Esquema Nacional De Seguridad: Qué Es y A Quién Obliga
Muchas empresas descubren el Esquema Nacional de Seguridad de la peor manera: leyendo los pliegos de una licitación pública en la que quieren participar y encontrándose con que se les exige estar conformes. A partir de ahí llegan las preguntas de golpe, y casi siempre con el plazo encima.
Este artículo aclara qué es exactamente, quién está obligado a cumplirlo —que es la duda que más confusión genera—, cómo se determina la categoría de un sistema y qué diferencia hay entre declarar y certificar la conformidad.
Qué es el ENS
El Esquema Nacional de Seguridad es el marco normativo que establece los requisitos de seguridad que deben cumplir los sistemas de información del sector público español. Está regulado por el Real Decreto 311/2022, de 3 de mayo, que sustituyó al anterior texto de 2010 y actualizó el marco a las amenazas y tecnologías actuales.
Su finalidad es garantizar que la información y los servicios que maneja la administración cuentan con un nivel de protección proporcional al riesgo. No es una recomendación ni una buena práctica: es una obligación legal con régimen de auditoría.
A quién obliga realmente
Aquí está el punto que más empresas pasan por alto. El ENS no obliga solo a la administración pública: obliga también a las empresas privadas que le prestan servicios.
Dicho de forma directa: si tu empresa trata, almacena o accede a información del sector público español, o presta un servicio que forma parte de un sistema de información de una administración, entras en el ámbito de aplicación. Da igual que seas una pyme, y da igual que estés fuera de España: el criterio es la información que manejas, no tu tamaño ni tu domicilio.
En la práctica, esto alcanza a un abanico muy amplio de proveedores:
- Empresas de desarrollo de software que mantienen aplicaciones de un ayuntamiento o una consejería.
- Proveedores de hosting, cloud o centros de datos que alojan sistemas públicos.
- Consultoras y empresas de servicios gestionados de IT con contratos en el sector público.
- Empresas de digitalización documental, gestión de expedientes o atención ciudadana.
- Cualquier subcontratista dentro de la cadena de suministro de un contrato público.
Por eso el ENS aparece cada vez con más frecuencia como requisito en los pliegos de contratación. Sin conformidad acreditada, la empresa queda fuera del concurso.
Las tres categorías: básica, media y alta
El ENS no aplica el mismo nivel de exigencia a todos los sistemas. Los clasifica en tres categorías según el impacto que tendría un incidente de seguridad:
- Básica. Un incidente causaría un perjuicio limitado: daños reparables, sin afectar de forma grave a los derechos de las personas ni al funcionamiento de la organización.
- Media. El perjuicio sería grave, con dificultades apreciables para recuperar la situación y un impacto significativo en las funciones del organismo.
- Alta. El perjuicio sería muy grave, con daños difícilmente reparables y afectación seria a derechos fundamentales o a funciones esenciales.
La categoría no la elige la empresa: se deduce del análisis del sistema, y determina cuántas y cuáles de las medidas de seguridad del anexo del Real Decreto hay que implantar. La diferencia de esfuerzo entre una categoría básica y una alta es considerable.
Cómo se determina la categoría
La categorización se hace valorando el impacto sobre cinco dimensiones de seguridad, cada una en nivel bajo, medio o alto:
- Confidencialidad. Qué pasaría si la información se revelase a quien no debe.
- Integridad. Qué pasaría si la información se alterase sin autorización.
- Disponibilidad. Qué pasaría si el servicio dejase de estar accesible.
- Autenticidad. Qué pasaría si no se pudiera garantizar quién ha hecho qué.
- Trazabilidad. Qué pasaría si no quedase registro de las actuaciones realizadas.
La categoría del sistema es la del nivel más alto alcanzado en cualquiera de las cinco dimensiones. Basta con que una sola dimensión sea alta para que todo el sistema pase a categoría alta, y con ella se disparen los requisitos. Por eso la fase de categorización merece dedicación: hacerla a la ligera y por exceso encarece el proyecto sin necesidad, y hacerla por defecto invalida el resultado.
Declaración o certificación de conformidad
Existen dos vías para acreditar el cumplimiento, y la que corresponde depende de la categoría:
Declaración de conformidad
Es una autodeclaración de la propia organización. Solo es válida para sistemas de categoría básica. Es el camino más ligero, pero su alcance está limitado a esa categoría.
Certificación de conformidad
La emite una entidad de certificación acreditada tras una auditoría formal. Es obligatoria para las categorías media y alta, y es válida para las tres. Muchas empresas optan directamente por ella incluso en categoría básica, porque es la que se acepta sin discusión en cualquier pliego y evita tener que repetir el proceso si el alcance crece.
Un matiz práctico que conviene tener claro desde el principio: la conformidad se refiere a un sistema y a un alcance concretos, no a la empresa en abstracto. Definir bien ese alcance al inicio determina el coste y la duración de todo el proyecto.
Auditorías y mantenimiento
La conformidad no es un sello que se obtiene y se olvida. Los sistemas de categoría media y alta deben someterse a una auditoría al menos cada dos años, además de auditorías extraordinarias cuando se produzcan modificaciones sustanciales en el sistema.
Entre auditorías hay obligaciones continuas: mantener actualizado el análisis de riesgos, gestionar los incidentes conforme al procedimiento establecido, revisar los perfiles de acceso, aplicar la gestión de vulnerabilidades y mantener la documentación viva. Es un ciclo de mejora continua, no un proyecto con fecha de cierre.
ENS e ISO 27001: no son lo mismo
Es una confusión habitual y conviene deshacerla. Ambos son marcos de seguridad de la información, pero no son intercambiables.
La ISO 27001 es una norma internacional, voluntaria, que certifica un sistema de gestión de la seguridad de la información. Cada organización define su propio alcance y sus propios controles a partir del análisis de riesgos. El ENS, en cambio, es normativa española de obligado cumplimiento, con un catálogo de medidas concretas y tasadas según la categoría del sistema.
La buena noticia es que se solapan bastante. Una organización que ya tenga implantada la ISO 27001 parte con mucho camino recorrido: políticas, análisis de riesgos, gestión de incidentes y control de accesos ya están cubiertos en buena medida. Pero tener una no otorga automáticamente la otra: hay que hacer el trabajo específico de mapeo y cubrir las medidas del ENS que la ISO no exige.
Por dónde empezar
Un proyecto de adecuación al ENS sigue siempre una secuencia parecida:
- Delimitar el alcance: qué sistemas y qué servicios entran.
- Categorizar el sistema valorando las cinco dimensiones de seguridad.
- Realizar el análisis de riesgos.
- Hacer un análisis diferencial entre las medidas exigidas por la categoría y lo que ya está implantado.
- Elaborar y ejecutar el plan de adecuación para cerrar las brechas detectadas.
- Documentar: política de seguridad, declaración de aplicabilidad y procedimientos.
- Auditoría de certificación con entidad acreditada.
- Mantenimiento y auditorías periódicas.
El error más frecuente es empezar por el final, comprando herramientas antes de haber categorizado el sistema. La categoría determina qué medidas son exigibles, y sin ese paso se acaba invirtiendo en controles que no tocaban mientras quedan sin cubrir los que sí.
Cada infraestructura tiene su propio punto de partida y sus propias restricciones. Si quieres valorar cómo aplicar esto en tu organización, escríbenos y lo revisamos sobre tu caso concreto.