El Esquema Nacional de Seguridad no distingue entre un ministerio y un ayuntamiento de 3.000 habitantes: la Ley 40/2015 y el Real Decreto 311/2022 obligan a todas las entidades del sector público a adecuar sus sistemas de información. La diferencia está en los medios, y la norma lo reconoce con los perfiles de cumplimiento específicos: conjuntos de medidas ajustados a un tipo de entidad que el Centro Criptológico Nacional (CCN) aprueba y publica. Para las entidades locales existen tres, dentro de la guía CCN-STIC 883: el 883A para ayuntamientos de menos de 5.000 habitantes y recursos limitados, el 883B para menos de 20.000 y el 883C para los de 20.000 a 75.000. Esta guía explica qué son, cómo se usa uno para declarar la conformidad, qué papel tiene la Diputación y, sobre todo, qué debe exigir un ayuntamiento pequeño a sus proveedores de software y de alojamiento, que es donde la mayoría de sus sistemas viven realmente.

Por qué un ayuntamiento pequeño también está obligado

El artículo 156 de la Ley 40/2015 establece el ENS como el marco de seguridad de la Administración electrónica para todo el sector público, y el Real Decreto 311/2022 lo desarrolla sin excepciones por tamaño. Los sistemas de un ayuntamiento (sede electrónica, registro, gestor de expedientes, padrón, contabilidad, portal de transparencia, correo) tratan datos personales de sus vecinos y sostienen trámites con efectos jurídicos: por eso están dentro. Lo que la norma modula es cómo cumplir, a través de dos herramientas: la categorización del sistema (básica, media o alta, según el impacto de un incidente) y los perfiles de cumplimiento específicos del artículo 30.

Qué es un perfil de cumplimiento específico

El artículo 30 del Real Decreto 311/2022 permite que el CCN apruebe perfiles de cumplimiento específicos para entidades o sectores concretos, que comprenden el conjunto de medidas de seguridad que, tras el análisis de riesgos, resultan de aplicación a una categoría de seguridad determinada. Es el principio de proporcionalidad: un ayuntamiento de 4.000 habitantes no necesita implantar el mismo catálogo que una Consejería, pero sí un catálogo definido, completo y auditable para su realidad.

La guía CCN-STIC 883, de implantación del ENS en entidades locales, incorpora en sus anexos los perfiles y ejemplos de plan de adecuación por tramo de población:

Perfil	Ámbito	Qué aporta
CCN-STIC 883A	Ayuntamientos de menos de 5.000 habitantes y con recursos limitados	Medidas mínimas viables con personal y presupuesto muy reducidos; apoyo previsto en la Diputación u organismo competente
CCN-STIC 883B	Ayuntamientos de menos de 20.000 habitantes	Conjunto de medidas y plan de adecuación tipo para el tramo más numeroso de municipios españoles
CCN-STIC 883C	Ayuntamientos de 20.000 a 75.000 habitantes	Perfil para entidades con departamento de informática propio pero recursos limitados

Aplicar el perfil no exime de hacer el análisis de riesgos, la declaración de aplicabilidad y la política de seguridad; lo que hace es fijar de antemano qué medidas se esperan, de modo que la adecuación y la auditoría tengan un listón claro.

El papel de la Diputación

La Ley 7/1985 de Bases del Régimen Local encomienda a las Diputaciones la prestación de los servicios de administración electrónica a los municipios de menos de 20.000 habitantes, y los perfiles del CCN prevén expresamente que estos ayuntamientos se apoyen en la Diputación u organismo competente durante el plan de adecuación. En la práctica, muchos ayuntamientos pequeños usan la sede electrónica, el gestor de expedientes, el registro y el alojamiento que les proporciona la Diputación, y en esos casos:

La conformidad de esos sistemas la acredita la Diputación (o su proveedor) dentro de su propio alcance ENS.
El ayuntamiento sigue siendo responsable de sus sistemas propios (equipos, correo si es propio, aplicaciones contratadas directamente) y de las medidas organizativas: política de seguridad, responsables, formación, gestión de usuarios.
Debe existir un documento que deje claro qué sistemas cubre la Diputación y cuáles no, porque el hueco entre ambos es donde aparecen los incidentes.

Cómo se declara la conformidad en un ayuntamiento pequeño

Con el sistema categorizado y el perfil aplicado, la conformidad se acredita como en cualquier otra entidad:

Categoría básica: declaración de conformidad basada en una autoevaluación, firmada por el responsable del sistema, revisada al menos cada dos años.
Categorías media y alta: certificación de conformidad tras auditoría de una entidad de certificación acreditada por ENAC para el ENS, también con validez de dos años.

En ambos casos, el distintivo de conformidad de la guía CCN-STIC 809 debe publicarse en la web enlazado al documento. Muchos sistemas municipales que tratan padrón o expedientes con datos sensibles se categorizan en media, lo que exige certificación y no basta con la declaración; el perfil no cambia esa regla. Cómo comprobar que un certificado ENS es vigente lo explicamos en certificado ENS caducado: cómo comprobar el de tu proveedor.

Qué exigir al proveedor de software y de alojamiento

El artículo 31 del Real Decreto 311/2022 exige que los operadores del sector privado que presten servicios a las entidades públicas cumplan el ENS en el alcance de esos servicios. Para un ayuntamiento pequeño, cuyos sistemas son casi todos contratados, esto convierte al proveedor en la pieza central. Lo que hay que pedir, y escribir en el pliego:

Certificado o declaración de conformidad ENS vigente, conforme al RD 311/2022, con menos de dos años y cuyo alcance incluya literalmente el servicio contratado (no vale un certificado del alojamiento para un desarrollo, ni al revés).
Categoría igual o superior a la del sistema municipal: si el gestor de expedientes es de categoría media, el proveedor debe estar certificado en media o alta.
Ubicación y tratamiento de los datos: dónde se alojan, quién accede, con qué controles, y compromiso de tratamiento conforme al RGPD como encargado.
Registro de actividad y trazabilidad: quién hizo qué en cada expediente, exportable para la auditoría.
Gestión de incidentes: plazos de notificación al ayuntamiento y, cuando proceda, al CCN-CERT.
Copias de seguridad y continuidad: frecuencia, pruebas de restauración, tiempo de recuperación.
Actualizaciones y gestión de vulnerabilidades del software entregado, con calendario.
Autenticación conforme al perfil (doble factor para administradores y para accesos externos).
Salida del contrato: entrega de datos en formato reutilizable y borrado certificado.
Interoperabilidad: cumplimiento del Esquema Nacional de Interoperabilidad y sus normas técnicas, como detallamos en qué debe cumplir un gestor de expedientes a medida.

Y una regla práctica: si el proveedor no puede enseñar el certificado con su alcance en la primera reunión, no lo tiene. La guía para escribir estos requisitos de forma que se comprueben solos está en cómo preparar un pliego técnico de software con ENS.

Plan de adecuación en ocho pasos para un ayuntamiento pequeño

Inventario de sistemas: propios, de la Diputación y contratados, con responsable de cada uno.
Categorización de cada sistema según el impacto en las cinco dimensiones (disponibilidad, autenticidad, integridad, confidencialidad, trazabilidad).
Elegir el perfil que corresponda por población y adoptarlo formalmente.
Política de seguridad aprobada por el Pleno o la Alcaldía, con designación de responsables de la información, del servicio, de la seguridad y del sistema.
Análisis de riesgos ajustado al perfil y declaración de aplicabilidad.
Reparto con la Diputación y con los proveedores: qué medidas cubre cada uno, por escrito.
Implantación de las medidas organizativas propias: usuarios, formación, procedimientos, copias, incidentes.
Declaración o certificación según la categoría, publicación del distintivo y calendario de revisión bienal.

Qué cambiará con NIS2

La transposición de la Directiva NIS2 en España sigue sin publicarse en el BOE a 16 de septiembre de 2026, pero el anteproyecto incluye a las entidades locales de cierto tamaño y a sus proveedores esenciales, y remite al ENS como base de las medidas. Un ayuntamiento que haya adoptado hoy su perfil de cumplimiento tendrá hecho el trabajo cuando llegue; lo explicamos en NIS2 en España: qué exigirá a los proveedores de la Administración y cómo encaja con el ENS.

Cómo lo hace CEDESA

CEDESA desarrolla gestores de expedientes, sedes electrónicas y sistemas a medida para el sector público, con clientes como las Diputaciones de Badajoz, Toledo y Ourense, que prestan servicios de administración electrónica a los ayuntamientos de su provincia. Nuestra certificación ENS de categoría media, emitida conforme al Real Decreto 311/2022, cubre esos servicios, y la mantenemos junto con la ISO 27001. Para un ayuntamiento pequeño, eso significa que el software que le llega a través de su Diputación ya está dentro de un alcance ENS comprobable, y que el reparto de medidas entre proveedor, Diputación y ayuntamiento se documenta desde el inicio del proyecto.

Preguntas frecuentes sobre el ENS en ayuntamientos pequeños

¿Un ayuntamiento de menos de 5.000 habitantes tiene que cumplir el ENS?

Sí. La Ley 40/2015 y el Real Decreto 311/2022 obligan a todas las entidades del sector público sin excepción por tamaño. Lo que la norma permite es aplicar un perfil de cumplimiento específico, como el CCN-STIC 883A para ayuntamientos de menos de 5.000 habitantes y recursos limitados, que ajusta las medidas a esa realidad.

¿Qué son los perfiles CCN-STIC 883A, 883B y 883C?

Perfiles de cumplimiento específicos del ENS para entidades locales, publicados por el Centro Criptológico Nacional como anexos de la guía CCN-STIC 883: el 883A para ayuntamientos de menos de 5.000 habitantes, el 883B para menos de 20.000 y el 883C para los de entre 20.000 y 75.000. Fijan el conjunto de medidas aplicables e incluyen ejemplos de plan de adecuación.

¿Puede la Diputación cumplir el ENS por el ayuntamiento?

En parte. La Diputación acredita la conformidad de los sistemas que presta (sede, registro, gestor de expedientes, alojamiento) dentro de su alcance, y los perfiles prevén que los ayuntamientos de menos de 20.000 habitantes se apoyen en ella. Pero el ayuntamiento sigue siendo responsable de sus sistemas propios y de sus medidas organizativas, y debe quedar por escrito qué cubre cada uno.

¿Basta con una declaración de conformidad o hace falta certificación?

Depende de la categoría del sistema, no del tamaño del municipio. En categoría básica basta la declaración de conformidad; en media y alta hace falta certificación por una entidad acreditada por ENAC. Un gestor de expedientes con datos sensibles suele categorizarse en media.

¿Qué debo exigir a mi proveedor de software municipal en materia de ENS?

Certificado o declaración de conformidad vigente conforme al RD 311/2022, con menos de dos años, cuyo alcance incluya el servicio contratado y con categoría igual o superior a la del sistema; además, ubicación de los datos, trazabilidad, gestión de incidentes, copias y continuidad, actualizaciones, autenticación reforzada y condiciones de salida del contrato.

Conclusión

El ENS obliga a todos los ayuntamientos, pero los perfiles CCN-STIC 883A, 883B y 883C hacen posible cumplirlo con los medios de un municipio pequeño, apoyándose en la Diputación y exigiendo a cada proveedor un certificado vigente con el alcance correcto. La clave es repartir por escrito quién cubre cada sistema y no dejar huecos. Si quieres ver cómo queda ese reparto en un caso concreto, cuéntanos qué sistemas tiene hoy tu ayuntamiento y quién los presta.