Qué pide de verdad el pliego
Cuando un contrato público español afecta a sistemas de información, el órgano de contratación tiene que incluir en la licitación los requisitos del ENS. El artículo 2.3 del Real Decreto 311/2022 establece que los pliegos de prescripciones administrativas o técnicas contemplarán todos los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas del contratista. Nombra además el instrumento evidente: la presentación de las declaraciones o certificaciones de conformidad con el ENS. El mismo artículo extiende esa cautela a la cadena de suministro del contratista, en la medida necesaria y según el análisis de riesgos.
Así que la pregunta en la mayoría de las licitaciones no es si aplicas el ENS en un sentido general. Es si puedes aportar un documento concreto que esté:
- emitido de la forma correcta;
- referido a los sistemas correctos;
- en la categoría correcta;
- vigente en la fecha correcta.
Se pierden licitaciones por cada uno de esos detalles, normalmente empresas que hicieron el trabajo de seguridad pero presentaron la prueba equivocada.
El requisito del ENS puede aparecer en distintas partes de los pliegos:
- un requisito de solvencia técnica que hay que cumplir para ser admitido;
- una condición que el adjudicatario debe cumplir antes o durante la ejecución;
- una prescripción técnica del servicio;
- en ocasiones, un criterio de adjudicación.
Lee la cláusula con atención antes de planificar nada, porque cada ubicación marca un plazo distinto. Si partes de cero, nuestra guía sobre los primeros pasos cuando el pliego exige el ENS cubre la categorización y las primeras decisiones; este artículo se centra en la prueba en sí.
Declaración, certificación y distintivo de conformidad
El ENS tiene dos formas de acreditar la conformidad, y cuál aplica depende de la categoría del sistema. El artículo 38.1 del RD 311/2022 fija la regla: los sistemas de categoría MEDIA o ALTA precisan una auditoría para la certificación de su conformidad. Los de categoría BÁSICA solo requieren una autoevaluación para su declaración, aunque también pueden someterse a una auditoría de certificación.
Declaración de conformidad (BÁSICA)
En un sistema de categoría BÁSICA, la organización hace una autoevaluación frente a las medidas aplicables del anexo II y, si es conforme, emite su propia declaración de conformidad. No hay auditor externo. El artículo 38.2 exige publicar la declaración en el portal de internet o la sede electrónica de la organización, y el CCN ofrece un distintivo de conformidad para las declaraciones de categoría BÁSICA que las empresas muestran junto a ella.
La declaración solo vale para la categoría BÁSICA. Si el pliego exige MEDIA, o si alguna dimensión de tu sistema tiene un nivel que lleva la categoría a MEDIA, una declaración no cumple el requisito por bueno que sea el trabajo que hay detrás. Nuestro artículo sobre declaración o certificación de conformidad explica cómo se decide la categoría.
Certificación de conformidad (MEDIA y ALTA)
En los sistemas de categoría MEDIA y ALTA, la conformidad se acredita con un certificado que emite una entidad de certificación tras una auditoría externa. La Instrucción Técnica de Seguridad de conformidad con el ENS, aprobada por Resolución de 13 de octubre de 2016, regula cómo se emiten y publican los certificados, y el CCN la sigue citando como referencia. Su apartado V.1 establece que la certificación se completa con un distintivo de certificación cuyo uso está condicionado a la propia certificación.
Un certificado de conformidad indica la organización, los sistemas de información y servicios incluidos en el alcance, la categoría, la fecha de certificación y la fecha hasta la que es válido. Cada una de esas líneas importa en una licitación, y la del alcance es la que más.
Qué es un distintivo válido y qué no es
El distintivo es un signo visual que enlaza con la declaración o el certificado. Es útil en una web y en la documentación de una oferta, pero no es la prueba. Un órgano de contratación que quiere comprobar la conformidad mira el certificado o la declaración que hay detrás: su alcance, su categoría y sus fechas. Un distintivo en una web sin un certificado vigente detrás es peor que no tener distintivo, porque sugiere que la empresa no conoce su propia situación.
El CCN publica distintivos distintos para las declaraciones y para las certificaciones, así que el distintivo también indica cómo se evaluó la conformidad. Un distintivo de declaración en una oferta para un servicio que exige categoría MEDIA le dice al evaluador de un vistazo que la prueba no encaja con el requisito, antes de abrir ningún documento.
Quién puede emitir un certificado válido
Solo una entidad de certificación acreditada para el ENS puede emitir un certificado de conformidad. El apartado VI.1 de la instrucción de 2016 exige que las entidades certificadoras estén acreditadas por ENAC, la Entidad Nacional de Acreditación, para certificar sistemas del ámbito del ENS conforme a la norma UNE-EN ISO/IEC 17065:2012. El CCN mantiene una relación pública de entidades de certificación con su estado de acreditación.
Eso descarta varios documentos que algunos licitadores presentan:
- un análisis de carencias o un informe de preparación de una consultora;
- una carta de un socio de implantación que dice que la empresa "cumple el ENS";
- un informe de auditoría interna;
- un certificado de una entidad que no está acreditada para el ENS, aunque lo esté para otras normas.
Ninguno de ellos es una certificación de conformidad. Qalea está en la misma posición que cualquier consultora o plataforma: puede preparar a una empresa para la auditoría y operar las medidas de seguridad que el auditor comprueba, pero el certificado tiene que emitirlo una entidad de certificación acreditada. Antes de contratar a un auditor, comprueba que aparece en la relación del CCN con la acreditación ENS en vigor.
El alcance: el detalle que descalifica ofertas
El artículo 2.3 es preciso sobre lo que tiene que ser conforme: los sistemas de información en los que se sustentan los servicios prestados por el contratista. Un certificado solo sirve en una licitación si su alcance cubre esos sistemas.
El sistema certificado debe sustentar el servicio licitado
La certificación ENS se concede a sistemas de información concretos y a los servicios que sustentan, no a una empresa en su conjunto. Una empresa de software puede tener un certificado de categoría MEDIA para su plataforma de gestión documental y presentarse a un contrato para prestar un sistema de cita previa que funciona sobre otra infraestructura. El certificado es auténtico, pero no cubre los sistemas que hay detrás del servicio que se contrata, y un órgano de contratación atento lo notará.
Antes de presentar la oferta, pon la línea de alcance de tu certificado al lado del objeto del contrato. Si el servicio licitado funciona sobre sistemas fuera del alcance certificado, hay dos opciones: ampliar el alcance con la entidad de certificación o asumir que la oferta se apoya en una prueba que todavía no tienes.
La categoría debe igualar o superar la exigida
Un pliego puede exigir la conformidad en una categoría concreta. Una declaración de categoría BÁSICA no cumple un requisito de MEDIA, y un certificado de MEDIA no cumple uno de ALTA. La categoría de un sistema la determina el responsable de la seguridad a partir de las valoraciones de la información y los servicios que trata, según el anexo I del RD 311/2022. Debe revisarse cada año o cuando haya cambios significativos.
Si tu propia categorización da BÁSICA pero el órgano de contratación exige MEDIA para el servicio, manda el requisito del órgano en lo que tienes que presentar. Subir de categoría supone aplicar más medidas del anexo II y sus refuerzos, y cambia la vía de la declaración a la certificación.
Cuándo tienes que tenerlo: fecha de la oferta o ejecución
En los plazos es donde empresas con un trabajo real de ENS siguen perdiendo contratos. Según el artículo 140.4 de la Ley 9/2017 de Contratos del Sector Público, la capacidad, la solvencia y la ausencia de prohibiciones de contratar deben concurrir en la fecha final de presentación de ofertas y subsistir hasta la formalización del contrato. La Junta Consultiva de Contratación Pública del Estado ha confirmado esta interpretación en sus informes.
Si la conformidad con el ENS es un requisito de solvencia
Si el pliego plantea la conformidad con el ENS como parte de la solvencia técnica, tienes que tener la declaración o el certificado antes de que termine el plazo de presentación. Un certificado obtenido después no subsana el defecto, aunque llegue antes de la adjudicación. Los licitadores suelen declarar el cumplimiento en el documento europeo único de contratación (DEUC) y aportar los justificantes cuando se les piden. En todo caso, eso ocurre antes de adjudicar al licitador mejor clasificado. La declaración del DEUC afirma que la condición se cumple en esa fecha, así que tiene que ser cierta en esa fecha.
La condición tiene que mantenerse además hasta la formalización. Un certificado vigente al cierre del plazo que caduca antes de firmar el contrato provoca el mismo problema, así que la fecha de renovación del certificado tiene que estar en el calendario de la oferta junto al plazo de presentación. Si el certificado no está emitido al cierre del plazo, planifica para la siguiente licitación en lugar de presentarte a una que trata el ENS como solvencia.
Si es una condición de ejecución
Algunos pliegos tratan la conformidad con el ENS como una obligación del adjudicatario, que debe cumplirse antes de iniciar el servicio o en un plazo fijado tras la formalización. Eso da más margen, pero es un compromiso vinculante. Si el plazo vence sin certificado, el contratista incumple, con las consecuencias que prevean los pliegos.
Lee cómo define la cláusula tanto el plazo como la evidencia. Algunos pliegos piden el certificado antes de empezar el servicio; otros, en un número de meses desde la formalización. Sea cual sea la fórmula, el compromiso debe apoyarse en un plan realista: el análisis de carencias hecho, la entidad de certificación reservada y las medidas del anexo II ya funcionando, no la promesa de empezar el trabajo después de la adjudicación.
La aprobación provisional mientras se completa una certificación
En una primera certificación, el CCN puede emitir de forma excepcional una aprobación provisional de conformidad cuando la auditoría ha detectado desviaciones cuyo plan de acciones correctivas necesita más de tres meses. Según los criterios generales de auditoría y certificación del CCN, tiene una vigencia de seis meses ampliable otros seis. Existe para situaciones concretas, así que no planifiques una oferta contando con obtenerla; si el plazo es justo, pregunta si el pliego la admite antes de apoyarte en ella.
La aprobación provisional la emite el CCN, recoge las acciones pendientes y su periodo de vigencia, y puede retirarse si no se completa el plan de acciones correctivas. No es un atajo para una empresa que no ha pasado una auditoría: solo existe cuando se ha hecho una primera auditoría de certificación y hay un plan de acciones correctivas en marcha.
Cómo lo comprueba el órgano de contratación
Un órgano de contratación no tiene por qué fiarse de la palabra del licitador. El propio certificado identifica a la entidad de certificación, que el órgano puede contrastar con la relación de entidades acreditadas del CCN. El CCN publica también las organizaciones que tienen certificaciones de conformidad, así que un certificado que no aparece ahí, o que aparece con otras fechas u otro alcance, genera dudas de inmediato. Las declaraciones de los sistemas de categoría BÁSICA se publican en el portal de la propia organización según el artículo 38.2, de modo que el órgano puede comprobar que existe una vigente.
Los órganos de contratación también revisan las fechas. Según el artículo 31 del RD 311/2022, los sistemas incluidos en el ámbito se auditan al menos cada dos años. Hace falta una auditoría extraordinaria cuando se producen modificaciones sustanciales que puedan afectar a las medidas de seguridad exigidas. Un certificado caducado no prueba nada sobre el presente. Un licitador cuyo certificado caduca entre el cierre del plazo y la formalización tiene el problema descrito antes: la condición tiene que mantenerse hasta la firma del contrato.
Subcontratistas y proveedores de nube
El artículo 2.3 extiende los requisitos del ENS a la cadena de suministro del contratista, en la medida necesaria y según el análisis de riesgos. En la práctica alcanza a los proveedores cuyos sistemas sustentan el servicio contratado:
- la plataforma en la nube que lo aloja;
- un centro de datos;
- un proveedor de servicios gestionados que opera parte de la infraestructura;
- un subcontratista que se encarga de parte del trabajo.
Lo que necesita cada proveedor depende de su papel. Un proveedor de nube que aloja el sistema suele necesitar su propia certificación ENS en una categoría al menos igual a la del sistema, y muchos grandes proveedores publican la suya. En los sistemas de categoría ALTA, el anexo II añade una medida específica de protección de la cadena de suministro, op.ext.3. En MEDIA y ALTA, las medidas op.ext.1 y op.ext.2 exigen contratos y acuerdos de nivel de servicio con los proveedores externos y su gestión diaria.
El artículo 13.5 añade un requisito operativo para los servicios externalizados. Salvo causa justificada y documentada, la organización prestataria debe designar un punto o persona de contacto (POC) para la seguridad, que supervise el cumplimiento de los requisitos de seguridad del servicio y la gestión de sus incidentes. Los pliegos pueden pedir ese contacto en la oferta, así que nombra a una persona que ejerza de verdad esa función.
Mantener la prueba vigente durante todo el contrato
Ganar la licitación es el principio de la obligación, no el final. El contrato suele durar más que un ciclo de auditoría, y la conformidad tiene que mantenerse durante todo él. Eso significa:
- superar la auditoría ordinaria al menos cada dos años;
- afrontar la auditoría extraordinaria que provocan los cambios sustanciales;
- mantener funcionando las medidas del anexo II entre auditorías.
Varios hechos durante un contrato pueden poner en riesgo la conformidad:
- migrar el servicio a otro proveedor de nube o a otra región;
- añadir un módulo nuevo o una integración con otro sistema;
- cambiar un subcontratista clave;
- un incidente que revela que una medida no funcionaba;
- la salida de la persona que ejercía de responsable de la seguridad.
Cada uno de ellos debería activar una comprobación: ¿el certificado sigue cubriendo lo que prestamos y el cambio exige una auditoría extraordinaria? Nuestra guía sobre cómo mantener la certificación ENS entre auditorías repasa qué medidas tienen que funcionar cada día, y nuestro artículo sobre cómo funciona una auditoría ENS explica qué revisa el auditor.
Esta es la parte del cumplimiento del ENS para la que está hecha Qalea. Qalea ayuda a las empresas a prepararse para la auditoría de certificación y después opera las medidas de seguridad de las que depende el certificado, con la monitorización, la gestión de incidentes y el control de proveedores funcionando de forma continua. Así, la prueba que se presenta en la siguiente licitación refleja un sistema que de verdad se mantiene. La página temática del ENS reúne el resto de nuestras guías.
