Cada año, entre otoño e invierno, los responsables de seguridad de media España viven el mismo diciembre: recopilar a mano la madurez de decenas de medidas del ENS para alimentar el INES, el Informe Nacional del Estado de Seguridad que coordina el Centro Criptológico Nacional. Es un trabajo real, con fecha, que casi siempre se hace contra un Excel. Este artículo aclara quién está obligado de verdad, qué papel juega la empresa privada certificada y cómo se genera ese informe cuando el sistema de gestión vive en una plataforma en lugar de en carpetas.
Qué es el INES
El INES es el instrumento con el que el CCN recoge, una vez al año, el estado de la seguridad de los sistemas del ámbito del Esquema Nacional de Seguridad: qué medidas del Anexo II están implantadas y con qué nivel de madurez, de L0 a L5. Del agregado sale el informe nacional que mide la salud del ENS en España. Para cada organismo, rellenarlo significa valorar medida a medida, con evidencia detrás, no de memoria.
Quién está obligado a reportar (y quién no)
La obligación directa es del sector público. El Real Decreto 311/2022 encarga la recogida del estado de la seguridad de los sistemas de su ámbito (artículo 32), y la instrucción técnica de Informe del Estado de la Seguridad la articula a través del INES con periodicidad anual.
La empresa privada certificada en el ENS está en otra casilla. El decreto le aplica como proveedora del sector público (artículo 2.3), pero no le impone una obligación general de reportar al INES. Lo que ocurre en la práctica es más sutil, y conviene decirlo con precisión porque circulan titulares que afirman que el INES «es obligatorio para empresas privadas», y eso no es lo que dice la norma:
- El organismo al que sirves sí reporta, y reporta con tus datos. Su informe se alimenta del estado de los sistemas que le prestan servicio, y los pliegos trasladan esa necesidad al proveedor. Que el INES no te obligue no significa que no te llegue.
- Existe el alta voluntaria. El CCN admite que operadores privados se den de alta en INES por iniciativa propia. Nosotros mismos la solicitamos en julio de 2026, antes de nuestra auditoría: voluntaria, no obligada.
La consecuencia comercial es directa: el proveedor que llega con su perfil de madurez ya hecho es el proveedor fácil, el que no le complica el diciembre a su cliente. El que llega con un Excel a medio rellenar es una tarea más en la mesa de otro.
Por qué el INES duele
Porque la madurez no se declara, se demuestra. Decir que una medida está en L3 implica que está documentada, implantada y medida, y eso exige registros con fecha: revisiones hechas, indicadores tomados, incidentes gestionados. Si el sistema de gestión vive en carpetas, reconstruir ese rastro una vez al año es arqueología. El coste real del INES no es el formulario: es no haber generado la evidencia al operar.
Los datos dicen que el problema va a más: como publicamos en nuestra radiografía del registro ENS, el 85 % de los certificados de empresa se concedió en 2025 y 2026. Miles de responsables de seguridad van a vivir su primer ciclo completo de madurez este año.
El informe INES sin Excel
Aquí la frase no es una metáfora. En Nexo SGSI, la plataforma con la que superamos nuestra propia auditoría de ENS categoría Media, ISO 27001 e ISO 42001 sin ninguna no conformidad, las 73 medidas del Anexo II viven con su nivel de madurez, su responsable y su evidencia enlazada, y el informe INES del sistema se genera automáticamente cada mes. Cuando llega el momento de reportar, o cuando tu cliente público te pide tus datos, el informe ya existe: se exporta, no se fabrica.
Eso cambia el papel del proveedor: de cuello de botella a ventaja. Y en una renovación de certificado, el auditor encuentra la madurez trazada, no contada.
Qué hacer según tu caso
- Eres administración u organismo público: el INES es tu deber anual. La pregunta es cuánto te cuesta rellenarlo; si la respuesta es «semanas», el problema no es el INES, es dónde vive tu evidencia.
- Eres proveedor certificado (o vas camino): no reportas por defecto, pero tu cliente reportará con tus datos. Llegar con el perfil hecho, o darte de alta voluntariamente como hicimos nosotros, te pone en la lista corta de proveedores que no dan trabajo.
- No sabes en qué punto estás: el autodiagnóstico de ISO 27001 y ENS te da la foto en doce preguntas, gratis.
Si mantener el ENS te cuesta un diciembre entero, es que lo estás sosteniendo a mano. Con Nexo SGSI Mantén (590 €/mes) migramos tu sistema, el calendario reparte el año, y el informe INES sale solo. Escríbenos y te lo enseñamos en media hora.
