El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022, que sustituyó al anterior RD 3/2010. La mayoría de las organizaciones se topan con él de la misma manera: llega un pliego de licitación, alguien lee los requisitos técnicos y una frase sobre la conformidad con el ENS resulta ser una condición para poder licitar.
El esquema alcanza a los proveedores, no solo a las administraciones públicas
El artículo 2 del RD 311/2022 define el ámbito de aplicación. Junto a las administraciones estatal, autonómica y local, abarca a las organizaciones del sector privado que manejan información o les prestan servicios. La nacionalidad no es el criterio: un proveedor establecido fuera de España que trata información del sector público español entra en el mismo ámbito que uno establecido en Madrid.
Así es como el requisito se transmite a lo largo de la cadena de suministro. El contratista principal es titular del contrato público; el subcontratista que opera parte del sistema hereda la obligación. Con frecuencia las empresas se enteran de segunda mano, por un cliente y no por un regulador.
La consecuencia práctica es comercial. Cuando un pliego exige conformidad con el ENS, el licitador que no pueda acreditarla queda excluido del procedimiento. Cuando un contrato en vigor requiere un certificado válido, dejar que caduque da al órgano de contratación motivos para resolverlo.
Tres categorías, determinadas por el impacto, no por el tamaño de la empresa
El ENS categoriza sistemas, no organizaciones. Una empresa de doce personas puede operar un sistema en categoría media, y una organización grande puede tener varios sistemas en distintas categorías a la vez. La categorización parte del daño que se produciría si el sistema se viera comprometido, valorado en las dimensiones de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad:
- Básica: impacto limitado
- Media: perjuicio grave para la organización
- Alta: perjuicio muy grave
Equivocarse aquí tiene dos consecuencias. Si categorizas por debajo, el certificado no satisfará el pliego. Si categorizas por encima, te comprometes a controles, auditorías y costes que el contrato nunca pidió.
Declaración o certificación: la distinción que lo cambia todo
Esta es la parte que más suele sorprender, y conviene ser preciso.
Para la categoría básica, el RD 311/2022 permite una declaración de conformidad: la organización se autoevalúa y publica el resultado. No se requiere un auditor externo.
Para las categorías media y alta, se requiere una certificación de conformidad, emitida tras una auditoría realizada por una entidad de certificación acreditada por ENAC.
Dos procedimientos distintos, dos costes distintos, dos plazos distintos. Un pliego que dice «conformidad con el ENS» sin nombrar una categoría es ambiguo, y la ambigüedad sale cara en ambos sentidos. Consulta el pliego de prescripciones técnicas para conocer la categoría antes de dimensionar el trabajo y, si el documento realmente no lo indica, pregunta al órgano de contratación en lugar de suponer al alza.
Qué exige realmente el Anexo II
El Anexo II del RD 311/2022 establece 73 medidas de seguridad, agrupadas en tres marcos:
- Marco organizativo: 4 medidas sobre la política de seguridad, la normativa, los procedimientos y los procesos de autorización
- Marco operacional: 33 medidas sobre planificación, control de acceso, explotación, protección de los servicios externalizados, continuidad y monitorización del sistema
- Marco de protección: 36 medidas sobre instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios
Que una medida aplique, y con qué refuerzos, depende de la categoría del sistema o, en algunas medidas, del nivel de seguridad de una dimensión concreta. Subir de categoría tiene dos efectos. Añade medidas que no aplican por debajo: la gestión de cambios (op.exp.5) y la contratación y los acuerdos de nivel de servicio (op.ext.1) empiezan en media, y la protección de la cadena de suministro (op.ext.3) solo aplica en alta. Cuando la disponibilidad tiene nivel alto, también pasan a ser obligatorios el plan de continuidad, las pruebas periódicas y los medios alternativos (op.cont.2, op.cont.3 y op.cont.4). Además, eleva lo que exigen las medidas existentes: la detección de intrusión (op.mon.1) aplica desde básica y suma refuerzos en media y alta. El desglose completo está en nuestra guía sobre las medidas de seguridad del Anexo II del ENS.
Esa distinción importa a la hora de decidir cómo cumplir. La documentación por sí sola satisface partes del marco organizativo. No satisface las medidas de monitorización operacional, que requieren que algo esté realmente vigilando.
El rol que hay que designar antes que nada
El artículo 11 del RD 311/2022 establece el principio de diferenciación de responsabilidades. Distingue cuatro figuras, el responsable de la información, el responsable del servicio, el Responsable de la Seguridad y el Responsable del Sistema, y exige que la responsabilidad sobre la seguridad esté diferenciada de la responsabilidad sobre la explotación de los sistemas. El artículo 13.3 lo concreta: el Responsable de la Seguridad será distinto del Responsable del Sistema, sin dependencia jerárquica entre ambos.
Para una empresa mediana, esta es la parte incómoda. El candidato obvio es el responsable de IT, y el responsable de IT suele ser el Responsable del Sistema, porque opera los sistemas. El artículo 13.3 solo permite que ambas funciones recaigan en la misma persona, o en personas con relación jerárquica, en situaciones excepcionales en las que una ausencia justificada de recursos lo haga necesario, y siempre con medidas compensatorias que garanticen la finalidad de la separación. Esa justificación y esas medidas deben estar documentadas, y el auditor las pedirá.
El rol no es ceremonial. Según el artículo 13.2, el Responsable de la Seguridad determina las decisiones para satisfacer los requisitos de seguridad, supervisa la implantación de las medidas e informa sobre ellas. Según el artículo 28.2, es también quien firma la Declaración de Aplicabilidad que recoge las medidas del Anexo II seleccionadas para el sistema. En una organización sin función de seguridad, es un trabajo considerable que recae en alguien que ya tiene el suyo.
Qué ocurre después del certificado
Un certificado del ENS no es algo puntual. Los certificados tienen una validez de dos años, y el esquema exige auditorías ordinarias al menos cada dos años, más una auditoría extraordinaria cuando el sistema cambia de forma sustancial. Entre medias, la revisión interna continúa.
Esa cadencia es lo que suele hacer fracasar los enfoques basados en documentos. Una carpeta de políticas montada para una auditoría se desactualiza a los pocos meses de que el auditor se marche. Los sistemas cambian, el personal rota, y la evidencia que respaldaba una medida la primavera pasada ya no describe lo que ocurre hoy. La siguiente auditoría encuentra la brecha.
Por otro lado, el RD 311/2022 obliga a notificar al CCN-CERT los incidentes que afecten a los sistemas cubiertos. Esa obligación es continua, y presupone que la organización es capaz de detectar un incidente en primer lugar.
Qué significa esto si no tienes función de seguridad
La mayoría de las empresas que se enfrentan al ENS por primera vez no tienen a nadie cuyo trabajo sea la seguridad. La obligación llega igualmente completa: un Responsable de la Seguridad distinto del Responsable del Sistema, las medidas del Anexo II que aplican a la categoría del sistema, una auditoría al menos cada dos años, monitorización que funciona de forma continua y un deber de notificación de incidentes.
Parte de ese trabajo puede abordarse como un proyecto: categorizar el sistema, redactar la política y los procedimientos, realizar el análisis de riesgos y elaborar la Declaración de Aplicabilidad. El resto no. La detección, la gestión de incidentes y los registros que demuestran que cada medida operacional funciona tienen que generarse de forma continua mientras se mantenga el certificado. Decidir quién hace ese trabajo es la pregunta de alcance que conviene resolver antes de elegir cualquier herramienta o proveedor.
Qalea es una plataforma de cumplimiento que incluye acompañamiento guiado de nuestro equipo de seguridad. La plataforma relaciona las medidas del Anexo II con tus controles y guarda la evidencia de cada una. Nuestro equipo trabaja con tus responsables para categorizar el sistema y elaborar la Declaración de Aplicabilidad, y la capa de monitorización (EDR, SIEM y un SOC) genera los registros que necesitan las medidas operacionales. Para las empresas que ya tienen equipo de seguridad, la plataforma reutiliza los controles y las evidencias que ya mantienen para marcos como ISO 27001, de modo que el Anexo II no suponga duplicar el trabajo.
Ningún proveedor puede emitir el certificado. Eso corresponde a una entidad de certificación acreditada por ENAC, tras una auditoría. Lo que un proveedor sí puede hacer es ayudar a que las medidas sigan funcionando, y la evidencia al día, entre una auditoría y la siguiente.
Si el ENS ha llegado a tu mesa por una licitación, las dos primeras decisiones son las anteriores: qué categoría exige el pliego y si eso implica una declaración o una certificación. Esas dos respuestas fijan el alcance de todo lo demás.
