Adecuación al ENS y a la ISO 27001 para empresas
Si su empresa presta servicios a una administración pública, el Esquema Nacional de Seguridad ya no es un asunto ajeno: le afecta a usted. Le acompañamos en todo el camino, desde el análisis inicial hasta las evidencias que le pedirá el auditor.
¿Le afecta el ENS aunque sea una empresa privada?
Sí, y es la parte que más sorprende. El Real Decreto 311/2022 no se queda en las administraciones: su artículo 2.3 extiende el Esquema Nacional de Seguridad a los sistemas de información de las entidades del sector privado cuando prestan servicios o proveen soluciones al sector público.
En la práctica esto significa que si su empresa concursa, subcontrata o simplemente factura a un ayuntamiento, una consejería o una universidad pública, los sistemas con los que presta ese servicio entran en el alcance. Y cada vez es más habitual que el propio pliego lo exija por escrito antes de adjudicar.
Qué cambió con el Real Decreto 311/2022
El ENS nació con el Real Decreto 3/2010. El Real Decreto 311/2022 lo derogó por completo y lo sustituyó por un marco actualizado, con un enfoque de riesgo más flexible y con la extensión al sector privado que acabamos de ver.
La norma dio un plazo de veinticuatro meses para que los sistemas ya existentes alcanzaran la plena adecuación. Ese plazo ya ha vencido. Si su empresa aún no ha hecho nada, no está anticipándose: está fuera de plazo, y conviene ponerse en marcha con un plan realista en lugar de improvisar cuando llegue el requerimiento.
Las tres categorías, y por qué determinan todo lo demás
El ENS clasifica los sistemas en tres categorías —básica, media y alta— según el impacto que tendría un incidente sobre la información y los servicios. La categoría no es una etiqueta: decide cuántas medidas debe aplicar y, sobre todo, cómo tendrá que demostrar que cumple.
- Categoría básica. Basta una autoevaluación para la declaración de conformidad. Sin auditoría externa obligatoria: el trabajo está en documentar bien y poder demostrarlo.
- Categoría media. Requiere auditoría para la certificación de conformidad. Interviene una entidad de certificación acreditada y hay que llegar con las evidencias preparadas.
- Categoría alta. Igual que la media en cuanto a la vía de acreditación, con un nivel de exigencia mayor en las medidas.
Determinar la categoría correcta es el primer trabajo, y no es un trámite: sobredimensionarla le hará gastar de más, y quedarse corto le dejará sin validez la declaración.
Cómo le acompañamos
Nosotros no certificamos —eso corresponde a una entidad acreditada— sino que le llevamos hasta la auditoría en condiciones de superarla:
- Categorización y alcance. Qué sistemas entran, qué información manejan y qué categoría les corresponde.
- Análisis de brechas. Dónde está hoy frente a lo que exige su categoría, medida por medida.
- Plan de adecuación con plazos y coste. Priorizado por riesgo, no una lista genérica de deberes.
- Implantación técnica. La parte que hacemos a diario: control de accesos, copias verificadas, registro de actividad y monitorización, gestión de parches y segmentación de red.
- Documentación y evidencias. Políticas, procedimientos y registros que el auditor va a pedir, escritos para que se sostengan.
- Acompañamiento en la auditoría y cierre de las no conformidades.
La parte jurídica la cubrimos con asesoría legal especializada, porque el ENS y la protección de datos se solapan y conviene que quien redacta los contratos con la Administración y quien implanta las medidas técnicas estén hablando entre ellos.
ENS e ISO 27001: en qué se parecen y en qué no
Se confunden a menudo y conviene tenerlo claro antes de decidir por dónde empezar.
El ENS es una obligación legal en su ámbito de aplicación: el sector público y los privados que le prestan servicios. Lo que aporta es poder trabajar con la Administración.
La ISO 27001 es una norma internacional de adopción voluntaria, abierta a cualquier organización que decida implantarla. Lo que aporta es confianza ante clientes, socios y aseguradoras, y cada vez más aparece como requisito en contratos privados grandes.
La buena noticia es que el trabajo se aprovecha: el análisis de riesgos, las políticas y buena parte de los controles sirven para las dos. Si va a necesitar ambas, hacerlas a la vez cuesta bastante menos que una detrás de otra.
Preguntas frecuentes
Si soy proveedor de un ayuntamiento, ¿tengo que adecuar toda mi empresa?
No necesariamente. El alcance son los sistemas con los que presta ese servicio, no forzosamente toda su infraestructura. Delimitar bien el alcance es precisamente lo que evita gastar de más.
¿La conformidad caduca?
No es un sello permanente. La conformidad se somete a auditoría de forma periódica —al menos cada dos años— y también de manera extraordinaria cuando el sistema sufre modificaciones sustanciales. Es decir, el ENS no se aprueba una vez: se mantiene.
¿Sirve de algo si nunca voy a trabajar con la Administración?
El ENS como tal, poco. Pero las medidas que exige son sensatas por sí mismas, y si busca una acreditación reconocida en el ámbito privado, el camino natural es la ISO 27001.
¿Por dónde se empieza?
Por saber en qué punto está. Una auditoría de seguridad previa da la foto real y evita que el análisis de brechas descubra a mitad de proyecto cosas que cambian el presupuesto.
¿Le han pedido el ENS en un pliego?
Cuéntenos qué servicio presta a la Administración y le decimos en una primera conversación qué categoría le corresponde y qué le falta. Llámenos al 911 599 883 o escríbanos desde el formulario de contacto.
Forma parte de nuestra ciberseguridad gestionada.