El Esquema Nacional de Seguridad (Real Decreto 311/2022) se pregunta en el test casi siempre sobre cinco ejes: ámbito de aplicación, principios básicos, dimensiones y categorización, roles de seguridad y auditoría. Las preguntas no buscan que sepas «qué es la seguridad», sino que distingas términos que parecen sinónimos: principio frente a requisito, dimensión frente a categoría, autoevaluación frente a auditoría. Si estudias el ENS como un listado cerrado de piezas que no se mezclan, convertirás un tema de memoria en puntos casi seguros.
Fecha de última revisión: 20 de octubre de 2026. Contrasta siempre cada dato con el texto consolidado del BOE.
Ámbito: a quién se aplica el ENS
El RD 311/2022 sustituye al RD 3/2010 y se aplica al sector público tal como lo define el artículo 2 de la Ley 40/2015. La pregunta trampa más habitual: también alcanza a los sistemas de entidades privadas que prestan servicios o suministran soluciones al sector público. Si una opción dice «exclusivamente a las Administraciones Públicas», descártala.
El segundo enganche es la relación con la protección de datos. La disposición adicional primera de la LOPDGDD (Ley Orgánica 3/2018) remite a las medidas del ENS cuando el responsable del tratamiento es del sector público. Las preguntas cruzadas ENS–RGPD salen de aquí.
Principios básicos frente a requisitos mínimos
Este es el error que más puntos cuesta. Son dos listas distintas:
- Principios básicos (art. 5): seguridad como proceso integral, gestión basada en los riesgos, prevención, detección, respuesta y conservación, líneas de defensa, vigilancia continua, reevaluación periódica y diferenciación de responsabilidades.
- Requisitos mínimos (art. 12): organización e implantación del proceso de seguridad, análisis y gestión de riesgos, gestión de personal, profesionalidad, control de accesos, protección de instalaciones, mínimo privilegio, integridad y actualización, incidentes, continuidad, mejora continua, etc.
Pregunta típica: «¿Cuál de los siguientes NO es un principio básico?», con «mínimo privilegio» entre las opciones. Lo es para el sentido común, pero en el ENS es un requisito mínimo. Una tarjeta por lista, nunca mezcladas.
Dimensiones, niveles y categoría del sistema
| Concepto | Valores | Cómo se pregunta |
|---|---|---|
| Dimensiones | Confidencialidad [C], Integridad [I], Trazabilidad [T], Autenticidad [A], Disponibilidad [D] | Siglas sueltas o una dimensión inventada («no repudio») como distractor |
| Nivel por dimensión | BAJO, MEDIO, ALTO | Confusión con la categoría |
| Categoría del sistema | BÁSICA, MEDIA, ALTA | Regla de cálculo |
La regla de cálculo: la categoría la determina el nivel más alto alcanzado en cualquier dimensión. No hay media ni mayoría. Un sistema con [C] BAJO, [I] BAJO, [T] BAJO, [A] MEDIO y [D] ALTO es de categoría ALTA. En los supuestos prácticos esto se convierte en un mini-ejercicio: te dan la valoración de la información y los servicios, y tienes que deducir la categoría.
Ojo con el léxico: los niveles se dicen BAJO/MEDIO/ALTO y la categoría, BÁSICA/MEDIA/ALTA. «Categoría BAJA» no existe, y es un distractor clásico.
Medidas del Anexo II y declaración de aplicabilidad
Las medidas se agrupan en tres marcos: organizativo [org], operacional [op] y medidas de protección [mp]. El RD 311/2022 incorpora los refuerzos (medidas reforzadas según categoría) y los perfiles de cumplimiento específicos para colectivos concretos.
Se pregunta así: te dan un código (op.exp, mp.com, org.1) y piden el marco, o te describen una medida («política de seguridad») y piden dónde vive. La política de seguridad es [org]; la gestión de la configuración es [op]; la protección de las comunicaciones es [mp].
La declaración de aplicabilidad recoge las medidas seleccionadas y la justificación de las excluidas o sustituidas por medidas compensatorias. Firma: el responsable de la seguridad.
Roles: quién decide qué
| Rol | Qué determina |
|---|---|
| Responsable de la información | Requisitos de seguridad de la información (niveles) |
| Responsable del servicio | Requisitos de seguridad de los servicios |
| Responsable de la seguridad | Decisiones de seguridad, declaración de aplicabilidad |
| Responsable del sistema | Operación, desarrollo y mantenimiento del sistema |
El principio de diferenciación de responsabilidades exige que el responsable de la seguridad sea distinto del responsable del sistema. Cuando una opción los fusiona «por eficiencia», es falsa. La política de seguridad la aprueba el órgano superior competente, no el responsable de seguridad.
Auditoría, conformidad e incidentes
- Categoría MEDIA o ALTA: auditoría ordinaria al menos cada dos años, además de extraordinarias cuando haya cambios sustanciales.
- Categoría BÁSICA: basta una autoevaluación, sin perjuicio de que se pueda auditar.
- Conformidad: certificación para MEDIA/ALTA; declaración de conformidad posible para BÁSICA.
- Incidentes en el sector público: notificación al CCN-CERT. El estado de la seguridad se reporta mediante el informe que coordina el CCN (herramienta INES).
- El análisis de riesgos se apoya habitualmente en MAGERIT y la herramienta PILAR. Las guías de desarrollo son la serie CCN-STIC 800.
Distractores típicos: «auditoría anual», «notificación a la AEPD» (eso aplica a las brechas de datos personales del RGPD, y es un circuito distinto) o «INCIBE-CERT» como referente del sector público.
Cómo estudiarlo para el test
- Cinco tarjetas de lista cerrada: principios, requisitos, dimensiones, marcos del Anexo II y roles.
- Diez categorizaciones con tres o cuatro dimensiones cada una, resueltas en menos de 20 segundos.
- Una tabla de pares confundibles: principio/requisito, nivel/categoría, auditoría/autoevaluación, CCN-CERT/AEPD.
- Test con penalización centrados solo en el ENS hasta superar de forma estable el 90 %. El umbral de respuesta lo calculas como explicamos en estrategia para test con penalización.
Encaja en la capa de precisión del método en cuatro capas: recuperación escrita y validación contra el BOE, no relectura.
Si prefieres no montar tú el banco de preguntas, OposicionesIA tiene activa la vertical de Informática con test por tema, que incluye normativa de seguridad, y penalización configurable. Aun así, contrasta con el texto oficial cualquier cifra que vayas a memorizar.
Preguntas frecuentes
¿Sigue preguntándose el RD 3/2010? Está derogado. Puede aparecer como distractor («según el RD 3/2010 vigente…») o en preguntas sobre qué cambió. Estudia el 311/2022 y comprueba qué norma cita el programa de tu convocatoria.
¿La categoría de un sistema se calcula con la media de las dimensiones? No. Se toma el nivel más alto de cualquier dimensión.
¿Puede la misma persona ser responsable de la seguridad y del sistema? No. La diferenciación de responsabilidades lo impide, salvo las excepciones que admite la norma para organizaciones reducidas. Revisa su redacción literal.
¿El ENS se aplica a una empresa privada? Sí, cuando presta servicios o suministra soluciones al sector público, respecto a esos sistemas.
Cierre: plan de una semana
Día 1: las cinco listas cerradas. Días 2 y 3: categorizaciones y roles. Día 4: Anexo II por códigos. Día 5: auditoría e incidentes. Días 6 y 7: dos tandas de test con penalización y repaso solo de los fallos. Antes de empezar, descarga el texto consolidado del RD 311/2022 en el BOE: es tu única fuente de verdad.