Todo ciudadano, empresa, entidad, etc… están sujetos a las leyes del país en el que están afincados. Para ello, existen organismos públicos con mecanismos específicos que exigen su cumplimiento a través de procedimientos que suelen estar bien definidos.

Lo paradójico se produce cuando es la propia Administración Pública la que no cumple con sus obligaciones, vulnerando algunos derechos de los ciudadanos… El Real Decreto 311/2022, donde se regula el ENS (Esquema nacional de Seguridad), exige a las Administraciones Públicas a establecer Ciberseguridad en sus sistemas, para proteger su información y la de todos los ciudadanos. Este Real Decreto de mayo de 2022 daba un plazo de 24 meses para que toda la Administración Pública se adecuase a él, venciendo este plazo en Mayo de 2024.

A día de hoy (31 de Julio de 2026), se estima que entre un 6-9% Administración Pública cumple con el ENS…

Como ciudadano, si no cumples con tus obligaciones ante las AAPP, rápidamente son exigidos por estas (tributos, urbanismo, …), ¿pero qué pasa cuando son ellas las que no cumplen con garantías la seguridad de la información que tienen sobre nosotros? ¿Que mecanismos existen para que los ciudadanos puedan exigirle a las AAPP el cumplimiento de sus obligaciones?

Lo que está claro es que las Administraciones deben cumplir con el Esquema Nacional de Seguridad (ENS). Esto no es una cuestión opinable, está fijado por ley y afecta a todas las administraciones públicas, sin excepción.

Las bases sobre las que se sustenta este artículo son las siguientes:

Base legal: el ENS es obligatorio para todas las administraciones públicas

El ENS está regulado por:

• Ley 40/2015, de Régimen Jurídico del Sector Público, art. 156

• Real Decreto 311/2022, que aprueba el ENS vigente (da de plazo 24 meses para su adecuación, venciendo este en mayo de 2024)

La Ley 40/2015 establece que todas las Administraciones Públicas deben aplicar el ENS en el uso de medios electrónicos. Esto incluye:

• Administración General del Estado
• Comunidades Autónomas
• Diputaciones
• Ayuntamientos, independientemente de su tamaño
• Entidades públicas dependientes

No existe ninguna excepción por tamaño ni número de habitantes.

Ahora bien, centrémonos en los mas cercanos… Los Ayuntamientos:

1. Por qué todos los Ayuntamientos deben cumplir el ENS

El ENS no se aplica por tamaño, sino por función pública. Un ayuntamiento, aunque sea pequeño, gestiona:

• Datos personales de ciudadanos (padrón, tributos, servicios sociales)
• Información sensible (expedientes sancionadores, urbanismo, subvenciones)
• Servicios electrónicos (sede electrónica, registro, notificaciones)
• Sistemas críticos (contabilidad, gestión de empleados, policía local)

La ley exige que todo sistema que trate información pública cumpla con las medidas de seguridad del ENS.

2. Nivel de exigencia según el tipo de información

Aunque el ENS es obligatorio para todos, el nivel de seguridad se adapta al riesgo.

Dependiendo del número de habitantes (< 5.000 < 20.000 < 75.000 o > 75.000) los ayuntamientos manejan distintos sistemas de información, lo que implica adaptación a categorización del ENS:

• Categoría Media → padrón, tributos, sede electrónica
• Categoría Alta → policía local, servicios sociales, protección civil

Esto implica medidas como:

• Política de seguridad
• Control de accesos
• Gestión de incidentes
• Copias de seguridad
• Registro de actividad
• Análisis de riesgos
• Continuidad de negocio

3. El ENS es obligatorio incluso si el ayuntamiento externaliza servicios

Muchos ayuntamientos delegan:

• Sede electrónica
• Gestión tributaria
• Sistemas de contabilidad
• Infraestructura informática

Pero la responsabilidad legal sigue siendo del ayuntamiento, y los proveedores deben cumplir ENS también.

4. Consecuencias de no cumplir ENS

Cumplir ENS no es opcional. Incumplir puede generar:

• Responsabilidad administrativa
• Responsabilidad patrimonial por brechas de seguridad
• Sanciones por protección de datos (RGPD + LOPDGDD)
• Imposibilidad de contratar ciertos servicios públicos digitales
• Riesgo reputacional ante incidentes

5.- Resumen:

Un ayuntamiento debe cumplir el ENS porque:

• La Ley 40/2015 lo exige a todas las administraciones públicas
• El RD 311/2022 regula su cumplimiento obligatorio
• Gestiona información pública y datos personales
• Presta servicios electrónicos a ciudadanos
• Es responsable de la seguridad incluso si externaliza sistemas

No depende del tamaño del municipio, sino de su condición de Administración Pública.

Horacio J. Jávega es Co-Founder y CISO de HardLink Security – Consultor Senior en Ciberseguridad, ISO27001, ENS y NIS2. Ingeniero Informático de Sistemas y Auditor Jefe de ISO 27001 (ciberseguridad) e ISO 42001 (IA)