Administraciones públicas
Ayuntamientos, diputaciones, comunidades autónomas, universidades y organismos públicos que deben adecuar sus sistemas de información.
- Inicio
- Servicios
- Normativas y protección de datos
- Esquema Nacional de Seguridad
Esquema Nacional de Seguridad · RD 311/2022
ENS para administraciones y para quienes trabajan con ellas
El Esquema Nacional de Seguridad es obligatorio para el sector público y, cada vez más, una condición para que una empresa pueda licitar o prestar servicios a una administración. Te acompañamos desde la categorización del sistema hasta la certificación de conformidad.
RD 311/2022
el real decreto que regula el ENS vigente, que sustituyó al de 2010.
5
dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
3
categorías de sistema: básica, media y alta, que determinan las medidas exigibles.
2 años
como máximo entre auditorías ordinarias, y una extraordinaria tras cambios sustanciales.
A quién aplica
¿Necesitas el ENS?
Empresas proveedoras
Empresas privadas que prestan servicios o suministran soluciones a entidades públicas: software, cloud, centros de datos, mantenimiento, externalización…
Licitaciones
Pliegos que exigen la certificación de conformidad con el ENS en una categoría determinada como requisito de solvencia o de ejecución.
Categorización
Calcula la categoría de tu sistema
El ENS valora el impacto de un incidente en cinco dimensiones de seguridad. La categoría del sistema es la del nivel más alto que obtenga cualquiera de ellas.
ConfidencialidadDaño si la información llega a quien no debe conocerla.
IntegridadDaño si la información o el servicio se alteran sin autorización.
TrazabilidadDaño si no se puede saber quién hizo qué y cuándo.
AutenticidadDaño si no se puede garantizar quién es cada usuario o el origen de los datos.
DisponibilidadDaño si el servicio deja de estar disponible cuando se necesita.
Categoría del sistema
Básica
Puede acreditarse con una autoevaluación, que da lugar a una declaración de conformidad.
Consultar mi caso ENS →Simplificación orientativa del Anexo I del RD 311/2022. La valoración real se hace servicio a servicio y con criterios documentados.
Qué incluye
Adecuación completa al ENS
Categorización
Valoración de la información y los servicios en las dimensiones de seguridad para determinar la categoría del sistema: básica, media o alta.
Análisis de riesgos
Metodología MAGERIT y herramientas del CCN, como PILAR, cuando procede.
Declaración de aplicabilidad
Selección y justificación de las medidas del Anexo II y, en su caso, de las medidas compensatorias o del perfil de cumplimiento específico.
Documentación y normativa
Política de seguridad, normativa interna, procedimientos y asignación de roles: responsable de la información, del servicio, de la seguridad y del sistema.
Auditoría
Auditoría interna o de preparación conforme a las guías CCN-STIC, y apoyo durante la auditoría de certificación.
Mantenimiento
Seguimiento del plan de adecuación, informe del estado de la seguridad (INES) y auditorías periódicas.
Cómo trabajamos
Del diagnóstico a la conformidad
- Alcance y categoría
Qué sistemas y servicios entran en el ENS y con qué nivel de exigencia.
- Brecha y plan
Estado actual frente a las medidas aplicables y plan de adecuación con prioridades.
- Implantación
Documentación, medidas técnicas y organizativas y formación de los responsables.
- Conformidad
Autoevaluación o auditoría según la categoría, y obtención de la declaración o certificación.
Licitaciones con ENS
¿Un pliego te exige el ENS?
Revisamos el requisito, la categoría que de verdad necesitas y el camino más corto hasta la conformidad, para que llegues a tiempo.
- Administraciones
- Proveedores TIC
- Cloud y SaaS
- Categoría básica
- Categoría media
- Categoría alta
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué diferencia hay entre declaración y certificación de conformidad?
Los sistemas de categoría básica pueden acreditar el cumplimiento mediante una autoevaluación, que da lugar a una declaración de conformidad. Los de categoría media y alta necesitan una auditoría formal realizada por una entidad de certificación acreditada, que emite la certificación de conformidad.
¿Cada cuánto hay que auditar?
El ENS exige una auditoría ordinaria al menos cada dos años, y una extraordinaria cuando se producen cambios sustanciales en el sistema que puedan afectar a las medidas de seguridad.
Ya tenemos ISO 27001, ¿cuánto nos falta para el ENS?
Normalmente bastante menos que partiendo de cero. Hay medidas y roles propios del ENS que habrá que añadir, pero se puede reutilizar gran parte del sistema de gestión y de las evidencias.
Somos proveedores, ¿qué categoría necesitamos?
La que corresponda a los sistemas y servicios que prestas, que muchas veces viene fijada en el pliego. Revisarlo bien al principio evita certificar más (o menos) de lo necesario.
¿Qué es un perfil de cumplimiento específico?
Un conjunto de medidas adaptado a un tipo de entidad o servicio concreto, aprobado por el CCN, que permite ajustar los requisitos del ENS a una realidad determinada y facilita la adecuación.
Servicios relacionados
También te puede interesar
Contacto
Consulta tu caso ENS
Indícanos si sois una entidad pública o un proveedor, qué servicios entran en el alcance y, si lo hay, el pliego que lo exige. Te diremos qué categoría aplica y cómo llegar a la conformidad.
¿Prefieres el correo?info@afsinformatica.com
Si hay una licitación con plazo, indica la fecha en el asunto del mensaje.