ENS
ENS — Real Decreto 311/2022
Qué exige el Esquema Nacional de Seguridad a un organismo público y a sus proveedores: categorización en cinco dimensiones, Declaración de Aplicabilidad firmada y auditoría al menos cada dos años.
- A quién aplica
- Todo el sector público español tal y como lo define el artículo 2 de la Ley 40/2015. Además, y esto es lo que sorprende a muchas empresas, se aplica a los sistemas de información de entidades del sector privado cuando, en virtud de una relación contractual, presten servicios o provean soluciones al sector público para el ejercicio de sus competencias y potestades administrativas (artículo 2.3). La cautela se extiende a la cadena de suministro de esos contratistas en la medida que resulte del análisis de riesgos.
- Plazo
- En vigor desde el 5 de mayo de 2022. Los sistemas preexistentes dispusieron de veinticuatro meses para alcanzar la plena adecuación; los nuevos lo aplican desde su concepción. La auditoría regular ordinaria se repite al menos cada dos años, y hay que adelantarla con carácter extraordinario ante modificaciones sustanciales del sistema.
- Referencia oficial
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad
Quién está dentro sin saberlo
El ENS es una norma de sector público, pero su artículo 2.3 arrastra al sector privado: cualquier empresa que, por contrato, preste servicios o provea soluciones a una entidad pública para el ejercicio de sus competencias y potestades administrativas queda sujeta, incluida la obligación de contar con política de seguridad propia. Y la previsión se extiende a la cadena de suministro de esos contratistas en la medida en que lo determine el análisis de riesgos.
En la práctica, esto llega por la vía del pliego. El propio artículo 2.3 obliga a los pliegos administrativos o técnicos del sector público a contemplar los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas que sustentan el servicio contratado, incluida la presentación de declaraciones o certificaciones de conformidad. Muchas empresas descubren el ENS no leyendo el real decreto, sino leyendo la cláusula que les impide presentarse.
La secuencia que exige la norma, en ese orden
El ENS tiene un orden lógico que conviene respetar, porque hacerlo al revés duplica el trabajo. Primero se valoran las cinco dimensiones de seguridad de la información y los servicios; de esa valoración sale la categoría del sistema. Con la categoría ya fijada se seleccionan las medidas del anexo II aplicables, y esa selección se formaliza en la Declaración de Aplicabilidad firmada. Sólo entonces tiene sentido implantar, y sólo después auditar.
El error habitual es empezar implantando controles «porque siempre se hacen» y construir la categorización a posteriori para que encaje. El auditor lo detecta en un minuto: la fecha del acta de valoración es posterior a la de los procedimientos que supuestamente derivan de ella.
Tres marcos, setenta y tres medidas
El anexo II agrupa las medidas en marco organizativo (org), marco operacional
(op) y medidas de protección (mp), setenta y tres en total, cada una con
refuerzos y con aplicabilidad distinta según la categoría del sistema. No todas
aplican siempre: la Declaración de Aplicabilidad existe precisamente para dejar
por escrito cuáles sí, cuáles no y por qué.
Cómo se comprueba
El anexo III fija sobre qué se pronuncia la auditoría: que la política define roles, que existen procedimientos de resolución de conflictos entre responsables, que se han designado personas conforme al principio de diferenciación de responsabilidades, que hay análisis de riesgos con revisión y aprobación anual, que se cumplen las medidas del anexo II y que existe un sistema de gestión documentado con aprobación regular por la dirección, tomando como base la Declaración de Aplicabilidad.
Y señala en qué se apoya: documentación de los procedimientos, registro de incidentes, examen del personal afectado —conocimiento y praxis real de las medidas que le afectan— y productos certificados. Ese tercer punto es el que más sorprende: el auditor puede preguntar a un operador, y su respuesta es evidencia.
Obligaciones
-
Tener una política de seguridad aprobada formalmente y con contenido mínimo
El artículo 12 exige una política de seguridad aprobada por el órgano competente que incluya, como mínimo, los objetivos o misión de la organización, el marco regulatorio aplicable, los roles de seguridad con sus deberes y el procedimiento de designación y renovación, la estructura de los comités de seguridad, las directrices de estructuración de la documentación y los riesgos derivados del tratamiento de datos personales. En las entidades privadas del artículo 2.3 la aprueba el órgano que ostente las máximas competencias ejecutivas.
Evidencia exigible
El documento aprobado, con fecha, órgano aprobador identificado y un índice que permita localizar cada uno de los seis extremos del artículo 12.1. Una política heredada de otra organización y sin acto formal de aprobación propio es un hallazgo seguro.
-
Separar al responsable de la seguridad del responsable del sistema
El artículo 11 exige diferenciar cuatro figuras —responsable de la información, del servicio, de la seguridad y del sistema— y separar la responsabilidad de la seguridad de la de explotación. El artículo 13.3 va más lejos: el responsable de la seguridad será distinto del responsable del sistema y no debe existir dependencia jerárquica entre ambos. Sólo en situaciones excepcionales de falta justificada de recursos pueden coincidir, y entonces hay que aplicar medidas compensatorias. En servicios externalizados, el prestador designa un punto de contacto de seguridad (artículo 13.5).
Evidencia exigible
Nombramientos firmados y fechados de las cuatro figuras y un organigrama que demuestre la ausencia de dependencia jerárquica. Si coinciden en una persona, el documento que justifica la excepcionalidad y describe las medidas compensatorias adoptadas.
-
Categorizar el sistema valorando las cinco dimensiones
El anexo I obliga a valorar el impacto de un incidente sobre la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad, asignando a cada dimensión afectada un nivel BAJO, MEDIO o ALTO. El sistema es de categoría ALTA si alguna dimensión alcanza nivel ALTO, MEDIA si alguna alcanza MEDIO sin superarlo, y BÁSICA si alguna alcanza BAJO. La valoración corresponde al responsable de la información o del servicio, y la determinación de la categoría al responsable de la seguridad (artículo 41).
Evidencia exigible
Acta de valoración firmada por el responsable de la información y del servicio, con el razonamiento de cada dimensión, y la resolución de categoría firmada por el responsable de la seguridad. Son dos firmas distintas de dos figuras distintas: es un error frecuente presentarlas como un único documento sin autor.
-
Firmar la Declaración de Aplicabilidad
El artículo 28.2 establece que la relación de medidas de seguridad seleccionadas del anexo II se formaliza en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de la seguridad. Las setenta y tres medidas del anexo II son mínimos exigibles y pueden ampliarse. El artículo 28.3 permite sustituir medidas por otras compensatorias siempre que se justifique documentalmente que protegen igual o mejor, y exige que la correspondencia detallada entre medida compensatoria y medida sustituida forme parte integral de la propia Declaración de Aplicabilidad.
Evidencia exigible
La Declaración de Aplicabilidad firmada y fechada por el responsable de la seguridad, con la decisión sobre cada medida del anexo II según la categoría, y el anexo de correspondencia de medidas compensatorias cuando las haya. Sin firma, no es una Declaración de Aplicabilidad: es un borrador.
-
Revisar y aprobar el análisis de riesgos cada año
El punto 1.1.d del anexo III establece que la auditoría comprobará que se ha realizado un análisis de riesgos con revisión y aprobación anual. Es una exigencia literal de periodicidad que aparece en el anexo de auditoría, no en el articulado, y por eso se pasa por alto con frecuencia. El artículo 7 fija el principio de gestión basada en riesgos y el artículo 27 la mejora continua del proceso.
Evidencia exigible
Informe de análisis de riesgos con la fecha de la revisión dentro de los doce meses anteriores y constancia explícita de su aprobación, con autor y cargo. Un informe metodológicamente impecable pero de hace tres años es un incumplimiento.
-
Someterse a auditoría ordinaria al menos cada dos años
El artículo 31.1 obliga a una auditoría regular ordinaria al menos cada dos años, y a una extraordinaria siempre que se produzcan modificaciones sustanciales que puedan repercutir en las medidas requeridas; la extraordinaria reinicia el cómputo de los dos años. El plazo puede extenderse tres meses por fuerza mayor no imputable a la entidad. El informe debe dictaminar el grado de cumplimiento identificando hallazgos de conformidad y no conformidad, y recoger metodología, alcance, objetivo y los datos y hechos en que se basan las conclusiones (artículo 31.4).
Evidencia exigible
Informe de auditoría completo con esos elementos, más la traza de que fue presentado al responsable del sistema y al de la seguridad, que este lo analizó y que elevó conclusiones para la adopción de medidas correctoras (artículo 31.5).
-
Obtener y publicar el distintivo de conformidad que corresponda
El artículo 38.1 distingue: los sistemas de categoría MEDIA o ALTA precisan una auditoría de certificación de conformidad, mientras que los de categoría BÁSICA sólo requieren una autoevaluación para su declaración de conformidad, sin perjuicio de que puedan certificarse igualmente. El artículo 38.2 obliga además a dar publicidad a las declaraciones y certificaciones en los portales de internet o sedes electrónicas correspondientes.
Evidencia exigible
El certificado o la declaración de conformidad en vigor, con el alcance exacto de sistemas cubiertos, y la URL pública donde está publicado el distintivo. En una licitación, el alcance del certificado se compara con el objeto del contrato: si no coincide, no cubre.
-
Notificar al CCN los incidentes con impacto significativo
El artículo 33.2 obliga a las entidades del sector público a notificar al CCN los incidentes que tengan un impacto significativo en la seguridad de los sistemas, de acuerdo con la correspondiente Instrucción Técnica de Seguridad. El artículo 33.7 dirige a las organizaciones del sector privado que prestan servicios a entidades públicas al INCIBE-CERT, que a su vez lo pone de inmediato en conocimiento del CCN-CERT. Tras el incidente, el CCN-CERT determina técnicamente el riesgo de reconexión del sistema afectado (artículo 33.6).
Evidencia exigible
Registro de la notificación con sello de tiempo y número de referencia del CERT correspondiente, el criterio escrito de clasificación del impacto aplicado en ese caso, y la autorización o informe de reconexión cuando proceda.