Vendes a la administración. Esto es lo que el ENS espera de tu pentest.

Qué es el ENS y a quién alcanza

El Esquema Nacional de Seguridad (Real Decreto 311/2022) fija las medidas de seguridad que deben cumplir los sistemas del sector público — y los de los proveedores privados que les prestan servicios, para los sistemas implicados en ese servicio. Por eso lo ves en los pliegos: sin Declaración o Certificación de Conformidad, no entras.

Los sistemas se clasifican en categoría Básica, Media o Alta. Para Básica basta una autoevaluación. Para Media y Alta hace falta una auditoría formal, repetida al menos cada dos años, realizada por una entidad de certificación acreditada.

Qué papel juega el pentest

El ENS exige gestionar las vulnerabilidades técnicas y verificar periódicamente que las medidas de seguridad funcionan. Un test de penetración manual sobre el sistema en alcance es la forma habitual de evidenciarlo, y es lo que la entidad certificadora espera encontrar en el expediente: qué se testeó, con qué método, qué se encontró y qué se corrigió.

¿Dónde lo dice literalmente? Con la palabra «pruebas de penetración», en dos sitios del Anexo II del Real Decreto 311/2022: en la medida de vigilancia op.mon.3, refuerzo R6 «Inspecciones de seguridad» ([op.mon.3.r6.3] Pruebas de penetración), obligatorio solo en categoría Alta; y en op.nub.1.2, para servicios en la nube contratados a terceros, en todas las categorías. Para un SaaS hay una tercera medida que pesa más: mp.s.2 «Protección de servicios y aplicaciones web» exige auditorías de seguridad de la aplicación web en todas las categorías — de caja negra o de caja blanca (R1 o R2) en Básica y Media, de caja blanca con el refuerzo R3 en Alta — durante el desarrollo y antes de la puesta en producción, con la periodicidad que fije tu procedimiento de auditoría. Una auditoría de caja negra de tu aplicación es, en la práctica, un pentest de aplicación web. Así que en categoría Media la entidad certificadora no te pedirá «un pentest» por op.mon.3, pero sí la auditoría de seguridad de la aplicación por mp.s.2 — y el informe con retest es la forma más directa de dársela. El detalle, medida por medida y categoría por categoría, está en la guía de 2026.

Lo que el ENS no dice es "un pentest por trimestre". La periodicidad la marcan tu análisis de riesgos y tu ciclo de auditoría. Un test anual con retest, más un test intermedio si tu sistema cambia mucho, es lo que encaja con el ciclo de dos años sin dejar huecos.

El alcance sigue tu declaración de aplicabilidad

La entidad certificadora audita el sistema tal y como lo has delimitado. Si el pentest cubre otra cosa, tienes un informe pero no una evidencia. Por eso alineo el alcance antes del test con tu declaración de aplicabilidad — la misma aplicación, el mismo entorno, los mismos roles — y así consta en la attestation letter (TPM).

Qué recibe la entidad certificadora

• La attestation letter: alcance, método, periodo, resultado.
• La declaración de retest por cada ronda: qué se ha corregido.
• Bajo petición: la metodología en detalle y respuesta a sus preguntas, sin coste.

El informe técnico se queda contigo. El auditor no necesita los hallazgos para comprobar que los has resuelto; para eso está la declaración.

Sobre el idioma

Informe y attestation letter se entregan en inglés (también trabajo en alemán). Muchas entidades certificadoras lo aceptan sin más; si la tuya exige la evidencia en castellano, dímelo en la scoping call y vemos si encaja.

¿Y NIS2 o DORA?

Piden lo mismo con otras palabras: evidencia reciente de pruebas de seguridad, gestión de vulnerabilidades y corrección verificada. Un test con attestation letter y declaración de retest responde a las tres.

Un matiz de fechas: a septiembre de 2026, España todavía no ha publicado en el BOE la ley que transpone NIS2, y la Comisión Europea llevó a España ante el TJUE en julio de 2026 por el retraso. Lo que hoy le llega a un proveedor SaaS no es una obligación propia, sino el cuestionario de un cliente que sí está bajo NIS2 y tiene que vigilar a sus proveedores — y ese cuestionario se responde con la attestation letter, no con el informe.