Con la transformación digital, la información y los sistemas tecnológicos se han convertido en activos esenciales para la mayoría de las organizaciones. Sin embargo, esta mayor dependencia tecnológica incrementa también la necesidad de garantizar la seguridad de la información, la disponibilidad de los sistemas y la protección frente a posibles incidentes.
En este contexto, el Esquema Nacional de Seguridad (ENS) constituye uno de los principales marcos de referencia en España para garantizar la protección adecuada de la información y de los servicios electrónicos utilizados por las Administraciones Públicas y por determinadas organizaciones que se relacionan con ellas.
Pero ¿qué es exactamente el ENS?, ¿qué empresas deben cumplirlo?, ¿qué requisitos establece? y ¿qué relación existe entre el ENS y la norma ISO 27001?
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el marco normativo español que establece los principios, requisitos y medidas necesarios para garantizar un nivel adecuado de seguridad de la información y de los servicios electrónicos.
Está regulado por el Real Decreto 311/2022, de 3 de mayo, que sustituyó al Real Decreto 3/2010 y actualizó el Esquema Nacional de Seguridad para adaptarlo a un entorno tecnológico caracterizado por un uso creciente de servicios en la nube, la movilidad, la externalización de servicios y la evolución de las amenazas de ciberseguridad.
El objetivo del ENS no es únicamente proteger los sistemas frente a posibles ataques. Plantea un enfoque más amplio e integral de la seguridad, teniendo en cuenta aspectos como la prevención, detección, respuesta, conservación y recuperación frente a incidentes.
De esta forma, el cumplimiento del ENS requiere integrar la seguridad en el funcionamiento habitual de la organización y no tratarla únicamente como una cuestión tecnológica.
¿A quién afecta el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad se aplica a todo el sector público en los términos establecidos en el Real Decreto 311/2022. Además, su aplicación puede extenderse a entidades privadas cuando, en virtud de una relación contractual, prestan servicios o proporcionan soluciones a entidades del sector público y los sistemas de información utilizados se encuentran dentro del ámbito de aplicación del ENS.
Por tanto, determinadas empresas que trabajan con Administraciones Públicas pueden tener que acreditar el cumplimiento de los requisitos del Esquema Nacional de Seguridad para prestar sus servicios o participar en determinados procedimientos de contratación pública.
¿Es obligatorio el ENS para las empresas privadas?
No todas las empresas privadas están obligadas por el hecho de trabajar con el sector público. Es necesario analizar el servicio prestado, los sistemas de información afectados y los requisitos establecidos en la relación contractual o en los correspondientes pliegos.
Por ello, antes de iniciar un proceso de implantación o certificación es importante determinar correctamente el alcance del ENS y conocer qué sistemas, servicios y actividades de la organización están sujetos a sus requisitos.
Para determinadas empresas proveedoras de la Administración, disponer de un sistema adaptado al ENS puede convertirse no solo en una obligación contractual, sino también en un requisito estratégico para poder acceder a determinadas licitaciones y mantener relaciones comerciales con organismos públicos.
¿Qué implica cumplir con el ENS?
Para cumplir con el Esquema Nacional de Seguridad, no basta con disponer de herramientas informáticas o soluciones de ciberseguridad. Requiere establecer un modelo organizado de gestión de la seguridad, asignando responsabilidades, evaluando los riesgos e implantando controles y procedimientos que permitan demostrar de forma objetiva que las medidas implantadas funcionan adecuadamente.
Entre los principales aspectos que deben abordarse, se encuentran los siguientes:
- Definición de una política de seguridad y asignación de responsabilidades.
- Identificación de los activos y sistemas incluidos en el alcance.
- Análisis y gestión de los riesgos de seguridad.
- Categorización de los sistemas de información.
- Implantación de las medidas de seguridad acordes al nivel de riesgo.
- Gestión de activos y control de accesos.
- Protección de la información, las comunicaciones y los sistemas.
- Gestión y respuesta ante incidentes de seguridad.
- Continuidad de los servicios y capacidad de recuperación.
- Gestión de proveedores y servicios externos.
- Formación y concienciación del personal.
- Evaluación periódica del cumplimiento.
- Generación y conservación de las evidencias necesarias para acreditar la conformidad.
El ENS debe entenderse, por tanto, como un proceso continuo y no como un proyecto que termina tras obtener la certificación o la declaración de conformidad. Por ello, una vez implantado el sistema, será necesario articular mecanismos de revisión y actualización periódica, realizar un seguimiento de los controles, gestionar las incidencias y asegurar el mantenimiento de las evidencias. En este sentido, el mantenimiento resulta tan importante como la implantación inicial.
Categorías del ENS: BÁSICA, MEDIA y ALTA
No todos los sistemas presentan el mismo riesgo ni necesitan las mismas medidas de protección. Por ello, el ENS establece estas tres categorías:
- Categoría BÁSICA. Corresponde a sistemas en los que las consecuencias de un incidente de seguridad presentan un impacto limitado.
- Categoría MEDIA. Se aplica cuando las consecuencias de un incidente pueden producir un perjuicio significativo sobre las funciones, la información o los servicios afectados.
- Categoría ALTA. Corresponde a aquellos sistemas en los que un incidente puede producir consecuencias especialmente graves sobre alguna de las dimensiones de seguridad consideradas.
La categoría asignada determina el nivel de exigencia y las medidas de seguridad que deben implantarse.
¿Cómo se determina la categoría de un sistema?
Para establecer la categoría de un sistema, se analiza el impacto que podría tener un incidente sobre cinco dimensiones esenciales de seguridad, habitualmente conocidas mediante el acrónimo DICAT:
- Disponibilidad. Garantizar que los servicios y la información puedan utilizarse cuando sea necesario.
- Integridad. Evitar modificaciones o alteraciones no autorizadas de la información.
- Confidencialidad. Garantizar que la información únicamente sea accesible para las personas o sistemas autorizados.
- Autenticidad. Asegurar que la identidad de los usuarios, procesos o sistemas sea válida y pueda verificarse.
- Trazabilidad. Permitir identificar y atribuir las actuaciones realizadas sobre los sistemas y la información, conociendo quién realizó una determinada acción, cuándo se produjo y sobre qué elemento.
A partir de este análisis, se determina el nivel correspondiente y, con ello, la categoría del sistema y las medidas de seguridad aplicables. El ENS adopta así un enfoque proporcional: cuanto mayores sean las consecuencias potenciales de un incidente, mayores serán las exigencias de protección.
Declaración y certificado de conformidad
El procedimiento para obtener la certificación ENS varía en función de la categoría de los sistemas de información de la organización.
Los sistemas de categoría BÁSICA solo requieren una autoevaluación del ENS para emitir una Declaración de conformidad, aunque voluntariamente pueden someterse a una auditoría de certificación si desean un reconocimiento mayor.
En cambio, los sistemas de categoría MEDIA o ALTA precisan obligatoriamente una auditoría del ENS realizada por una entidad acreditada por ENAC para para obtener el Certificado de conformidad oficial.
Por lo tanto, antes de iniciar el proceso de certificación, es fundamental realizar un correcto análisis de riesgos para definir con precisión el alcance del ENS y la categorización de los sistemas afectados.
No obstante, la conformidad con el ENS no debe entenderse como un estado estático. Cumplir con el Esquema Nacional de Seguridad requiere una mejora continua. Las organizaciones deben implementar mecanismos de control, revisar periódicamente el cumplimiento y mantener actualizadas las medidas de seguridad y las evidencias asociadas al sistema.
¿Cómo implantar el Esquema Nacional de Seguridad?
Como ya se ha indicado, la implantación del ENS debe adaptarse a las características de cada organización y al alcance de los sistemas afectados. De manera general, el proceso suele estructurarse en las siguientes fases:
- Determinar el alcance. Identificar de forma precisa qué servicios, sistemas de información, procesos y recursos se encuentran dentro del ámbito del ENS. Una definición incorrecta puede comprometer todo el proceso de implantación y certificación.
- Realizar un diagnóstico inicial. Llevar a cabo un análisis de brecha (gap analysis) para evaluar la situación de partida de la organización. Este diagnóstico revela qué requisitos ya se cumplen y cuáles requieren desarrollo o mejora.
- Categorizar los sistemas. Clasificar los sistemas (en categoría Básica, Media o Alta) midiendo el impacto potencial de un incidente sobre sus cinco dimensiones esenciales (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad).
- Analizar y gestionar los riesgos. Identificar las amenazas y vulnerabilidades que pueden afectar a los sistemas y valorar los riesgos asociados. A partir de este estudio, se definen las medidas necesarias para reducirlos hasta unos niveles aceptables.
- Implantar las medidas de seguridad. Desplegar e integrar en la actividad diaria las medidas de seguridad del ENS (organizativas, operacionales y técnicas) derivadas de la categorización previa y del análisis de riesgos realizado.
- Documentar el sistema y generar evidencias. Elaborar la política de seguridad, los procedimientos y los registros del sistema. La generación y conservación de evidencias es especialmente importante, ya que el cumplimiento debe poder demostrarse de forma objetiva.
- Evaluar la conformidad. Someter el sistema a la autoevaluación o auditoría del ENS pertinente según de la categoría obtenida, subsanando previamente las posibles desviaciones detectadas.
- Mantener y mejorar el sistema. El trabajo no finaliza con la declaración o certificación de conformidad. Es imprescindible actualizar periódicamente el sistema, revisar los riesgos y verificar la eficacia de las medidas frente a nuevas amenazas o cambios tecnológicos.
ENS e ISO 27001: ¿son lo mismo?
El Esquema Nacional de Seguridad y la norma ISO 27001 comparten numerosos elementos, pero no son equivalentes.
ISO 27001 es un estándar internacional que establece los requisitos para implantar un Sistema de Gestión de Seguridad de la Información (SGSI). Su finalidad es proporcionar un marco sistemático para identificar, gestionar y tratar los riesgos relacionados con la seguridad de la información.
El ENS, por su parte, es un marco normativo de obligado cumplimiento en España para el sector público y algunos de sus proveedores. A diferencia de ISO 27001, el ENS no solo evalúa el riesgo, sino que exige el cumplimiento estricto de un catálogo de medidas de seguridad organizativas, operacionales y técnicas en función de la categoría del sistema.
En una misma organización pueden convivir ambos modelos. De hecho, disponer de un Sistema de Gestión de Seguridad de la Información basado en ISO 27001 puede facilitar la estructura de responsabilidades, la gestión de riesgos, los controles y las evidencias necesarias para abordar el Esquema Nacional de Seguridad.
Sin embargo, disponer de una certificación ISO 27001 no implica automáticamente cumplir con el ENS, por lo que es imprescindible realizar un análisis de brecha para identificar y cubrir específicamente los requisitos técnico-legales que exige la normativa española en cada caso.
¿Cómo puede ayudarte GAIA SYSTEMS con el cumplimiento del ENS?
En GAIA SYSTEMS, como consultora especializada en la implantación y mantenimiento de sistemas de gestión, ayudamos a las organizaciones a estructurar sus procesos y a establecer sistemas que permitan gestionar sus obligaciones de manera ordenada y eficaz.
En relación con el Esquema Nacional de Seguridad, acompañamos a las organizaciones durante las diferentes fases del proceso:
- Diagnóstico inicial y análisis de brecha respecto al ENS.
- Determinación del alcance e identificación de los requisitos aplicables.
- Categorización de los sistemas de información.
- Análisis y gestión de riesgos.
- Definición y elaboración de políticas, procesos y procedimientos.
- Guía en el despliegue, implantación y seguimiento de las medidas de seguridad requeridas.
- Integración del ENS con otros sistemas de gestión existentes, como ISO 27001.
- Preparación para los procesos de autoevaluación, auditoría y certificación que correspondan.
- Mantenimiento, actualización y mejora continua del sistema.
- Asesoramiento técnico y normativo continuo.
Para GAIA SYSTEMS, el ENS no debe abordarse únicamente como una obligación normativa o contractual, sino como una oportunidad estratégica. Una implantación correctamente planteada puede contribuir también a mejorar la forma en la que una organización protege su información, gestiona sus riesgos, estructura sus responsabilidades y garantiza la continuidad de sus servicios.
¿Tu organización presta servicios a las Administraciones Públicas?
Si necesitas conocer qué requisitos del Esquema Nacional de Seguridad debe cumplir tu organización, determinar la categoría de tus sistemas o preparar el proceso de implantación y conformidad con el ENS, en GAIA SYSTEMS analizamos tu situación actual y te acompañamos paso a paso.
Nuestro objetivo es integrar el ENS en la actividad diaria de tu organización de forma práctica, proporcionada y 100% adaptada a tus necesidades reales.
Contacta con nuestro equipo de expertos y diseñaremos la hoja de ruta idónea para que avancéis hacia el cumplimiento del Esquema Nacional de Seguridad de manera eficiente.
