Actualizado: 2026-10-13
Tiene el pliego en la pantalla, la fecha límite respirándole en la nuca y un vacío en el estómago al comprobar que la mesa de contratación exige textualmente una certificación ENS en vigor. ¿Y usted no la tiene? ¿Le suena la situación? En nuestra experiencia con pymes tecnológicas, arriesgarse a presentar una oferta sin este sello o confiando en trampas legales de última hora suele terminar en exclusión fulminante. (Y lo sabemos bien, porque rescatamos ofertas al borde del abismo cada semana)
Presentarse a un concurso público sin la certificación ENS provoca la exclusión automática de la licitación y posibles vetos en futuros contratos TIC con la Administración. El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, exige este aval de ciberseguridad sin excepciones para categorías media y alta, bloqueando cualquier intento de sortear la obligación mediante subcontratistas no autorizados.
¿Qué pasa si me presento a una licitación pública sin tener la Certificación ENS en regla?
La falta de la certificación ENS requerida en los pliegos de contratación pública conlleva la exclusión de la oferta por incumplimiento de un requisito no subsanable de solvencia técnica. Las mesas de contratación no aceptan promesas de futura homologación ni certificados caducados, cerrando la puerta al contrato de inmediato.
Exclusión automática del concurso e inhabilitaciones indirectas con certificación ENS
Pensar que el negociado dejará pasar la falta del aval porque «su software es el mejor» es una ilusión peligrosa. Más de 15.000 entidades en España están sujetas a la obligación de cumplir con el ENS. Esto significa que los órganos de contratación revisan con lupa cada requisito de ciberseguridad.
Si la mesa detecta que su empresa carece del documento acreditativo, la exclusión no es negociable. Y lo que es peor: queda registrado en el expediente. Muchas pymes tecnológicas ignoran que arrastrar exclusiones técnicas continuadas deteriora su solvencia técnica ante los ojos de los gestores públicos, dificultando el éxito en futuras licitaciones públicas.
¿Puedo cumplir el requisito del esquema nacional de seguridad apoyándome en un subcontratista?
Utilizar la certificación ENS de un tercero o subcontratista para cubrir el expediente propio no exime a la empresa licitadora principal de cumplir con la normativa. El Real Decreto 311/2022 extiende la exigencia del ENS a la cadena de suministro y subcontratistas cuando el análisis de riesgos lo indique, obligando a que cada eslabón mantenga sus propias garantías de seguridad.
Límites legales de la subcontratación en pliegos TIC y la certificación ENS
Su primer impulso al ver el pliego fue llamar a ese partner tecnológico que presume de tener la categoría media para que firme una carta de intenciones. Pero la Ley de Contratos del Sector Público y el propio esquema no funcionan así. La subcontratación transparente, con notificación a la Administración, es cada vez más exigida.
Si usted es el contratista principal y el servicio TIC central recae sobre su estructura, la subcontratación no transfiere la obligación legal de certificación. El proveedor externo cubrirá su parte, pero si el pliego exige que el licitador principal demuestre la conformidad, la falta de esta le dejará fuera de juego de manera inapelable.
El dilema del pliego: ¿Cómo afecta la certificación ENS y la ISO 27001?
Afrontar la exigencia simultánea de ENS e ISO 27001 requiere implementar un sistema de gestión integrado que aproveche las sinergias normativas del Anexo II. Las organizaciones con doble ámbito están estabilizando sistemas integrados gracias a las guías CCN-STIC, simplificando las auditorías técnicas necesarias para cumplir con ambos estándares.
Estrategias de priorización y solapamiento normativo con la certificación ENS
Es muy común que el pliego técnico pida la ISO 27001 por inercia corporativa y el ENS por imperativo legal. ¿Se solapan? Sí, en un porcentaje altísimo de controles de seguridad. Pero la Administración española no acepta la ISO como sustituta directa del Esquema Nacional de Seguridad. Necesita el sello patrio.
Nuestra recomendación práctica es alinear la documentación existente de la ISO 27001 hacia los requisitos específicos del ENS. Y si le urge asegurar contratos con umbrales altos como los de la Administración General del Estado, plantéese acelerar el proceso mediante un acompañamiento exprés.
Consecuencias de perder o no tener la certificación ENS en contratos en curso
Perder la vigencia de la certificación ENS durante la ejecución de un contrato público puede motivar la rescisión anticipada del mismo por incumplimiento culpable de las cláusulas esenciales. Además, si se produce una brecha que afecte a datos personales, la empresa queda expuesta a las sanciones del RGPD que impone la AEPD.
Rescisión de contratos y responsabilidad ante brechas de seguridad (RGPD y AEPD)
No tener el ENS no solo le bloquea la entrada; mantener un servicio activo sin la recertificación oportuna es una bomba de relojería jurídica. Según datos de amioingenieros.es, a fecha de febrero de 2026, el ENS cuenta con 1.484 organismos públicos y 1.971 empresas privadas certificadas en toda España. La competencia ya está adaptada.
Si ocurre un incidente de seguridad y se descubre que operaba sin el ENS en vigor, las consecuencias pueden incluir sanciones de la Agencia Española de Protección de Datos (AEPD) si hay datos personales afectados y la resolución del contrato por incumplimiento, con el consiguiente daño a su historial como proveedor del sector público.
| Estrategia de Licitación | Riesgo Jurídico | Impacto en Negocio TIC |
|---|---|---|
| Presentarse sin ENS ni plan de choque | Exclusión automática y pérdida de plica | Cero opciones de adjudicación |
| Usar subcontratista certificado como pantalla | Incumplimiento de pliegos y nulidad contractual | Rescisión del contrato adjudicado |
| Iniciar un proceso de certificación exprés | Cumplimiento normativo y solvencia garantizada | Acceso directo a contratos públicos |
Preguntas frecuentes sobre certificación ENS y licitaciones
¿Puedo presentarme a una licitación si estoy en proceso de certificación ENS?
Por norma general, los pliegos exigen el certificado o la declaración de conformidad en el momento de la presentación de ofertas o durante la fase de subsanación previa a la adjudicación. Estar «iniciando» el proceso raramente sirve a menos que el pliego permita explícitamente un margen temporal tasado.
¿Qué categoría de certificación ENS es la más exigida en concursos tecnológicos?
La categoría Media es la más habitual en contratos TIC con la Administración. Requiere auditorías externas obligatorias y controles técnicos avanzados sobre la infraestructura y el software ofertado.
¿Es válida una autoevaluación para licitar en contratos públicos?
La autoevaluación o Declaración de Conformidad solo es válida para sistemas de categoría Básica. En la inmensa mayoría de licitaciones de software, servicios cloud o ciberseguridad, los pliegos reclaman sistemas de categoría Media o Alta, los cuales exigen inexcusablemente auditoría y certificación por entidad acreditada.
¿Necesitas el ENS para una licitación?
Te ayudamos a saber qué categoría te corresponde y dejamos tu sistema listo para la auditoría en 30 días. Consulta nuestro servicio de certificación ENS y cuánto cuesta la certificación ENS.
Reservar una reunión de diagnóstico ENSConsultar por WhatsApp
También puedes escribirnos a hola@consultoraens.com o llamarnos al +34 641 43 50 60.
