Revisado el · NIS2: no se cita el procedimiento de infracción por proceder de fuentes secundarias · 3 fuentes oficiales enlazadas
El ENS (RD 311/2022) incluye la medida mp.si.5 de borrado y destrucción de soportes electrónicos y no electrónicos y alcanza también a proveedores privados de entidades públicas. NIS2 aún no está transpuesta en España (hay un anteproyecto de enero de 2025).
Esquema Nacional de Seguridad (RD 311/2022)
El ENS fija los requisitos de seguridad del sector público. Su medida mp.si.5 «Borrado y destrucción» se aplica a todo equipo o soporte que pueda almacenar información, incluidos los medios electrónicos y no electrónicos (el papel está incluido).
- Los soportes que se reutilicen o se entreguen a otra organización deben borrarse de forma segura, de modo que no pueda recuperarse la información; si no es posible, no se reutilizan.
- En niveles medio y alto se añade el refuerzo R1: usar productos o servicios conformes a la medida [op.pl.5] (componentes certificados).
- Las guías CCN-STIC precisan los criterios de borrado o destrucción.
El RD 311/2022 fue modificado por el RD 1125/2024 (disposición adicional 2.ª sobre instrucciones técnicas y guías CCN-STIC).
A quién se aplica
A todo el sector público (art. 2.1) y a entidades privadas que presten servicios o provean soluciones a entidades públicas por relación contractual (art. 2.3). La LOPDGDD (disposición adicional 1.ª) refuerza que, cuando un tercero presta el servicio, las medidas se ajustan al ENS. Una empresa de destrucción que trabaje para una Administración puede estar sujeta a él.
NIS2 en España
La Directiva (UE) 2022/2555 (NIS2) exige gestionar los riesgos de ciberseguridad, incluida la cadena de suministro. Su plazo de transposición terminó el 17/10/2024. España no la ha transpuesto a octubre de 2026; el Consejo de Ministros aprobó el 14/01/2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. NIS2 no regula específicamente la destrucción de papel.
Qué hacer si trabajas con administraciones
- Lee el pliego o el contrato: puede exigir cumplimiento del ENS o criterios CCN-STIC.
- Pide a tu proveedor que explique cómo cumple la medida mp.si.5.
- Conserva los certificados de destrucción como evidencia.
Preguntas frecuentes
¿Qué dice el ENS sobre destruir soportes?
La medida mp.si.5 «Borrado y destrucción» del Esquema Nacional de Seguridad (RD 311/2022) obliga a borrar de forma segura los soportes que se reutilizan o se liberan a otra organización; la medida abarca tanto soportes electrónicos como no electrónicos (incluido el papel).
¿Se aplica el ENS a una empresa privada de destrucción?
Puede aplicarse: el ENS alcanza a las entidades privadas que prestan servicios o proveen soluciones a entidades públicas por relación contractual (art. 2.3). Si trabajas para una Administración, comprueba qué exige tu contrato.
¿Está en vigor NIS2 en España?
No como ley nacional. El plazo de transposición europeo terminó el 17 de octubre de 2024 y, a octubre de 2026, España no la ha transpuesto; existe un anteproyecto aprobado por el Consejo de Ministros el 14 de enero de 2025.
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.