O Esquema Nacional de Segurança (ENS) é a norma espanhola que fixa os princípios, os requisitos mínimos e as medidas de segurança dos sistemas de informação do setor público e das empresas que o servem em determinadas condições. Está regulado no Real Decreto 311/2022. Não é uma certificação geral de uma empresa: aplica-se a sistemas concretos.
Informação geral, não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao texto consolidado do Real Decreto 311/2022 no BOE (última atualização publicada a 6 de novembro de 2024).
A quem se aplica
O Real Decreto 311/2022, de 3 de maio, em vigor desde 5 de maio de 2022, revogou o Real Decreto 3/2010. Aplica-se a todo o setor público espanhol (artigo 2.º, n.º 1). Abrange também os sistemas de informação de entidades privadas quando, nos termos da regulamentação aplicável e por via de uma relação contratual, prestam serviços ou fornecem soluções a entidades públicas para o exercício das suas competências e poderes administrativos (artigo 2.º, n.º 3). Os cadernos de encargos desses contratos devem incluir os requisitos necessários para assegurar a conformidade.
Categorias e conformidade
Cada sistema é classificado na categoria BÁSICA, MEDIA ou ALTA, consoante o impacto que um incidente teria na sua disponibilidade, autenticidade, integridade, confidencialidade ou rastreabilidade (artigo 40.º e anexo I). A categoria, os ativos e a gestão de riscos determinam as medidas do anexo II, que ficam registadas numa Declaração de Aplicabilidade assinada pelo responsável de segurança (artigo 28.º).
Para demonstrar a conformidade, os sistemas de categoria BÁSICA exigem uma autoavaliação e uma declaração de conformidade; os de categoria MEDIA ou ALTA exigem uma auditoria de certificação (artigo 38.º). A auditoria de segurança dos sistemas de categoria MEDIA ou ALTA realiza-se no mínimo de dois em dois anos e após alterações substanciais (artigo 31.º), e pode servir também para a certificação.
Exemplo
Exemplo ilustrativo, não um caso real. Uma empresa de software aloja uma plataforma de gestão de processos usada por uma câmara municipal espanhola, e o caderno de encargos pede conformidade do serviço com o ENS. O primeiro passo é delimitar que sistemas fazem parte desse serviço, categorizá-los e elaborar a Declaração de Aplicabilidade. Se o sistema for de categoria MEDIA, será necessária uma auditoria de certificação; se fosse BÁSICA, bastaria a autoavaliação.
O que o ENS não é
Não é uma certificação universal da empresa nem evita incidentes por si só. A aplicabilidade, a categoria e o âmbito têm de ser confirmados no texto legal e no caderno de encargos de cada caso. Se um fornecedor apresentar uma certificação ENS, verifique a entidade, o sistema, a categoria, o âmbito e a validade.
O ENS é um regime espanhol: confirme separadamente que outros referenciais se aplicam à sua entidade.
Quando chamar um especialista
Peça ajuda se um caderno de encargos ou um cliente público exigir conformidade com o ENS e não souber que sistemas ficam abrangidos, que categoria corresponde ou que evidências reunir, ou se precisar de implementar medidas técnicas e formar a equipa. Para interpretar o contrato ou o caderno de encargos, consulte um profissional do direito.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: conheça o nosso serviço de cibersegurança, a solução de consultoria IT e ENS para o setor público ou conte-nos o seu caso. A Impulso não certifica: a certificação é emitida por uma entidade acreditada e independente.
Saber mais
Termos relacionados do glossário: ISO 27001 e NIS2.
Fontes oficiais (em espanhol): Real Decreto 311/2022 (BOE), o processo de adequação, os distintivos de conformidade e as entidades de certificação do Centro Criptológico Nacional.