Qué es el ENS y qué empresas tienen que cumplirlo

Cada vez más pymes se encuentran con las siglas ENS en un contrato o en los pliegos de una licitación pública. El Esquema Nacional de Seguridad no es solo cosa de la Administración: también afecta a las empresas que le prestan servicios. En este artículo explicamos qué es, a quién se aplica y qué supone en la práctica.

Qué es el Esquema Nacional de Seguridad

El ENS está regulado por el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022, que sustituyó al anterior Real Decreto 3/2010. Establece los principios básicos y los requisitos mínimos para proteger adecuadamente la información que se trata y los servicios que se prestan, y los concreta en un catálogo de medidas de seguridad recogidas en su anexo II.

No es una norma técnica voluntaria como las normas ISO, sino una obligación legal para quienes están en su ámbito de aplicación.

A quién se aplica

Según el artículo 2 del Real Decreto 311/2022:

• Al sector público, en los términos del artículo 2 de la Ley 40/2015, de Régimen Jurídico del Sector Público.
• A las empresas privadas que, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio de sus competencias y potestades administrativas. En ese caso, el ENS se aplica a los sistemas de información de esas empresas, que deben contar además con una política de seguridad aprobada por su órgano de máximas competencias ejecutivas.

El mismo artículo dispone que los pliegos de los contratos del sector público incluirán los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en que se apoyan los servicios del contratista, como la presentación de la declaración o la certificación de conformidad. Y que esta cautela se extenderá a la cadena de suministro del contratista en la medida necesaria según el análisis de riesgos.

Ejemplos de empresas a las que les puede afectar: una empresa que aloja o mantiene la web de un ayuntamiento, la que desarrolla una aplicación de gestión para una consejería, un proveedor de servicios en la nube para un organismo público o una empresa subcontratada por cualquiera de ellas. Si tu empresa solo vende a otras empresas privadas que no trabajan para el sector público, en principio el ENS no se le aplica, aunque sus medidas pueden servir como buena referencia.

Lo determinante es qué servicio prestas, a quién, qué sistemas intervienen y qué se exige en tu contrato.

Las categorías BÁSICA, MEDIA y ALTA

El ENS no exige lo mismo a todos los sistemas. Según el artículo 40 y el anexo I, la categoría de un sistema se determina valorando el impacto que tendría un incidente sobre cinco dimensiones de la seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.

Cada dimensión se valora con un nivel BAJO, MEDIO o ALTO, según si el perjuicio sería limitado, grave o muy grave. La categoría del sistema es la que corresponde al nivel más alto de cualquiera de sus dimensiones:

• BÁSICA: ninguna dimensión pasa del nivel BAJO.
• MEDIA: alguna dimensión alcanza el nivel MEDIO y ninguna el ALTO.
• ALTA: alguna dimensión alcanza el nivel ALTO.

Cuanto más alta es la categoría, más medidas del anexo II se aplican y más exigentes son. Las medidas seleccionadas se recogen en un documento llamado declaración de aplicabilidad, firmado por el responsable de la seguridad (artículo 28).

Declaración o certificación de conformidad

El artículo 38 establece cómo se acredita que un sistema cumple el ENS, y depende de su categoría:

• Categoría BÁSICA: basta una autoevaluación para emitir la declaración de conformidad, aunque el sistema también puede someterse a una auditoría de certificación.
• Categorías MEDIA y ALTA: se necesita una auditoría para obtener la certificación de conformidad.

Los procedimientos se desarrollan en la Instrucción Técnica de Seguridad de conformidad con el ENS. Según las preguntas frecuentes del Centro Criptológico Nacional (CCN), las certificaciones las emiten entidades de certificación acreditadas por la Entidad Nacional de Acreditación (ENAC), y esa instrucción está en revisión para adaptarla al Real Decreto 311/2022.

Dos detalles que conviene conocer:

• Se certifican sistemas, no empresas en general. La certificación cubre los sistemas de información y los servicios que figuran en su alcance.
• No es para siempre. El artículo 31 exige una auditoría regular ordinaria al menos cada dos años, y una extraordinaria cuando haya cambios sustanciales en el sistema que puedan afectar a las medidas de seguridad. En categoría BÁSICA, según el anexo III, basta una autoevaluación.

La conformidad se hace pública mediante un distintivo, que se publica en la web y enlaza a la declaración o al certificado.

Qué papel tiene el CCN

El Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia, desarrolla el ENS en la práctica: publica las guías de la serie CCN-STIC, articula la respuesta a incidentes a través del CCN-CERT y recoge información sobre el estado de la seguridad en el sector público. Sus guías son la referencia técnica habitual para aplicar las medidas.

Cómo saber si te lo van a pedir

• Lee los pliegos de las licitaciones a las que te presentas: el requisito suele aparecer en el pliego de prescripciones técnicas, con la categoría exigida.
• Pregunta a tus clientes que trabajan para el sector público si su contrato les obliga a exigir el ENS a sus proveedores.
• Revisa tus contratos en vigor con entidades públicas: algunos incluyen el requisito aunque nadie lo haya reclamado todavía.

Qué supone adecuarse, paso a paso

1. Delimitar el alcance: qué sistemas y servicios prestan apoyo al contrato con el sector público.
2. Categorizar el sistema valorando las cinco dimensiones.
3. Analizar los riesgos y decidir cómo tratarlos.
4. Organizar la seguridad: aprobar la política de seguridad y designar a los responsables que prevé el artículo 13 (de la información, del servicio, de la seguridad y del sistema), teniendo en cuenta que el responsable de la seguridad debe ser distinto del responsable del sistema.
5. Aplicar las medidas del anexo II que correspondan y documentarlas en la declaración de aplicabilidad.
6. Reunir evidencias de que cada medida se aplica de verdad.
7. Autoevaluación o auditoría, según la categoría, y publicación del distintivo.

Errores frecuentes

• Esperar a la licitación. Adecuar un sistema lleva tiempo y suele ser difícil hacerlo en los plazos de un concurso.
• Pensar que la ISO 27001 equivale al ENS. Tienen mucho en común, pero son marcos distintos y el ENS tiene su propio procedimiento de conformidad.
• Documentos que no reflejan la realidad. Una política copiada que nadie aplica no supera una auditoría.
• Olvidar a los proveedores. Si parte del servicio lo presta un tercero, la exigencia puede extenderse a la cadena de suministro.

Cómo te ayuda XEVIA

XEVIA no es una entidad certificadora ni emite certificaciones. Lo que hacemos es acompañar a tu empresa en la adecuación al ENS y en la preparación de la auditoría: alcance, categorización, análisis de riesgos, documentación, medidas técnicas y evidencias. Lo explicamos con detalle en nuestra página de adecuación al Esquema Nacional de Seguridad.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.