El ENS está regulado por el Real Decreto 311/2022, de 3 de mayo, que sustituyó al Real Decreto 3/2010 para poner el esquema al día. Establece principios básicos, requisitos mínimos y medidas de seguridad para los sistemas de información con los que se prestan servicios públicos, desde ayuntamientos y ministerios hasta las plataformas en la nube y el software en los que se apoyan.
Para las empresas privadas, el ENS es tanto una cuestión comercial como legal: los pliegos pueden exigir una declaración o una certificación de conformidad según la categoría del sistema. Bien hecha, la adecuación al ENS te deja además un modelo de seguridad maduro y auditable que refuerza todo lo demás.
A quién se aplica
Entidades del sector público
Administraciones y organismos públicos estatales, autonómicos y locales, incluidas las universidades públicas.
Proveedores privados del sector público
Empresas que prestan servicios o soluciones a entidades públicas, cuyos pliegos deben incluir los requisitos del ENS que correspondan.
Su cadena de suministro
Subcontratistas de esos proveedores, cuando el análisis de riesgos determine que también deben cumplir.
Proveedores de nube y de seguridad
Los servicios en la nube que usa el sector público deben ser conformes con el ENS, y los productos y servicios de seguridad se eligen, siempre que sea posible, del catálogo CPSTIC del CCN.
Obligaciones clave
Categorización de sistemas
Cada sistema se valora en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. El nivel más alto alcanzado fija la categoría: básica, media o alta.
Política de seguridad y roles
Una política de seguridad aprobada formalmente y cuatro responsables definidos: de la información, del servicio, de la seguridad y del sistema, con el de seguridad distinto del de sistema.
Análisis de riesgos y declaración de aplicabilidad
Las medidas del anexo II, agrupadas en marco organizativo, marco operacional y medidas de protección, se seleccionan según la categoría y el riesgo, con refuerzos o medidas compensatorias documentadas.
Gestión y notificación de incidentes
Las entidades públicas notifican al CCN-CERT los incidentes con impacto significativo; los proveedores privados lo hacen a través del INCIBE-CERT, que los traslada al CCN-CERT.
Auditoría y conformidad
Los sistemas de categoría básica requieren una autoevaluación para su declaración de conformidad. Los de categoría media y alta, una auditoría y una certificación de conformidad, con auditorías ordinarias al menos cada dos años.
Cómo te ayudamos
Diagnóstico y categorización
Definimos el alcance, categorizamos tus sistemas siguiendo las guías CCN-STIC y medimos la distancia con las medidas aplicables.
Plan de adecuación
Declaración de aplicabilidad, hoja de ruta priorizada y la estructura de política y roles que exige el ENS, lista para su aprobación.
Implantación
Procedimientos, registro de actividad y monitorización, bastionado, identidad y acceso, copias de seguridad y gestión de incidentes, con el respaldo de nuestro SOC 24/7 cuando necesites vigilancia continua.
Auditoría y renovación
Preparamos tu auditoría con la entidad de certificación acreditada que elijas, te ayudamos a resolver los hallazgos y mantenemos el sistema listo para cada renovación.
Señales de que debes actuar
- Quieres presentarte a una licitación pública que exige la certificación del ENS.
- Un cliente del sector público te ha pedido tu declaración o certificación de conformidad.
- Estás llevando a la nube servicios que usan organismos públicos.
- Tu certificado se acerca a la renovación y la última auditoría dejó hallazgos abiertos.
- Ya tienes la ISO 27001 y quieres aprovechar ese trabajo para el ENS.
Preguntas frecuentes
¿Una empresa privada tiene que cumplir el ENS?
Sí, cuando presta servicios o soluciones a entidades del sector público incluidas en el ENS. Los pliegos de las licitaciones recogen el requisito.
¿Qué diferencia hay entre las categorías básica, media y alta?
La categoría refleja el impacto que tendría un incidente de seguridad sobre la información o los servicios que maneja el sistema. Determina qué medidas se aplican y si basta una autoevaluación o hace falta una auditoría de certificación.
¿Quién emite la certificación del ENS?
Las entidades de certificación acreditadas por ENAC para el ENS, cuya relación publica el Centro Criptológico Nacional (CCN). ZERYON no certifica: te preparamos y te acompañamos durante la auditoría.
¿Cuánto dura la certificación del ENS?
Por lo general, hasta dos años; después hace falta una nueva auditoría. Los cambios sustanciales en el sistema también obligan a una auditoría extraordinaria.
Si tengo la ISO 27001, ¿ya cumplo el ENS?
No automáticamente. Puedes reutilizar buena parte del SGSI, pero el ENS añade la categorización de sistemas, medidas y refuerzos específicos, roles definidos y las guías CCN-STIC, como la CCN-STIC 809 sobre conformidad.