El Esquema Nacional de Seguridad (ENS) ha dado un paso importante hacia una forma de cumplimiento mucho más automatizable. El Centro Criptológico Nacional (CCN) anunció el 17 de septiembre de 2026 la publicación del Anexo II, dedicado a las medidas de seguridad, en un formato estructurado y legible por máquina. La novedad no consiste en cambiar las obligaciones del ENS, sino en representar una parte esencial de su contenido de forma que las aplicaciones informáticas puedan identificar controles, relaciones y metadatos sin depender únicamente de la lectura manual de documentos.
La publicación se apoya en JSON y en la especificación OSCAL, desarrollada por el National Institute of Standards and Technology (NIST). El objetivo declarado por el CCN es facilitar la automatización, la interoperabilidad con herramientas de auditoría y gestión del riesgo, reducir tareas manuales y abrir la puerta a usos avanzados de inteligencia artificial en procesos de cumplimiento. Para ayuntamientos, diputaciones, comunidades autónomas, organismos públicos y proveedores tecnológicos que trabajan con ellos, el movimiento es relevante porque cambia la manera en que puede integrarse el ENS en herramientas y flujos técnicos.
Qué ha publicado exactamente el CCN
La novedad afecta al Anexo II de «Medidas de seguridad» del ENS. Ese contenido se ha convertido a una representación estructurada que puede ser procesada por software. Según el CCN, el formato permite que las aplicaciones identifiquen, reconozcan y extraigan datos concretos, incluidas declaraciones y su estructura interna. No se trata simplemente de publicar el mismo texto en otro archivo: la utilidad aparece cuando cada control puede convertirse en un objeto que un sistema puede leer, relacionar y utilizar.
El CCN explica que la implementación se ha realizado en JSON siguiendo OSCAL, un lenguaje pensado para describir controles de seguridad, catálogos, perfiles y documentación de evaluación de forma estructurada. Junto al código se ha publicado además un documento técnico con las decisiones de diseño, la organización del catálogo, las convenciones de identificadores, los metadatos y la nomenclatura utilizada en el proceso de conversión.
Para la Administración Pública esto abre un escenario distinto al tradicional. Hasta ahora, una gran parte de la adecuación al ENS se apoya en matrices, hojas de cálculo, documentos, checklists y herramientas que interpretan la norma a partir de contenido preparado previamente. Con un catálogo oficial legible por máquina, las aplicaciones pueden trabajar directamente sobre una representación estructurada del marco de controles.
Por qué importa que el ENS sea legible por máquina
La expresión «legible por máquina» puede parecer puramente técnica, pero tiene consecuencias muy prácticas. Cuando una norma o un catálogo de controles solo se publica como documento pensado para lectura humana, cada fabricante, consultora u organismo debe interpretar su contenido y transformarlo a su propio modelo de datos. Eso introduce trabajo duplicado, diferencias de criterio y riesgo de que las herramientas queden desactualizadas.
Un formato estructurado permite que un software sepa qué control está tratando, cómo se identifica, qué relaciones tiene y qué metadatos lo acompañan. A partir de ahí es posible construir procesos que automaticen una parte del trabajo de cumplimiento sin sustituir el análisis técnico ni la responsabilidad de la organización.
Por ejemplo, una plataforma de gobierno de ciberseguridad podría importar el catálogo oficial, relacionar controles con activos y riesgos, identificar medidas aplicables, generar evidencias pendientes y comparar el estado de distintos sistemas. Una herramienta de auditoría podría comprobar que trabaja con la versión correcta del catálogo y registrar cambios de una edición a otra. Un cuadro de mando podría representar el grado de implementación de las medidas sin tener que mantener manualmente una copia de la estructura normativa.
OSCAL: el estándar que está detrás de la conversión
La elección de OSCAL es significativa porque no se trata de un formato creado únicamente para esta publicación. OSCAL, siglas de Open Security Controls Assessment Language, es una iniciativa del NIST orientada a representar información de seguridad y cumplimiento en formatos que puedan ser utilizados de manera automática. La idea central es que catálogos de controles, perfiles, planes de seguridad y resultados de evaluación puedan interoperar mejor entre herramientas.
El uso de una estructura alineada con OSCAL facilita que el ENS pueda integrarse con ecosistemas de software que ya trabajan con modelos similares. También reduce la dependencia de formatos cerrados o de estructuras propietarias mantenidas por un único proveedor.
Esto es especialmente importante en el sector público. Una administración que adopta herramientas de cumplimiento necesita poder cambiar de proveedor, reutilizar información y evitar que el conocimiento sobre su adecuación quede atrapado en una solución concreta. Los formatos interoperables no resuelven por sí solos ese problema, pero sí mejoran las condiciones para diseñar arquitecturas más portables.
Qué puede automatizar una Administración con esta estructura
El CCN señala varias capacidades: automatizar la implantación, evolución, monitorización y verificación de medidas; facilitar la interoperabilidad con herramientas de desarrollo, auditoría, monitorización y gestión de riesgos; mejorar la eficiencia de los sistemas de gestión de seguridad; reducir errores humanos; y aplicar técnicas avanzadas de inteligencia artificial.
En la práctica, una entidad pública podría utilizar el formato como base para automatizar procesos como la carga del catálogo ENS en una plataforma GRC, el seguimiento de controles, la asociación de evidencias, el versionado de medidas, la comparación entre perfiles, la detección de controles incompletos o la preparación de información para revisiones.
También puede resultar útil para proveedores que desarrollan software para el sector público. Si una aplicación debe incorporar funciones de compliance, el equipo técnico puede trabajar sobre un catálogo oficial estructurado en lugar de mantener manualmente un modelo paralelo. Eso no elimina la necesidad de validar la implementación, pero reduce una fuente habitual de inconsistencias.
La inteligencia artificial entra en el cumplimiento, pero no sustituye el criterio técnico
Uno de los puntos destacados por el CCN es que el formato puede facilitar la aplicación de técnicas avanzadas de inteligencia artificial al análisis de riesgos y vulnerabilidades, a la selección de controles, a la detección de anomalías o insuficiencias y a la recomendación de ajustes.
La precisión de esa posibilidad es importante. El hecho de que una norma sea legible por máquina no significa que una IA pueda decidir de manera autónoma si una entidad cumple el ENS. El cumplimiento depende del contexto del sistema, de la categorización, de la implantación efectiva de medidas, de evidencias, de procesos organizativos y de evaluaciones que requieren responsabilidad y supervisión.
Lo que sí cambia es la calidad de la información con la que pueden trabajar los sistemas. Un modelo de IA resulta más útil cuando recibe controles estructurados, identificadores estables y relaciones explícitas que cuando tiene que inferir toda la estructura leyendo un PDF. En ese sentido, el formato legible por máquina puede convertirse en una capa de datos sobre la que construir asistentes de apoyo, buscadores semánticos, verificadores o sistemas de recomendación.
Impacto para ayuntamientos y entidades locales
Las entidades locales son uno de los ámbitos donde la automatización puede resultar especialmente valiosa. Muchos ayuntamientos tienen que cumplir obligaciones exigentes con equipos técnicos reducidos y una fuerte dependencia de diputaciones, proveedores o servicios compartidos. La existencia de un catálogo estructurado permite que las herramientas utilizadas por esas entidades incorporen la evolución del ENS de forma más homogénea.
Un ayuntamiento pequeño no necesita desarrollar su propio motor OSCAL. El valor puede llegar a través de la solución que ya utiliza para gestión de riesgos, inventario, cumplimiento o seguridad. Si el proveedor integra correctamente la fuente oficial, las actualizaciones y controles pueden fluir con menos intervención manual.
También puede facilitar el trabajo de diputaciones y organismos supramunicipales que prestan servicios a múltiples entidades. Un mismo modelo de controles podría utilizarse para desplegar plantillas, perfiles y cuadros de mando comunes, manteniendo después las particularidades de cada organización.
Qué cambia para los proveedores de software y consultoría
El formato abre una oportunidad clara para herramientas de ciberseguridad, GRC, auditoría, gestión de activos, monitorización y cumplimiento. Los proveedores que trabajan con administraciones pueden integrar el catálogo oficial en sus productos y reducir la necesidad de mantener estructuras creadas a mano.
Pero la oportunidad viene acompañada de una exigencia: la integración debe ser trazable. No basta con afirmar que una plataforma «cumple el ENS». La organización debería poder saber qué versión del catálogo se utiliza, cuándo fue actualizada, cómo se mapean los controles y qué partes del proceso siguen dependiendo de revisión humana.
En licitaciones públicas relacionadas con seguridad y cumplimiento, esta evolución puede acabar trasladándose a los pliegos. Una administración podría pedir compatibilidad con formatos estructurados, importación y exportación de catálogos, APIs, trazabilidad de versiones o interoperabilidad con herramientas de análisis y auditoría. No es una consecuencia automática de la publicación, pero es una dirección coherente con el objetivo de reducir dependencias y mejorar la automatización.
Interoperabilidad: uno de los efectos más relevantes
El CCN menciona expresamente la interoperabilidad con herramientas de desarrollo, monitorización continua, auditoría y gestión del riesgo. Esta es probablemente una de las ventajas más importantes para arquitecturas complejas.
En una organización grande, la información de seguridad rara vez vive en una sola aplicación. Hay inventarios de activos, sistemas de tickets, herramientas SIEM, plataformas de vulnerabilidades, gestores documentales, soluciones de continuidad y entornos de auditoría. Si el catálogo de controles puede representarse de forma estandarizada, resulta más sencillo conectar unas herramientas con otras y evitar que cada integración dependa de una tabla propietaria diferente.
El reto será mantener una gobernanza clara de esos intercambios. La automatización puede acelerar la recopilación de evidencias o el seguimiento de controles, pero una integración mal diseñada puede propagar datos incorrectos con la misma rapidez. Por eso serán importantes los identificadores, el versionado, las reglas de validación y la trazabilidad.
Del documento al cumplimiento continuo
La evolución hacia formatos legibles por máquina encaja con una tendencia más amplia: pasar de un cumplimiento basado en revisiones puntuales y documentación estática a modelos de cumplimiento continuo. En lugar de preparar toda la información únicamente ante una auditoría, las organizaciones pueden mantener indicadores y evidencias actualizados durante el ciclo de vida del sistema.
Esto no significa que todo pueda automatizarse. Algunas medidas son organizativas, otras requieren decisiones humanas y muchas evidencias necesitan interpretación. Pero sí permite que tareas repetitivas de inventario, comprobación, correlación o actualización se realicen con menos carga manual.
El resultado potencial es que los equipos de seguridad dediquen menos tiempo a trasladar datos entre documentos y más a analizar desviaciones, riesgos y decisiones de tratamiento.
Proyección europea del ENS
El CCN también vincula la iniciativa con la proyección europea del Esquema Nacional de Seguridad. Según el organismo, la representación legible por máquina refuerza su capacidad para servir de referencia en futuros esquemas europeos y favorecer una mayor armonización e interoperabilidad en ciberseguridad.
Ese punto debe interpretarse con prudencia: la publicación no convierte automáticamente el ENS en un estándar europeo ni sustituye los marcos comunitarios. Sí mejora, sin embargo, su capacidad para ser comparado, reutilizado y conectado técnicamente con otras iniciativas. En un contexto donde las administraciones europeas comparten cada vez más servicios, datos e infraestructuras, la compatibilidad semántica y técnica gana importancia.
Qué debería revisar ahora una entidad pública
La publicación no obliga por sí sola a una administración a modificar inmediatamente sus herramientas. Sí merece una revisión por parte de responsables de seguridad, responsables de sistemas, unidades de cumplimiento y proveedores.
Conviene comprobar si las soluciones utilizadas para ENS y análisis de riesgos prevén incorporar el nuevo formato; cómo gestionan las actualizaciones del catálogo; si permiten exportar los datos de cumplimiento; cómo relacionan controles, activos y evidencias; y qué mecanismos utilizan para conservar trazabilidad.
También es un buen momento para revisar contratos y futuras licitaciones. Cuando una plataforma se renueve, la interoperabilidad y la portabilidad de la información deberían formar parte de la evaluación técnica, especialmente en sistemas que van a almacenar durante años el histórico de riesgos, medidas, auditorías y evidencias.
Checklist práctico para responsables públicos
- Identificar qué herramienta utiliza actualmente la organización para gestionar el ENS y el análisis de riesgos.
- Preguntar al proveedor si soportará el catálogo legible por máquina publicado por el CCN.
- Documentar qué versión del catálogo se utiliza y cómo se actualiza.
- Revisar la capacidad de exportar controles, evidencias y resultados en formatos reutilizables.
- Analizar posibles integraciones con inventario de activos, vulnerabilidades, SIEM, ticketing y auditoría.
- Definir qué tareas pueden automatizarse y cuáles deben mantener supervisión humana.
- Evitar delegar decisiones de cumplimiento únicamente en sistemas de inteligencia artificial.
- Incluir requisitos de interoperabilidad y trazabilidad en futuras compras o licitaciones.
Preguntas frecuentes
¿Ha cambiado el Esquema Nacional de Seguridad?
La novedad anunciada por el CCN es la publicación de una representación legible por máquina del Anexo II de medidas de seguridad. No debe confundirse con una sustitución del texto normativo ni con una reforma general del ENS.
¿Qué formato se utiliza?
El CCN indica que la implementación utiliza JSON y se ajusta a la especificación OSCAL del NIST.
¿Para qué sirve en una Administración?
Puede facilitar integraciones, automatización del seguimiento de controles, gestión de evidencias, monitorización, auditoría y análisis del cumplimiento, siempre dentro de una gobernanza adecuada.
¿Puede una IA comprobar automáticamente el cumplimiento del ENS?
La estructura puede mejorar los sistemas de apoyo basados en IA, pero el cumplimiento efectivo depende de la implantación real de medidas, evidencias, contexto, categorización y supervisión responsable.
¿Es especialmente útil para ayuntamientos pequeños?
Puede serlo indirectamente, sobre todo cuando sus proveedores, diputaciones o servicios compartidos incorporen el formato oficial a herramientas comunes y reduzcan tareas manuales.
Fuentes oficiales
La información principal procede del Centro Criptológico Nacional, que publicó la novedad el 17 de septiembre de 2026. El propio CCN enlaza además al Portal de Administración Electrónica y a su Portal de Gobernanza para ampliar la documentación.
En Digitalización Pública News seguiremos la evolución de esta iniciativa y su impacto en herramientas, auditorías, licitaciones y procesos de adecuación de las Administraciones Públicas.
Lecturas relacionadas en Digitalización Pública News
La evolución del ENS se entiende mejor junto a otras líneas de modernización que ya están avanzando en el sector público. Puedes ampliar contexto con nuestro análisis sobre PILAR Web y la gestión de riesgos, la experiencia de la AOC con servicios certificados en categoría alta, los retos abordados en LocalCiber y el avance del gobierno del dato en la AGE.
Fotografía: panumas nikhomkhai / Pexels.