Opinión 2. Lo segundo es que el Anexo II del ENS recoge 73 medidas de seguridad, pero eso no significa que tengas que implementarlas todas ni al mismo nivel. Cuáles te aplican y con qué exigencia depende de tu categoría, del alcance concreto de tus sistemas y de tu declaración de aplicabilidad, que es el documento donde se justifica qué medidas corresponden a tu actividad y cuáles no. Es un traje a medida, no un uniforme. 3. Y lo tercero, que suele ser lo que más preocupa, es el coste. Pero no es una cifra única: tiene varias partidas que conviene separar. Diagnóstico inicial, consultoría de adecuación, implantación técnica, auditoría externa, dedicación de tu propio equipo y mantenimiento posterior. Para una pyme, el conjunto puede ir desde unos pocos miles de euros en categoría Básica hasta varias decenas de miles en categoría Media. Lo que más influye en esa cifra es tu punto de partida. Y eso, precisamente, es lo primero que deberías averiguar. ¿Dónde estás? Hay un escenario que se repite más de lo deseable: una empresa de seguridad recibe la exigencia del ENS, contrata directamente una consultora o se presenta a un proceso de auditoría sin haberse evaluado antes. El resultado habitual es pagar para descubrir que no cumples. Dinero y meses perdidos. Quien trabaja en seguridad lo entiende bien. Nadie diseña un sistema de protección sin hacer antes un estudio de seguridad. Nadie instala una CRA sin analizar primero las necesidades del cliente. Con el cumplimiento normativo debería ser igual: antes de invertir en la solución, necesitas entender el problema. Saber qué tienes, qué te falta y por dónde conviene empezar. El triaje del ENS Esa evaluación inicial –ese diagnóstico de cumplimiento, ese análisis de situación– es lo que en Laguun llamamos triaje. ENS by Laguun es un módulo desarrollado en colaboración con el Centro Criptológico Nacional que permite hacer una evaluación guiada del cumplimiento del ENS mediante inteligencia artificial conversacional. Sin necesidad de ser experto en ciberseguridad. En menos de una hora, la plataforma identifica en qué punto está tu organización, qué brechas presenta y qué medidas conviene priorizar. Cada respuesta incluye referencias a las guías técnicas del CCN (conocidas como guías CCN-STIC) y a la documentación oficial del ENS. Quiero ser clara en lo que hace y lo que no hace. Este triaje no sustituye a la consultoría de adecuación ni a la auditoría de certificación. Es el paso anterior: el que te permite saber qué categoría te corresponde, qué distancia te separa del cumplimiento y qué camino tienes por delante. A partir de ahí, puedes decidir con criterio si avanzas con recursos propios, con una consultora o con una combinación de ambos. El coste de ese primer paso es de 80 euros al mes. Más de mil organizaciones en España y Latinoamérica ya han completado este diagnóstico. No porque sea obligatorio, sino porque tiene sentido: saber dónde estás antes de decidir cuánto invertir. El ENS no es un trámite más ni una barrera burocrática. Es la garantía de que los sistemas que utilizáis para proteger a vuestros clientes –sean administraciones públicas, bancos o empresas industriales– están, a su vez, protegidos. Para quienes lleváis años en el sector de la seguridad, cumplir con el ENS no debería ser un salto al vacío, sino una extensión natural de lo que ya hacéis: proteger. Pero también protegeros. Y todo empieza por saber dónde estamos. / Septiembre-Octubre 2026 55
RkJQdWJsaXNoZXIy MTI4MzQz