ENS (RD 311/2022) para proveedores del sector público: qué os exigen
Qué exige el Esquema Nacional de Seguridad a las empresas que dan servicio a la Administración: categorías, autoevaluación, certificación y auditorías.
Por Equipo Pod SREPublicado el 6 min de lectura
Cada vez más pliegos de contratación pública piden que el proveedor esté «conforme con el ENS», y no siempre queda claro qué significa: si basta con una declaración, si hace falta un certificado, quién lo emite y cada cuánto se renueva. En este artículo lo explicamos a partir del texto del Real Decreto 311/2022 y de lo que publica el Centro Criptológico Nacional (CCN), con enlace a cada fuente.
En resumen: el Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS) y se aplica también a las empresas privadas que prestan servicios o proveen soluciones a la Administración (artículo 2.3). Los sistemas de categoría básica necesitan una autoevaluación; los de categoría media o alta, una auditoría de certificación (artículo 38). En todos los casos hay una auditoría ordinaria al menos cada dos años (artículo 31). El certificado lo emite una entidad de certificación acreditada por ENAC.
Por qué el ENS os afecta si no sois Administración
El ENS nació para el sector público, pero el artículo 2.3 del Real Decreto 311/2022 lo extiende a los sistemas de información de las entidades del sector privado cuando, en virtud de un contrato, presten servicios o provean soluciones a las entidades del sector público para el ejercicio de sus competencias.
Eso tiene dos consecuencias directas:
- Necesitáis una política de seguridad (artículo 12), aprobada en vuestro caso por el órgano que tenga las máximas competencias ejecutivas de la empresa.
- Los pliegos deben recoger los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas del contratista. Por eso aparece en las licitaciones.
Ojo: lo que tiene que estar conforme es el sistema de información con el que prestáis el servicio, no la empresa en abstracto. Definir bien el alcance es el primer paso y uno de los que más trabajo ahorra.
Las tres categorías
La categoría del sistema (artículo 40 y anexo I) depende del impacto que tendría un incidente que afectara a cinco dimensiones de la seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Según ese impacto, el sistema es de categoría básica, media o alta. Valorar la información y los servicios corresponde a sus responsables, y determinar la categoría, al responsable de la seguridad (artículo 41).
De la categoría depende cómo se demuestra la conformidad:
| Categoría | Cómo se demuestra (art. 38) | Auditoría ordinaria (art. 31) |
|---|---|---|
| Básica | Autoevaluación y declaración de conformidad (puede certificarse si se quiere) | Al menos cada dos años |
| Media | Auditoría de certificación | Al menos cada dos años |
| Alta | Auditoría de certificación | Al menos cada dos años |
Además de la ordinaria, el artículo 31 exige una auditoría extraordinaria siempre que haya modificaciones sustanciales en los sistemas que puedan repercutir en las medidas de seguridad, y esa fecha pasa a contar para los dos años siguientes.
Las declaraciones y certificaciones de conformidad se publican en la web de la entidad (artículo 38.2), así que vuestros clientes públicos pueden comprobarlas.
Quién emite el certificado
No lo emite quien os ayuda a prepararos. La Instrucción Técnica de Seguridad de conformidad con el ENS, publicada en 2016, establece que las entidades certificadoras deben estar acreditadas por la Entidad Nacional de Acreditación (ENAC) conforme a la norma UNE-EN ISO/IEC 17065, y el CCN remite al esquema de acreditación de ENAC en su página de entidades de certificación.
Nosotros os preparamos y acompañamos hasta la auditoría. El certificado lo emite una entidad de certificación acreditada.
Cómo es el proceso de adecuación
El CCN describe el proceso de adecuación en tres fases, que resumimos así:
- Plan de adecuación. Identificar el alcance del sistema, categorizarlo, obtener la Declaración de Aplicabilidad provisional, hacer el análisis de riesgos, validar la Declaración de Aplicabilidad definitiva (o un perfil de cumplimiento específico, si existe uno para vuestro caso) y aprobar la política de seguridad.
- Implantación. Hoja de ruta con los documentos que hay que redactar y las medidas técnicas que hay que aplicar, marco normativo interno y puesta en marcha del sistema de gestión.
- Declaración o certificación de conformidad, según la categoría.
En una empresa de software, la parte técnica suele ser la que más pesa: control de acceso y autenticación, registro de actividad, gestión de vulnerabilidades y parches, copias de seguridad que se restauran, configuración segura de los servidores y del clúster. Una política bien escrita no sirve de mucho si el auditor pide evidencias y no las hay.
Errores habituales
- Categorizar a ojo. Si os quedáis cortos, la conformidad no cubrirá lo que pide el pliego; si os pasáis, el esfuerzo se dispara.
- Un alcance demasiado amplio. Meter toda la empresa cuando el servicio que se presta a la Administración es una plataforma concreta.
- Tratarlo como un proyecto de documentos. Las medidas tienen que estar aplicadas y poder demostrarse.
- Olvidar el ciclo de dos años. La conformidad no es para siempre: la auditoría ordinaria es, como mínimo, bienal.
Si también os piden ISO 27001, hay mucho trabajo compartido; lo explicamos en qué cambia en ISO 27001:2022. Y si os preguntan por NIS2, en qué es NIS2 y a quién afecta contamos su estado en España.
En la adecuación al ENS e ISO 27001 explicamos las fases, los entregables y los plazos orientativos, y en la auditoría de fiabilidad y seguridad, cómo revisamos la parte técnica de una plataforma. Si tenéis un pliego delante y no sabéis qué categoría os toca, escribidnos un email.
Preguntas frecuentes
¿Una empresa privada puede tener el ENS?
Sí, cuando presta servicios o provee soluciones a entidades del sector público. El artículo 2.3 del Real Decreto 311/2022 le aplica el ENS a los sistemas de información con los que presta esos servicios.
¿Para la categoría básica hace falta auditoría externa?
No para declarar la conformidad: basta una autoevaluación (artículo 38). Si queréis, podéis someteros también a una auditoría de certificación, y algunos pliegos pueden pedir más de lo mínimo.
¿Cada cuánto hay que renovar?
El artículo 31 exige una auditoría ordinaria al menos cada dos años, y una extraordinaria cuando haya cambios sustanciales en el sistema.
¿Vosotros emitís el certificado del ENS?
No. Os preparamos y os acompañamos hasta la auditoría. El certificado lo emite una entidad de certificación acreditada por ENAC.
Referencias
- BOE: Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad: artículos 2, 12, 31, 38, 40 y 41, y anexo I.
- BOE: Instrucción Técnica de Seguridad de conformidad con el ENS: requisitos de las entidades certificadoras (apartado VI).
- CCN: proceso de adecuación al ENS.
- CCN: entidades de certificación.
