Adequació a l'Esquema Nacional de Seguretat (ENS) i ISO 27001, amb preparació per a NIS2

Treballem l’ENS en categories bàsica i mitjana.

Us preparem i acompanyem fins a l’auditoria. El certificat l’emet una entitat de certificació acreditada i independent. Què demanen les administracions als seus proveïdors ho expliquem en la guia de l’ENS per a proveïdors del sector públic.

En l’ENS, la categoria del sistema decidix com es demostra la conformitat (Reial decret 311/2022, articles 31 i 38):

• Categoria bàsica: n’hi ha prou amb una autoavaluació per a la declaració de conformitat, encara que també podeu passar una auditoria de certificació.
• Categories mitjana i alta: cal una auditoria de certificació.
• En tots els casos, auditoria ordinària almenys cada dos anys, i extraordinària si canvien de manera substancial els sistemes.

L’auditoria de certificació la factura directament l’entitat de certificació i no està inclosa en els nostres preus.

Les entitats que certifiquen la conformitat amb l’ENS han d’estar acreditades per l’Entitat Nacional d’Acreditació (ENAC), segons la Instrucció Tècnica de Seguretat de conformitat amb l’ENS, apartat VI.1. En ISO 27001, el certificat l’emet igualment una entitat de certificació acreditada.

Implantem el sistema de gestió de seguretat de la informació (SGSI) que demana la norma ISO/IEC 27001:2022 i us deixem preparats per a l’auditoria de certificació:

Termini orientatiu: de 3 a 6 mesos per a organitzacions de 10 a 50 persones. Depén de l’abast, del que ja tingueu fet i de la vostra disponibilitat, així que no el garantim. El pressupost va segons l’abast i us el donem per escrit després de l’anàlisi de mancances. El certificat l’emet una entitat de certificació acreditada: nosaltres us preparem i us acompanyem, no certifiquem.

Sol compensar. Moltes mesures de l’Annex II de l’ENS tenen el seu equivalent en l’Annex A d’ISO 27001:2022: control d’accessos, còpies, registre d’activitat, gestió d’incidents, continuïtat. Fem una única anàlisi de mancances i una única documentació que servix per als dos marcs, i assenyalem el que és propi de cada un. Què va canviar en la versió de 2022 de la norma està en ISO 27001:2022: què canvia respecte a la de 2013.

Si abans voleu saber en quin punt tècnic està la vostra plataforma, l’auditoria de fiabilitat i seguretat revisa accessos, còpies, desplegaments i exposició, i les seues evidències s’aprofiten en l’adequació.

La Directiva (UE) 2022/2555, coneguda com a NIS2, exigix a les entitats de díhuit sectors crítics mesures de gestió de riscos de ciberseguretat (article 21) i la notificació d’incidents (article 23).

A Espanya encara no és llei. A 2 de novembre de 2026, l’avantprojecte de llei que la transposa, aprovat pel Consell de Ministres el 14 de gener de 2025, no ha acabat la seua tramitació, i amb les Corts dissoltes pel Reial decret 806/2026 (eleccions el 29 de novembre de 2026) l’haurà de reprendre el nou Parlament. Fins aleshores, continua en vigor el Reial decret llei 12/2018. El 8 de juliol de 2026 la Comissió Europea va portar Espanya davant del Tribunal de Justícia de la Unió Europea per no haver-la transposada.

Mentrestant, us ajudem a preparar-vos: revisem les vostres mesures davant de les que demana l’article 21, preparem el procediment de notificació d’incidents i aprofitem el que ja cobrixen l’ENS o ISO 27001. Quan s’aprove la llei espanyola, revisem el pla amb el text definitiu. A qui afecta i en quin punt està, en la guia NIS2: què és i a qui afecta.

Hem auditat infraestructures d’altres empreses i, des de la direcció tècnica, com a CTO i en direcció de sistemes, hem sigut responsables de la seguretat i la disponibilitat de plataformes en producció. Per això els canvis tècnics els fem nosaltres mateixos en els vostres sistemes, i la documentació descriu el que de veritat funciona, no sols el que demana la norma.