Esquema Nacional de Seguridad (ENS): guía práctica
Qué es el ENS, a quién obliga, cómo se determina la categoría de un sistema y qué hay que hacer para certificarse. Lo explicamos desde la experiencia: Qualiteasy está certificada en el ENS en categoría MEDIA.
¿Qué es el ENS?
El Esquema Nacional de Seguridad es el marco obligatorio de ciberseguridad para el sector público español, regulado por el Real Decreto 311/2022. Establece los principios básicos, los requisitos mínimos y las medidas de seguridad que deben aplicar los sistemas de información que tratan datos o prestan servicios de las administraciones públicas.
No afecta solo a la Administración: también obliga a las empresas privadas que prestan servicios o soluciones al sector público, que deben acreditar el mismo nivel de seguridad. Por eso, cada vez más licitaciones y contratos públicos exigen la conformidad con el ENS a sus proveedores tecnológicos.
El Centro Criptológico Nacional (CCN) publica las guías CCN-STIC que desarrollan su aplicación, entre ellas la serie 800 dedicada específicamente al ENS.
Las claves del ENS
Los conceptos que hay que dominar para implantar el esquema.
Tres categorías
Cada sistema se clasifica como BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente de seguridad.
Cinco dimensiones
Confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad: la categoría la marca la dimensión más crítica.
Medidas del Anexo II
Agrupadas en marco organizativo, marco operacional y medidas de protección, proporcionales a la categoría.
Roles separados
Responsables de la información, del servicio, de la seguridad y del sistema, con funciones diferenciadas.
Gestión de riesgos
La seguridad se basa en el análisis y tratamiento de los riesgos, revisado de forma periódica.
Auditoría cada 2 años
Los sistemas de categoría MEDIA y ALTA deben superar una auditoría ordinaria al menos cada dos años.
Declaración o certificación de conformidad
La forma de acreditar el cumplimiento depende de la categoría del sistema:
- Categoría BÁSICA: basta una declaración de conformidad basada en una autoevaluación, aunque también puede certificarse.
- Categorías MEDIA y ALTA: es obligatoria la certificación de conformidad, emitida por una entidad de certificación acreditada tras una auditoría formal.
En ambos casos el sistema debe mantenerse: la conformidad se revisa con auditorías periódicas y cualquier cambio relevante obliga a reevaluar riesgos y medidas.
Pasos para adecuarse al ENS
- Definir el alcance: qué sistemas y servicios quedan dentro.
- Categorizar el sistema según las cinco dimensiones.
- Aprobar la política de seguridad y asignar los roles.
- Analizar los riesgos y elaborar la Declaración de Aplicabilidad.
- Implantar las medidas y documentar las evidencias.
- Auditar y obtener la declaración o certificación de conformidad.
Certificados en el ENS, categoría MEDIA
En Qualiteasy hemos recorrido este camino: estamos certificados en el Esquema Nacional de Seguridad en categoría MEDIA. Sabemos lo que exige el auditor porque lo hemos vivido, y aplicamos la misma disciplina a la plataforma donde nuestros clientes gestionan sus sistemas de calidad.
Cómo cubrirlo con GuardianHubX
Muchas medidas del ENS requieren herramientas concretas. GuardianHubX, nuestra área de ciberseguridad, ofrece soluciones para las más habituales.
Vigilancia y monitorización
GuardianRadar vigila filtraciones y amenazas que afectan a tu organización y te avisa en tiempo real.
Copias de seguridad
Backup en la nube de Microsoft 365, Google Workspace y servidores, con recuperación ante desastres.
Concienciación del personal
Simulaciones de phishing y formación para que el equipo detecte los ataques más habituales.
Control de acceso
Passwork centraliza y cifra las contraseñas de la organización con permisos por usuario.
Protección de equipos
Faronics Deep Freeze devuelve cada equipo a su estado seguro en cada reinicio.
Dispositivos y acceso remoto
SmartLayer gestiona dispositivos, backup y acceso remoto seguro desde una sola consola.
Preguntas frecuentes sobre el ENS
Lo que más nos preguntan las empresas que trabajan con la Administración.
¿Mi empresa está obligada a cumplir el ENS?
Si prestas servicios o suministras soluciones tecnológicas a entidades del sector público que tratan información o servicios afectados por el esquema, sí: el contrato o la licitación te exigirán acreditar la conformidad con el ENS en la categoría correspondiente.
¿Qué diferencia hay entre el ENS y la ISO 27001?
La ISO 27001 es una norma internacional voluntaria; el ENS es una obligación legal en España para el ámbito público. Comparten enfoque (gestión de riesgos, controles, mejora continua) y muchas medidas, por lo que se pueden implantar de forma conjunta. Lo explicamos en nuestra guía de la ISO 27001.
¿Cada cuánto hay que auditar el sistema?
Los sistemas de categoría MEDIA y ALTA deben someterse a una auditoría ordinaria al menos cada dos años, y a una extraordinaria cuando haya cambios sustanciales.
¿Qué categoría necesito?
Depende del impacto que tendría un incidente sobre la confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad de la información y los servicios. La categoría la determina la dimensión con mayor impacto.
¿Quién emite la certificación?
Una entidad de certificación acreditada para el ENS, tras auditar el sistema. El certificado y el distintivo pueden mostrarse públicamente, como hacemos en nuestra política de seguridad.
Sigue aprendiendo
Más recursos sobre seguridad y sistemas de gestión.
Guía de la ISO 27001
La norma internacional de seguridad de la información y cómo se relaciona con el ENS.
Guía de la ISO 9001
Requisitos, implantación y certificación del sistema de gestión de la calidad.
Ciberseguridad con GuardianHubX
Soluciones para proteger y monitorizar los equipos de tu organización.