Cómo se determina la categoría
Cada sistema se valora en cinco dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Para cada dimensión, el impacto de un incidente se valora como bajo, medio o alto. El sistema toma la categoría de su valoración más alta: si alguna dimensión es alta, la categoría es alta; si la más alta es media, es media; en otro caso, es básica.
Qué cambia con cada categoría
La categoría determina qué medidas de seguridad del Anexo II del Real Decreto 311/2022 se aplican y con qué nivel de exigencia. Un sistema de categoría media o alta tiene más medidas y requisitos más estrictos que uno de categoría básica.
Cómo se demuestra la conformidad
Los sistemas de categoría básica pueden acreditarla mediante una Declaración de Conformidad basada en una evaluación interna. Los de categoría media y alta necesitan una Certificación de Conformidad tras una auditoría de una entidad de certificación acreditada.
Quién decide
La categorización la realiza la organización responsable del sistema, con los roles que define el ENS. La guía CCN-STIC 803 explica cómo valorar cada dimensión.
