El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022, que sustituyó al anterior RD 3/2010. La mayoría de las organizaciones se topan con él de la misma manera: llega un pliego de licitación, alguien lee los requisitos técnicos y una frase sobre la conformidad con el ENS resulta ser una condición para poder licitar.
El esquema alcanza a los proveedores, no solo a las administraciones públicas
El artículo 2 del RD 311/2022 define el ámbito de aplicación. Junto a las administraciones estatal, autonómica y local, abarca a las organizaciones del sector privado que manejan información o les prestan servicios. La nacionalidad no es el criterio: un proveedor establecido fuera de España que trata información del sector público español entra en el mismo ámbito que uno establecido en Madrid.
Así es como el requisito se transmite a lo largo de la cadena de suministro. El contratista principal es titular del contrato público; el subcontratista que opera parte del sistema hereda la obligación. Con frecuencia las empresas se enteran de segunda mano, por un cliente y no por un regulador.
La consecuencia práctica es comercial. Cuando un pliego exige conformidad con el ENS, el licitador que no pueda acreditarla queda excluido del procedimiento. Cuando un contrato en vigor requiere un certificado válido, dejar que caduque da al órgano de contratación motivos para resolverlo.
Tres categorías, determinadas por el impacto, no por el tamaño de la empresa
El ENS categoriza sistemas, no organizaciones. Una empresa de doce personas puede operar un sistema en categoría media, y una organización grande puede tener varios sistemas en distintas categorías a la vez. La categorización parte del daño que se produciría si el sistema se viera comprometido, valorado en las dimensiones de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad:
- Básica: impacto limitado
- Media: perjuicio grave para la organización
- Alta: perjuicio muy grave
Equivocarse aquí tiene dos consecuencias. Si categorizas por debajo, el certificado no satisfará el pliego. Si categorizas por encima, te comprometes a controles, auditorías y costes que el contrato nunca pidió.
Declaración o certificación: la distinción que lo cambia todo
Esta es la parte que más suele sorprender, y conviene ser preciso.
Para la categoría básica, el RD 311/2022 permite una declaración de conformidad: la organización se autoevalúa y publica el resultado. No se requiere un auditor externo.
Para las categorías media y alta, se requiere una certificación de conformidad, emitida tras una auditoría realizada por una entidad de certificación acreditada por ENAC.
Dos procedimientos distintos, dos costes distintos, dos plazos distintos. Un pliego que dice «conformidad con el ENS» sin nombrar una categoría es ambiguo, y la ambigüedad sale cara en ambos sentidos. Consulta el pliego de prescripciones técnicas para conocer la categoría antes de dimensionar el trabajo y, si el documento realmente no lo indica, pregunta al órgano de contratación en lugar de suponer al alza.
Qué exige realmente el Anexo II
El Anexo II del RD 311/2022 establece 73 medidas de seguridad, agrupadas en tres marcos:
- Marco organizativo: 4 medidas sobre la política de seguridad, la normativa, los procedimientos y los procesos de autorización
- Marco operacional: 32 medidas sobre planificación, control de acceso, explotación, protección de los servicios externalizados, continuidad y monitorización del sistema
- Marco de protección: 37 medidas sobre instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios
Cada medida se aplica con una profundidad que fija la categoría del sistema. Las categorías superiores no añaden tanto medidas enteramente nuevas como elevan lo que cada una exige. La monitorización continua es un buen ejemplo: presente de forma ligera en básica y un requisito operativo sustancial en alta.
Esa distinción importa a la hora de decidir cómo cumplir. La documentación por sí sola satisface partes del marco organizativo. No satisface las medidas de monitorización operacional, que requieren que algo esté realmente vigilando.
El rol que hay que designar antes que nada
El artículo 11 exige responsabilidades diferenciadas. El Responsable de la Seguridad, que determina los requisitos de seguridad y aprueba las medidas, debe ser una persona distinta del Responsable del Sistema, que lo opera.
Para una empresa mediana, esta es la parte incómoda. El candidato obvio es el responsable de IT, y el responsable de IT es precisamente la persona que el artículo descarta, porque opera los sistemas. Nombrarlo de todos modos genera un hallazgo que el auditor detectará.
El rol no es ceremonial. Quien lo ocupa aprueba formalmente las medidas de seguridad, elabora la declaración de aplicabilidad frente a las medidas del Anexo II, supervisa la política, coordina la formación y gestiona los incidentes. En una organización sin función de seguridad, es un trabajo considerable que recae en alguien que ya tiene el suyo.
Qué ocurre después del certificado
Un certificado del ENS no es algo puntual. Los certificados tienen una validez de dos años, y el esquema exige auditorías ordinarias al menos cada dos años, más una auditoría extraordinaria cuando el sistema cambia de forma sustancial. Entre medias, la revisión interna continúa.
Esa cadencia es lo que suele hacer fracasar los enfoques basados en documentos. Una carpeta de políticas montada para una auditoría se desactualiza a los pocos meses de que el auditor se marche. Los sistemas cambian, el personal rota, y la evidencia que respaldaba una medida la primavera pasada ya no describe lo que ocurre hoy. La siguiente auditoría encuentra la brecha.
Por otro lado, el RD 311/2022 obliga a notificar al CCN-CERT los incidentes que afecten a los sistemas cubiertos. Esa obligación es continua, y presupone que la organización es capaz de detectar un incidente en primer lugar.
Qué significa esto si no tienes función de seguridad
La mayoría de las empresas que se enfrentan al ENS por primera vez no tienen a nadie cuyo trabajo sea la seguridad. La obligación llega igualmente completa: un Responsable de la Seguridad designado y separado de las operaciones de IT, 73 medidas dimensionadas por categoría, una auditoría cada dos años, monitorización que funciona de forma continua y un deber de notificación de incidentes.
La forma honesta de dimensionarlo es frente a la alternativa que elegirías en su lugar, que no es una herramienta: es una contratación. Un responsable de seguridad capaz de asumir el rol de Responsable de la Seguridad, dirigir el programa del Anexo II y responder ante un auditor de ENAC es un puesto asalariado, y el coste de ese puesto es la referencia con la que conviene comparar. Una función de seguridad externalizada que cubre el mismo terreno se sitúa muy por debajo de un salario, y llega ya dotada de personal.
Lo que ningún proveedor puede hacer es emitir el certificado. Eso corresponde a una entidad de certificación acreditada tras una auditoría. Lo que un proveedor sí puede hacer es dirigir el programa que supera la auditoría, y seguir dirigiéndolo durante los dos años siguientes, cuando nadie está mirando.
Si el ENS ha llegado a tu mesa por una licitación, las dos primeras decisiones son las anteriores: qué categoría exige el pliego y si eso implica una declaración o una certificación. Acierta en ellas y el resto del programa se dimensiona solo.
Habla con nuestro equipo sobre el alcance de tu ENS.
