Real Decreto 311/2022
Adecuación al Esquema Nacional de Seguridad (ENS)
Preparamos a ayuntamientos, diputaciones, universidades, fundaciones públicas y empresas proveedoras para cumplir el ENS y superar la auditoría de certificación. Lo hacemos desde la experiencia de una empresa que desarrolla software para la Administración y que está certificada en el ENS categoría MEDIA.
- Certificados ENS categoría MEDIA
- ISO/IEC 27001
Marco normativo
Qué es el Esquema Nacional de Seguridad
El Esquema Nacional de Seguridad (ENS) es el marco de seguridad de la información obligatorio para el sector público español. Lo regula el Real Decreto 311/2022, que sustituyó al de 2010 y fijó un plazo de veinticuatro meses para adaptar los sistemas existentes, ya cumplido.
Establece unos principios básicos, unos requisitos mínimos y un conjunto de medidas de seguridad
organizadas en tres marcos: organizativo org, operacional op y medidas de
protección mp. Las medidas que aplican dependen de la categoría del sistema, y el
Centro Criptológico Nacional (CCN) desarrolla su aplicación mediante instrucciones técnicas y las
guías CCN-STIC de la serie 800.
Para nosotros el ENS es, ante todo, la forma de trabajar con la que desarrollamos nuestro software a medida y nuestras soluciones. Esa experiencia es la que ponemos a disposición de tu organización.
Ámbito de aplicación
Quién está obligado a cumplir el ENS
El ENS se aplica a todo el sector público, tal como lo define la Ley 40/2015, y a las entidades privadas cuyos sistemas dan soporte a los servicios que prestan a la Administración.
Entidades locales
Ayuntamientos, diputaciones, cabildos, mancomunidades y sus organismos dependientes.
Sector público institucional
Organismos autónomos, consorcios, empresas públicas y fundaciones del sector público.
Universidades y sanidad
Universidades públicas y servicios de salud, que además tratan datos personales especialmente protegidos.
Empresas proveedoras
Empresas que prestan servicios o suministran sistemas de información a cualquiera de las anteriores.
Categorización
Categorías del ENS: BÁSICA, MEDIA y ALTA
La categoría se obtiene valorando el impacto que tendría un incidente sobre la información y los servicios en cinco dimensiones de seguridad. La categoría del sistema es el nivel más alto alcanzado en cualquiera de ellas.
- CConfidencialidad
- IIntegridad
- TTrazabilidad
- AAutenticidad
- DDisponibilidad
-
BÁSICA
Perjuicio limitado
Un incidente tendría un impacto limitado sobre las funciones de la organización, sus activos o las personas afectadas.
Autoevaluación y Declaración de Conformidad (también puede optarse por la certificación).
-
MEDIA
Perjuicio grave
Un incidente causaría un perjuicio grave. Es la categoría en la que estamos certificados para el desarrollo y mantenimiento de aplicaciones.
Auditoría formal y Certificación de Conformidad emitida por una entidad acreditada.
-
ALTA
Perjuicio muy grave
Un incidente causaría un perjuicio muy grave, por ejemplo en servicios críticos o con información especialmente sensible.
Auditoría formal y Certificación de Conformidad emitida por una entidad acreditada.
Metodología
Fases de la adecuación al ENS
Un proyecto por fases, con un entregable concreto en cada una y dimensionado al tamaño de tu organización: un ayuntamiento pequeño no necesita lo mismo que una diputación.
-
Análisis inicial y categorización
Identificamos los servicios y la información del alcance, los valoramos en las cinco dimensiones de seguridad y determinamos la categoría de cada sistema. Medimos la distancia entre la situación actual y lo que exige el ENS.
Entregable: Informe de diagnóstico y documento de valoración y categorización.
-
Análisis de riesgos
Inventariamos los activos, las amenazas y las salvaguardas existentes siguiendo la metodología MAGERIT, y calculamos el riesgo residual para decidir qué hay que reforzar.
Entregable: Análisis de riesgos y plan de tratamiento.
-
Declaración de aplicabilidad
Seleccionamos las medidas del Anexo II que corresponden a la categoría, justificamos las que no aplican y documentamos las medidas compensatorias cuando hacen falta.
Entregable: Declaración de aplicabilidad, firmada por el responsable de la seguridad.
-
Política, organización y normativa
Redactamos la política de seguridad que aprueba el órgano superior, definimos los roles (responsables de la información, del servicio, de la seguridad y del sistema) y elaboramos la normativa y los procedimientos.
Entregable: Política de seguridad, normativa y procedimientos operativos.
-
Implantación de medidas
Priorizamos las medidas pendientes en un plan de adecuación y te acompañamos en su puesta en marcha, incluidas las técnicas sobre aplicaciones y sistemas, reuniendo las evidencias que pedirá el auditor.
Entregable: Plan de adecuación y registro de evidencias.
-
Auditoría y mantenimiento
Hacemos una revisión interna previa, te acompañamos durante la auditoría de certificación y preparamos el plan de acciones correctivas. Después, el sistema se mantiene para las auditorías periódicas y el informe INES.
Entregable: Informe de revisión interna y plan de acciones correctivas.
Contratación pública
Qué piden los pliegos sobre el ENS
El propio Real Decreto 311/2022 indica que los pliegos de los contratos del sector público deben recoger los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas del contratista. En la práctica, estos son los requisitos más habituales:
- Certificación de Conformidad con el ENS del adjudicatario, en la categoría que corresponda al servicio contratado.
- Un alcance del certificado que cubra los sistemas que realmente dan soporte al servicio.
- Cumplimiento de los requisitos del ENS cuando el servicio se presta en la nube o trata información de la entidad.
- Designación de un responsable de seguridad y compromiso de notificación de incidentes.
- ISO/IEC 27001 como requisito o como criterio de valoración.
Lo hemos vivido como proveedor
Estamos certificados en el ENS categoría MEDIA para los sistemas de información que dan soporte al desarrollo y mantenimiento de aplicaciones informáticas, y en ISO/IEC 27001. Sabemos qué revisa el auditor y qué documentación pide una mesa de contratación, porque lo presentamos en nuestras propias licitaciones.
Si tu empresa se presenta a concursos públicos, te ayudamos a definir un alcance del certificado que cubra los servicios que ofreces.
Por qué ATISoluciones
Una adecuación hecha por quien desarrolla y mantiene sistemas
Lo aplicamos antes de ofrecerlo
Trabajamos cada día dentro de un sistema certificado en el ENS y en ISO/IEC 27001 desde 2020.
Medidas técnicas, no solo documentos
Somos un equipo de desarrollo: entendemos las medidas sobre aplicaciones, accesos, registros y configuraciones.
Proporcionada a tu categoría
Proponemos las medidas que exige tu categoría, sin sobredimensionar el proyecto ni atarte a un fabricante.
Preguntas frecuentes
Dudas habituales sobre la adecuación al ENS
¿Qué diferencia hay entre adecuación y certificación ENS?
La adecuación es el trabajo de implantar el ENS: categorizar los sistemas, analizar los riesgos, aprobar la política y aplicar las medidas. La certificación es la auditoría que, en categorías MEDIA y ALTA, realiza una entidad de certificación acreditada y que termina con la Certificación de Conformidad. Nosotros hacemos la adecuación y te acompañamos hasta la auditoría; la certificación la emite la entidad acreditada.
¿Qué categoría del ENS le corresponde a mi ayuntamiento?
Depende de la valoración de la información y de los servicios incluidos en el alcance, no del tamaño de la entidad. La categoría de cada sistema es el nivel más alto que obtenga en cualquiera de las cinco dimensiones de seguridad. Por eso el primer paso de la adecuación es siempre la categorización.
¿Es obligatorio certificarse en la categoría BÁSICA?
No. En la categoría BÁSICA basta con una autoevaluación y la Declaración de Conformidad, aunque la entidad puede optar por la certificación. En las categorías MEDIA y ALTA es necesaria una auditoría formal y la Certificación de Conformidad.
¿Cada cuánto hay que pasar la auditoría del ENS?
Con carácter ordinario, al menos cada dos años. También es necesaria una auditoría extraordinaria cuando se producen modificaciones sustanciales en el sistema que puedan afectar a las medidas de seguridad.
Soy una empresa proveedora de la Administración, ¿tengo que cumplir el ENS?
Sí, cuando tus sistemas dan soporte a servicios que prestas a entidades del sector público, y los pliegos suelen pedir la declaración o la certificación de conformidad. Es nuestro propio caso: desarrollamos software para la Administración y estamos certificados en el ENS categoría MEDIA. Si además desarrollas software, consulta cómo trabajamos en desarrollo seguro.
¿Cuánto dura un proyecto de adecuación al ENS?
Depende del número de servicios del alcance, de la categoría y del punto de partida de tu organización. Tras el diagnóstico inicial te entregamos un calendario por fases ajustado a tu caso.
¿En qué punto está tu organización respecto al ENS?
Solicita un diagnóstico inicial: revisamos tu situación y te proponemos un plan de adecuación por fases.
