\/smartfense.com\/?p=43898"},"modified":"2026-07-23T12:47:17","modified_gmt":"2026-07-23T10:47:17","slug":"ens-concienciacion-formacion-personal","status":"publish","type":"post","link":"https:\/\/smartfense.com\/es-ar\/blog\/ens-concienciacion-formacion-personal\/","title":{"rendered":"Qu\u00e9 exige el Esquema Nacional de Seguridad en concientizaci\u00f3n y c\u00f3mo demostrarlo"},"content":{"rendered":"

El Real Decreto 311\/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y fij\u00f3 un plazo de veinticuatro meses para que los sistemas que ya exist\u00edan alcanzaran plena conformidad. Ese plazo venci\u00f3 en mayo de 2024. La conformidad con el ENS dej\u00f3 de ser un horizonte y pas\u00f3 a ser un estado exigible, comprobable en auditor\u00eda para los sistemas de categor\u00eda media y alta.<\/p>\n

Dentro de ese marco, la concientizaci\u00f3n y la formaci\u00f3n del personal no son un a\u00f1adido opcional. El ENS las recoge como medidas de seguridad con nombre y n\u00famero propios, y las trata igual que a cualquier control t\u00e9cnico: hay que aplicarlas y hay que poder demostrarlas.<\/p>\n

Esta pieza no explica qu\u00e9 es la Administraci\u00f3n electr\u00f3nica ni c\u00f3mo se implanta el ENS de principio a fin. Asume ese terreno cubierto. Se centra en algo m\u00e1s acotado, que es qu\u00e9 exige el Esquema Nacional de Seguridad sobre la concientizaci\u00f3n y la formaci\u00f3n del personal, c\u00f3mo escala esa exigencia con la categor\u00eda del sistema, y qu\u00e9 evidencia tiene que poder poner sobre la mesa una entidad cuando el auditor empieza a preguntar.<\/p>\n

\u00bfA qui\u00e9n obliga el Esquema Nacional de Seguridad?<\/h2>\n

El Esquema Nacional de Seguridad es el marco que establece la pol\u00edtica de seguridad en el uso de medios electr\u00f3nicos de las entidades del sector p\u00fablico espa\u00f1ol. Obliga a toda la Administraci\u00f3n, sea estatal, auton\u00f3mica o local, y a los organismos y entidades de derecho p\u00fablico vinculados o dependientes de ella.<\/p>\n

La frontera relevante para el sector privado est\u00e1 en la cadena de suministro. El Real Decreto 311\/2022 extiende su alcance a las entidades privadas cuando prestan servicios o proveen soluciones a entidades p\u00fablicas para el ejercicio de sus competencias. En la pr\u00e1ctica, esa exigencia entra por los pliegos de contrataci\u00f3n: un proveedor tecnol\u00f3gico que quiera trabajar con una Administraci\u00f3n tiene que acreditar conformidad con el ENS en la parte de sus sistemas que sostiene ese servicio. La obligaci\u00f3n deja de ser un asunto solo del sector p\u00fablico y alcanza a su ecosistema de proveedores.<\/p>\n

\u00bfQu\u00e9 exige el ENS en materia de concientizaci\u00f3n y formaci\u00f3n?<\/h2>\n

El ENS separa dos medidas dentro del grupo de gesti\u00f3n del personal del Anexo II. La medida mp.per.3, \u00abConcienciaci\u00f3n\u00bb, obliga a mantener al personal alerta sobre su papel en la seguridad de la informaci\u00f3n mediante recordatorios peri\u00f3dicos y acciones de sensibilizaci\u00f3n. La medida mp.per.4, \u00abFormaci\u00f3n\u00bb, exige garantizar la formaci\u00f3n regular de todo el personal en las materias que necesita para desempe\u00f1ar su funci\u00f3n de forma segura, de manera proporcional a esa funci\u00f3n.<\/p>\n

La distinci\u00f3n no es cosm\u00e9tica. Concientizar es sostener la atenci\u00f3n sobre los riesgos en el d\u00eda a d\u00eda; formar es dar a cada persona el conocimiento concreto que su puesto requiere. El ENS pide las dos cosas, y las pide de forma continua, no como un acto \u00fanico en el momento de la incorporaci\u00f3n.<\/p>\n

El propio real decreto refuerza esta l\u00ednea desde su disposici\u00f3n adicional primera, que encarga al Centro Criptol\u00f3gico Nacional (CCN) y al Instituto Nacional de Administraci\u00f3n P\u00fablica (INAP) desarrollar programas de concientizaci\u00f3n y formaci\u00f3n dirigidos al personal del sector p\u00fablico. La norma no solo exige la actividad, sino que reconoce que sostenerla necesita un programa detr\u00e1s.<\/p>\n

Las exigencias escalan con la categor\u00eda del sistema<\/h2>\n

El ENS no aplica un rasero \u00fanico. Clasifica cada sistema en una de tres categor\u00edas de seguridad, b\u00e1sica, media o alta, seg\u00fan el impacto que tendr\u00eda un incidente sobre las dimensiones de confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cuanto mayor es la categor\u00eda, m\u00e1s estrictas son las medidas y, con ellas, la profundidad esperada del programa de concientizaci\u00f3n y formaci\u00f3n.<\/p>\n\n\n\n\n\n\n\n
Categor\u00eda<\/th>\nC\u00f3mo se acredita la conformidad<\/th>\nExigencia sobre el personal<\/th>\n<\/tr>\n<\/thead>\n
B\u00e1sica<\/td>\nAutoevaluaci\u00f3n y declaraci\u00f3n de conformidad<\/td>\nConcientizaci\u00f3n y formaci\u00f3n proporcionadas a la funci\u00f3n<\/td>\n<\/tr>\n
Media<\/td>\nAuditor\u00eda de certificaci\u00f3n<\/td>\nMayor formalizaci\u00f3n y trazabilidad del programa<\/td>\n<\/tr>\n
Alta<\/td>\nAuditor\u00eda de certificaci\u00f3n<\/td>\nPrograma reforzado, revisado y evidenciado en profundidad<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La diferencia operativa m\u00e1s importante est\u00e1 en c\u00f3mo se comprueba. Los sistemas de categor\u00eda media o alta necesitan una auditor\u00eda para certificar su conformidad; en la categor\u00eda b\u00e1sica basta una autoevaluaci\u00f3n con declaraci\u00f3n de conformidad. Para quien gestiona un sistema de categor\u00eda media o alta, eso significa que la concientizaci\u00f3n tendr\u00e1 que resistir la mirada de un tercero que pide pruebas, no solo la buena voluntad interna.<\/p>\n

La distancia entre la pol\u00edtica declarada y el comportamiento real<\/h2>\n

El punto donde m\u00e1s programas se rompen no es la falta de actividad, sino la distancia entre lo que la pol\u00edtica declara y lo que el personal hace. Una entidad puede tener aprobada una pol\u00edtica de seguridad impecable, un curso anual y una hoja de firmas, y aun as\u00ed no poder demostrar que esa formaci\u00f3n cambi\u00f3 algo en la conducta cotidiana.<\/p>\n

Ah\u00ed es donde una auditor\u00eda del ENS encuentra la criticidad. El auditor no eval\u00faa las buenas intenciones, sino que contrasta el conocimiento declarado con el comportamiento efectivo. Un programa que solo acredita asistencia responde a la pregunta equivocada. La pregunta que importa es si el personal reconoce un intento de phishing cuando lo tiene delante, si sabe a qui\u00e9n reportar un incidente y si esa reacci\u00f3n mejora con el tiempo. Ese es el terreno que comparte el ENS con otros marcos, como analizamos al desglosar el control 6.3 de ISO 27001:2022<\/a> y las exigencias de concientizaci\u00f3n de la Directiva NIS2<\/a>.<\/p>\n

\u00bfC\u00f3mo se evidencia el cumplimiento ante una auditor\u00eda del ENS?<\/h2>\n

Para las medidas mp.per.3 y mp.per.4, la evidencia que sostiene la conformidad suele apoyarse en estos elementos:<\/p>\n