ENS (RD 311/2022) per a proveïdors del sector públic: què us exigixen
Què exigix l'Esquema Nacional de Seguretat a les empreses que donen servei a l'Administració: categories, autoavaluació, certificació i auditories.
Per Equip Pod SREPublicat el 6 min de lectura
Cada vegada més plecs de contractació pública demanen que el proveïdor estiga «conforme amb l’ENS», i no sempre queda clar què vol dir: si n’hi ha prou amb una declaració, si cal un certificat, qui l’emet i cada quant es renova. En aquest article ho expliquem a partir del text del Reial decret 311/2022 i del que publica el Centre Criptològic Nacional (CCN), amb enllaç a cada font.
En resum: el Reial decret 311/2022 regula l’Esquema Nacional de Seguretat (ENS) i s’aplica també a les empreses privades que presten serveis o proveïxen solucions a l’Administració (article 2.3). Els sistemes de categoria bàsica necessiten una autoavaluació; els de categoria mitjana o alta, una auditoria de certificació (article 38). En tots els casos hi ha una auditoria ordinària almenys cada dos anys (article 31). El certificat l’emet una entitat de certificació acreditada per ENAC.
Per què l’ENS us afecta si no sou Administració
L’ENS va nàixer per al sector públic, però l’article 2.3 del Reial decret 311/2022 l’estén als sistemes d’informació de les entitats del sector privat quan, en virtut d’un contracte, presten serveis o proveïxen solucions a les entitats del sector públic per a l’exercici de les seues competències.
Això té dues conseqüències directes:
- Necessiteu una política de seguretat (article 12), aprovada en el vostre cas per l’òrgan que tinga les màximes competències executives de l’empresa.
- Els plecs han de recollir els requisits necessaris per a assegurar la conformitat amb l’ENS dels sistemes del contractista. Per això apareix en les licitacions.
Compte: el que ha d’estar conforme és el sistema d’informació amb què presteu el servei, no l’empresa en abstracte. Definir bé l’abast és el primer pas i un dels que més faena estalvia.
Les tres categories
La categoria del sistema (article 40 i annex I) depén de l’impacte que tindria un incident que afectara cinc dimensions de la seguretat: disponibilitat, autenticitat, integritat, confidencialitat i traçabilitat. Segons aquest impacte, el sistema és de categoria bàsica, mitjana o alta. Valorar la informació i els serveis correspon als seus responsables, i determinar la categoria, al responsable de la seguretat (article 41).
De la categoria depén com es demostra la conformitat:
| Categoria | Com es demostra (art. 38) | Auditoria ordinària (art. 31) |
|---|---|---|
| Bàsica | Autoavaluació i declaració de conformitat (es pot certificar si es vol) | Almenys cada dos anys |
| Mitjana | Auditoria de certificació | Almenys cada dos anys |
| Alta | Auditoria de certificació | Almenys cada dos anys |
A més de l’ordinària, l’article 31 exigix una auditoria extraordinària sempre que hi haja modificacions substancials en els sistemes que puguen repercutir en les mesures de seguretat, i aquesta data passa a comptar per als dos anys següents.
Les declaracions i certificacions de conformitat es publiquen en el web de l’entitat (article 38.2), així que els vostres clients públics poden comprovar-les.
Qui emet el certificat
No l’emet qui us ajuda a preparar-vos. La Instrucció tècnica de seguretat de conformitat amb l’ENS, publicada el 2016, establix que les entitats certificadores han d’estar acreditades per l’Entitat Nacional d’Acreditació (ENAC) d’acord amb la norma UNE-EN ISO/IEC 17065, i el CCN remet a l’esquema d’acreditació d’ENAC en la seua pàgina d’entitats de certificació.
Nosaltres us preparem i acompanyem fins a l’auditoria. El certificat l’emet una entitat de certificació acreditada.
Com és el procés d’adequació
El CCN descriu el procés d’adequació en tres fases, que resumim així:
- Pla d’adequació. Identificar l’abast del sistema, categoritzar-lo, obtindre la Declaració d’Aplicabilitat provisional, fer l’anàlisi de riscos, validar la Declaració d’Aplicabilitat definitiva (o un perfil de compliment específic, si n’hi ha un per al vostre cas) i aprovar la política de seguretat.
- Implantació. Full de ruta amb els documents que cal redactar i les mesures tècniques que cal aplicar, marc normatiu intern i posada en marxa del sistema de gestió.
- Declaració o certificació de conformitat, segons la categoria.
En una empresa de programari, la part tècnica sol ser la que més pesa: control d’accés i autenticació, registre d’activitat, gestió de vulnerabilitats i pegats, còpies de seguretat que es restauren, configuració segura dels servidors i del clúster. Una política ben escrita no servix de molt si l’auditor demana evidències i no n’hi ha.
Errors habituals
- Categoritzar a ull. Si us quedeu curts, la conformitat no cobrirà el que demana el plec; si us passeu, l’esforç es dispara.
- Un abast massa ampli. Incloure tota l’empresa quan el servei que es presta a l’Administració és una plataforma concreta.
- Tractar-ho com un projecte de documents. Les mesures han d’estar aplicades i s’han de poder demostrar.
- Oblidar el cicle de dos anys. La conformitat no és per sempre: l’auditoria ordinària és, com a mínim, biennal.
Si també us demanen ISO 27001, hi ha molta faena compartida; ho expliquem en què canvia en ISO 27001:2022. I si us pregunten per NIS2, en què és NIS2 i a qui afecta contem el seu estat a Espanya.
En l’adequació a l’ENS i ISO 27001 expliquem les fases, els lliurables i els terminis orientatius, i en l’auditoria de fiabilitat i seguretat, com revisem la part tècnica d’una plataforma. Si teniu un plec davant i no sabeu quina categoria us toca, escriviu-nos un correu.
Preguntes freqüents
Una empresa privada pot tindre l’ENS?
Sí, quan presta serveis o proveïx solucions a entitats del sector públic. L’article 2.3 del Reial decret 311/2022 li aplica l’ENS als sistemes d’informació amb què presta aquests serveis.
Per a la categoria bàsica cal una auditoria externa?
No per a declarar la conformitat: n’hi ha prou amb una autoavaluació (article 38). Si voleu, també podeu sotmetre-vos a una auditoria de certificació, i alguns plecs poden demanar més del mínim.
Cada quant cal renovar?
L’article 31 exigix una auditoria ordinària almenys cada dos anys, i una d’extraordinària quan hi haja canvis substancials en el sistema.
Vosaltres emeteu el certificat de l’ENS?
No. Us preparem i us acompanyem fins a l’auditoria. El certificat l’emet una entitat de certificació acreditada per ENAC.
Referències
- BOE: Reial decret 311/2022, pel qual es regula l’Esquema Nacional de Seguretat: articles 2, 12, 31, 38, 40 i 41, i annex I (en castellà).
- BOE: Instrucció tècnica de seguretat de conformitat amb l’ENS: requisits de les entitats certificadores (apartat VI, en castellà).
- CCN: procés d’adequació a l’ENS (en castellà).
- CCN: entitats de certificació (en castellà).
