Adecuación al Esquema Nacional de Seguridad para empresas

ENS para proveedores de la Administración: qué es, a quién obliga y cómo se acredita

El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, fija los principios y requisitos de seguridad de los sistemas de información del sector público. Su artículo 2 lo extiende a las entidades del sector privado que prestan servicios o soluciones a la Administración: si alojáis datos de un ayuntamiento, desarrolláis su aplicación, mantenéis sus equipos o le dais un servicio en la nube, lo normal es que el pliego o el contrato os pida acreditar la conformidad con el ENS.

Categoría del sistema: básica, media o alta

Lo primero es delimitar qué sistema y qué servicios entran en el alcance y valorar el impacto que tendría un incidente en cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. De esa valoración sale la categoría del sistema, básica, media o alta, y de la categoría dependen las medidas que hay que aplicar y la forma de acreditarlo.

Declaración o certificación

Según el artículo 38, los sistemas de categoría básica pueden acreditar el cumplimiento con una autoevaluación y una declaración de conformidad. Los de categoría media y alta necesitan una auditoría de certificación realizada por una entidad de certificación acreditada. En ambos casos la declaración o el certificado deben publicarse en la web o sede de la entidad, y el sistema debe auditarse al menos cada dos años o cuando haya cambios sustanciales.

Conviene dejarlo claro: nosotros no certificamos el ENS. Preparamos vuestro sistema, la documentación y las evidencias, os acompañamos durante la auditoría y ayudamos a cerrar las no conformidades. La certificación la emite la entidad acreditada que elijáis.

Qué medidas hay que implantar

El anexo II del real decreto organiza las medidas en tres bloques:

• Marco organizativo. Política de seguridad, normativa interna, procedimientos y proceso de autorización.
• Marco operacional. Análisis de riesgos, arquitectura de seguridad, control de acceso, explotación, gestión de incidentes, proveedores externos, continuidad y monitorización.
• Medidas de protección. Instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios.

Muchas de esas medidas son técnicas: autenticación robusta, registros de actividad con trazabilidad, copias de seguridad, cifrado, protección frente a código dañino, segmentación de la red y gestión de parches. Ahí es donde más aportamos, porque las implantamos y operamos nosotros: EDR gestionado, firewall perimetral, VPN, copias inmutables y monitorización 24/7.

Documentación y roles

El ENS exige también una política de seguridad aprobada por la dirección, la asignación de responsables (de la información, del servicio, de la seguridad y del sistema), la declaración de aplicabilidad con las medidas que aplican y su justificación, y registros que demuestren que las medidas funcionan. Os dejamos la estructura documental preparada y adaptada a vuestro tamaño, sin documentos de relleno.

Si alojáis el servicio con nosotros

Nuestra infraestructura está en un centro de datos en Bilbao certificado en ISO 27001 y ENS. Eso facilita la parte física y de alojamiento, pero no sustituye a vuestra propia adecuación: el alcance de vuestra certificación es vuestro sistema y vuestros procesos. Podéis consultar nuestra documentación de seguridad en el centro de confianza y ver cómo trabajamos con organismos y proveedores públicos en sector público.