ENS (Esquema Nacional de Seguridad) y hosting: qué puede y qué no puede acreditar un proveedor privado

Guía breve para empresas que trabajan o quieren trabajar con la administración pública: qué exige el ENS, qué puede aportar un hosting privado y qué sigue siendo responsabilidad tuya. Estado a 30.09.2026.

Respuesta corta

1El Esquema Nacional de Seguridad (ENS) se regula en el Real Decreto 311/2022, de 3 de mayo, y se aplica a todo el sector público.
2También alcanza a las empresas privadas que prestan servicios o proveen soluciones a entidades públicas en virtud de una relación contractual (art. 2.3).
3La conformidad la determina el sistema de información concreto, no el proveedor de hosting: categoría MEDIA o ALTA exige auditoría de certificación y categoría BÁSICA, autoevaluación (art. 38).
4Un proveedor privado puede aportar controles técnicos y documentación, pero no puede «acreditar el ENS» por ti si su servicio no está dentro del alcance de una certificación.
54hosting no tiene certificación ENS. Su centro de datos está en Fráncfort (UE), no en España, y no firmamos por ti ningún cumplimiento legal.

Qué dice el Real Decreto 311/2022

El Real Decreto 311/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y sustituye al Real Decreto 3/2010. Se publicó en el BOE del 4 de mayo de 2022 y entró en vigor al día siguiente. Su ámbito es todo el sector público (art. 2.1) y, como novedad relevante para proveedores, los sistemas de entidades privadas que presten servicios o provean soluciones a entidades públicas para el ejercicio de sus competencias (art. 2.3).

El sistema se clasifica en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente sobre la disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad (art. 40 y anexo I). Esa categoría decide el procedimiento: los sistemas de categoría MEDIA o ALTA necesitan una auditoría para certificar su conformidad, y los de categoría BÁSICA solo una autoevaluación para declararla (art. 38).

Además, al contratar servicios de seguridad TIC se deben usar los que tengan certificada la funcionalidad de seguridad de forma proporcionada a la categoría (art. 19), y los sistemas se auditan al menos cada dos años (art. 31). Texto oficial en el BOE.

Qué puede y qué no puede hacer un proveedor privado

Un proveedor de hosting puede darte lo que sí es suyo: infraestructura en la UE, protección DDoS, copias de seguridad, registros, aislamiento entre clientes, un contrato de encargado del tratamiento y personas que te ayuden a configurar y endurecer tus sistemas. Todo eso son piezas de tus medidas de seguridad.

Lo que no puede hacer es declarar por ti la conformidad ni transferirte su certificación. Si un proveedor tiene certificado ENS, comprueba qué alcance cubre; si no lo tiene, como es el caso de 4hosting, la conformidad de tu sistema se demuestra con tus propias medidas y tu propia auditoría o autoevaluación, y hay que verificar que el pliego de la licitación admite esa vía.

Nuestro centro de datos está en Fráncfort. Hay contratos públicos que fijan ubicación, certificación de proveedor o ambos: léelo antes de presentar oferta.

Ejemplos reales

Una consultora que licita para un ayuntamiento

Presta un servicio web a una entidad local. Por el art. 2.3, sus sistemas quedan dentro del ENS mientras dure la relación contractual. Antes de elegir infraestructura debe saber qué categoría fija el pliego y quién responde de cada medida.

Una agencia que aloja la web de una entidad pública

Si la web solo publica información, el responsable del servicio determina la categoría del sistema. La agencia necesita saber si el pliego pide certificación de proveedor de nube o basta con demostrar medidas concretas.

Una startup SaaS que aspira a vender a la administración

Todavía no tiene contratos públicos. Le conviene diseñar desde ya registros, copias de seguridad probadas, control de accesos y trazabilidad, para que la futura adecuación sea un ajuste y no una reconstrucción.

Errores frecuentes

Pensar que contratar un hosting «compatible con el ENS» te libra de la certificación: la conformidad se declara sobre tu sistema de información.
Pedir el pliego sin haber categorizado el sistema. La categoría (BÁSICA, MEDIA o ALTA) se decide según el impacto de un incidente (art. 40 y anexo I) y condiciona todo lo demás.
Dar por válido un certificado sin comprobar su alcance: qué servicios, qué instalaciones y qué categoría cubre exactamente.
Olvidar la auditoría periódica. El art. 31 exige una auditoría ordinaria al menos cada dos años, y extraordinaria tras modificaciones sustanciales del sistema.
Dejar los backups sin probar. Un plan de continuidad que nunca ha restaurado nada no es una medida verificable.

Cómo te ayuda 4hosting

Cada plan incluye horas mensuales de DevOps, CyberSecurity y Programación, que se solicitan desde el panel de cliente. Sirven, por ejemplo, para hardening de servidores y contenedores, gestión de accesos y secretos, backups y revisión de configuración. Las horas no se acumulan de un mes a otro, y lo que exceda la cuota se factura aparte.

Ofrecemos migración gratuita, cumplimiento del RGPD con contrato de encargado del tratamiento (art. 28) y alineación con ISO 27001, que no es un certificado. 4hosting no es una entidad certificadora y no firma el cumplimiento legal de sus clientes.

Preguntas frecuentes

¿4hosting tiene certificación ENS?

No. 4hosting no posee certificación ENS ni ninguna otra certificación de seguridad que no figure en su ficha pública. Ofrece alineación con buenas prácticas de seguridad (ISO 27001 como referencia de alineación, no como certificado), contrato de encargado del tratamiento conforme al art. 28 del RGPD y servicios de CyberSecurity.

¿Dónde están físicamente los servidores?

En un centro de datos de la UE, en Fráncfort, no en España. Para concursos que exijan una ubicación o una certificación concretas, comprueba el pliego antes de contratar.

¿Puede 4hosting ayudarme a preparar la adecuación al ENS?

Puede ayudarte con la parte técnica mediante horas de DevOps y CyberSecurity incluidas en tu plan: hardening de servidores y contenedores, gestión de accesos y secretos, y backups. La categorización, la política de seguridad y la declaración de conformidad siguen siendo responsabilidad de tu organización.