ENS: qué es el Esquema Nacional de Seguridad y cómo prepararse para la certificación

Qué es el ENS

El Esquema Nacional de Seguridad es el marco normativo español que establece la política de seguridad en la utilización de medios electrónicos por parte del sector público. Su versión vigente está regulada por el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022, que sustituyó al antiguo Real Decreto 3/2010.

El objetivo del ENS es que los sistemas que tratan información pública o prestan servicios públicos protejan adecuadamente la confidencialidad, la integridad, la disponibilidad, la autenticidad y la trazabilidad de la información. Para ello combina principios básicos, requisitos mínimos y un catálogo de medidas de seguridad que se aplican de forma proporcional al riesgo de cada sistema.

El Centro Criptológico Nacional (CCN) es el organismo que desarrolla y mantiene la guía técnica del ENS, principalmente a través de la serie de guías CCN-STIC 800.

A quién obliga el Esquema Nacional de Seguridad

El ENS es de obligado cumplimiento para todo el sector público tal como lo define la Ley 40/2015: Administración General del Estado, comunidades autónomas, entidades locales, organismos públicos, universidades públicas y demás entidades de derecho público.

También alcanza a las entidades del sector privado cuando presten servicios o provean soluciones al sector público para el ejercicio de sus competencias y potestades administrativas. En la práctica, esto incluye a proveedores de servicios en la nube, desarrolladores de software para administraciones, empresas de mantenimiento de sistemas, centros de proceso de datos o servicios gestionados de seguridad, entre otros.

Para estas empresas, la conformidad con el ENS suele aparecer como requisito en los pliegos de contratación pública. Por eso, más allá de la obligación legal, tener el ENS en orden se ha convertido en una condición para poder competir en licitaciones.

Categorías del sistema: BÁSICA, MEDIA y ALTA

El ENS no exige lo mismo a todos los sistemas. Primero hay que valorar qué impacto tendría un incidente de seguridad sobre cada una de las cinco dimensiones de seguridad (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad) de la información y de los servicios. Cada dimensión se valora con un nivel BAJO, MEDIO o ALTO.

A partir de esa valoración se determina la categoría del sistema, siguiendo el Anexo I del Real Decreto 311/2022. De forma simplificada, la categoría viene marcada por el nivel más alto obtenido en cualquiera de las dimensiones:

• Categoría BÁSICA: ninguna dimensión supera el nivel BAJO.
• Categoría MEDIA: alguna dimensión alcanza el nivel MEDIO y ninguna el ALTO.
• Categoría ALTA: alguna dimensión alcanza el nivel ALTO.

Las medidas de seguridad del Anexo II

Una vez conocida la categoría, el Anexo II del Real Decreto indica qué medidas se deben aplicar y con qué grado de exigencia. Las medidas se agrupan en tres bloques:

• Marco organizativo: política de seguridad, normativa, procedimientos y proceso de autorización.
• Marco operacional: planificación, control de acceso, explotación, recursos externos, servicios en la nube, continuidad del servicio y monitorización del sistema.
• Medidas de protección: instalaciones, gestión del personal, equipos, comunicaciones, soportes de información, aplicaciones, información y servicios.
• Documento de aplicabilidad: relación de las medidas que se aplican al sistema, con la justificación de las que no proceden o se sustituyen por medidas compensatorias.

Certificación ENS: autoevaluación o auditoría

El artículo 38 del Real Decreto 311/2022 regula cómo se acredita la conformidad, y la vía depende de la categoría del sistema. Para los sistemas de categoría BÁSICA basta con una autoevaluación que da lugar a una declaración de conformidad, aunque la organización puede optar voluntariamente por la certificación.

Los sistemas de categoría MEDIA o ALTA requieren una auditoría formal que concluye con una certificación de conformidad. Esta certificación la emiten entidades de certificación acreditadas por la Entidad Nacional de Acreditación (ENAC) para certificar sistemas conforme al ENS.

El artículo 31 establece que los sistemas deben someterse a una auditoría regular ordinaria al menos cada dos años, y a una auditoría extraordinaria cuando se produzcan modificaciones sustanciales que puedan afectar a las medidas de seguridad. Las guías CCN-STIC 802 (auditoría), 808 (verificación del cumplimiento) y 809 (declaración y certificación de conformidad) desarrollan estos procesos; conviene consultar siempre la versión vigente en la web del CCN.

Un paso previo habitual es realizar un análisis de brecha interno: comprobar qué medidas del Anexo II ya existen, cuáles faltan y qué evidencias documentales hay. Así se llega a la auditoría sabiendo dónde están los puntos débiles.

ENS e ISO/IEC 27001: en qué coinciden y en qué se diferencian

Muchas organizaciones que se preparan para el ENS ya tienen o están implantando ISO/IEC 27001, la norma internacional de sistemas de gestión de seguridad de la información. Ambas comparten un enfoque basado en el riesgo, la mejora continua y un conjunto de controles que en buena parte se solapan: control de accesos, gestión de proveedores, copias de seguridad, gestión de incidentes, formación del personal o seguridad física, entre otros. El CCN publica guías de correspondencia entre ambos marcos, como la CCN-STIC 825.

Sin embargo, no son intercambiables. El ENS es una obligación legal española con su propia metodología de categorización, su catálogo de medidas y requisitos específicos (por ejemplo, sobre productos de seguridad cualificados o servicios en la nube), mientras que ISO/IEC 27001 es una norma voluntaria de alcance internacional. Un certificado ISO 27001 no sustituye la conformidad con el ENS, pero sí facilita mucho el camino: gran parte de la documentación, de los procesos y de las evidencias se puede reutilizar.

• Lo que se reaprovecha: análisis de riesgos, políticas, inventario de activos, gestión de incidentes, continuidad y relación con proveedores.
• Lo que hay que añadir: valoración de dimensiones y categoría del sistema, Declaración de Aplicabilidad según el Anexo II y requisitos específicos del ENS y de las guías CCN-STIC.

Cómo empezar: pasos prácticos

Si tu organización necesita cumplir el ENS o quiere prepararse antes de que se lo pidan en una licitación, un orden razonable de trabajo es el siguiente:

• Definir el alcance: qué sistemas y servicios prestan soporte al sector público.
• Valorar la información y los servicios en las cinco dimensiones y determinar la categoría.
• Designar roles: responsable de la información, del servicio, de la seguridad y del sistema.
• Realizar un análisis de riesgos y un análisis de brecha frente a las medidas del Anexo II.
• Elaborar la política de seguridad, la normativa y la Declaración de Aplicabilidad.
• Implantar las medidas pendientes y reunir evidencias.
• Hacer la autoevaluación (BÁSICA) o planificar la auditoría con una entidad acreditada (MEDIA o ALTA).

Un punto de partida gratuito

Como el ENS y la norma ISO/IEC 27001 comparten una base común, medir tu madurez frente a ISO 27001 es una buena forma de saber de dónde partes. La autoevaluación gratuita de baltum.ai te lleva entre 10 y 15 minutos y te devuelve una puntuación de preparación, un informe de brechas y recomendaciones generadas con IA para priorizar el trabajo. No sustituye la auditoría ni la certificación ENS, pero te ayuda a llegar a ellas con una idea clara de qué falta.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.