Real Decreto 311/2022
Adecuación al Esquema Nacional de Seguridad (ENS)
Obligatorio en el ámbito público
El Esquema Nacional de Seguridad es obligatorio para el sector público español y para las empresas que le prestan servicios o soluciones tecnológicas. Te ayudamos a categorizar tus sistemas, implantar las medidas exigidas y preparar la conformidad.
Qué es el ENS
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, de 3 de mayo, establece los principios y requisitos de seguridad que deben cumplir los sistemas de información del sector público español. Su objetivo es generar confianza en el uso de medios electrónicos por parte de las administraciones.
A quién aplica
Se aplica a todo el sector público y también a las entidades del sector privado que prestan servicios o proveen soluciones a las entidades públicas, en relación con esos servicios. Por eso es cada vez más frecuente que los pliegos de contratación exijan la conformidad con el ENS a proveedores tecnológicos, de servicios en la nube, de desarrollo de software o de soporte.
Si tu empresa no trabaja con el sector público, el ENS no le resulta exigible, aunque sus guías siguen siendo una buena referencia técnica.
Cómo se acredita
- Categorización de los sistemas en BÁSICA, MEDIA o ALTA, según el impacto de un incidente.
- Declaración de aplicabilidad con las medidas que corresponden.
- Implantación de las medidas organizativas, operacionales y de protección.
- Conformidad: autoevaluación para la categoría BÁSICA y certificación por una entidad acreditada para MEDIA y ALTA.
Nuestro enfoque
Partimos de lo que ya tienes. Si dispones de un sistema conforme a ISO 27001, lo extendemos para cubrir los requisitos propios del ENS. Nos apoyamos en las guías CCN-STIC del Centro Criptológico Nacional y en una documentación proporcionada, para que el esquema sea sostenible después de la auditoría.
Alcance
Qué incluye
-
Análisis de aplicabilidad y alcance
Qué sistemas y servicios entran en el ámbito del ENS según vuestra relación con el sector público.
-
Categorización
Valoración de la información y los servicios para determinar la categoría BÁSICA, MEDIA o ALTA.
-
Declaración de aplicabilidad
Selección y justificación de las medidas de seguridad que corresponden.
-
Implantación de medidas
Marco organizativo, marco operacional y medidas de protección, con apoyo en las guías CCN-STIC.
-
Preparación de la conformidad
Autoevaluación en categoría BÁSICA o auditoría de certificación con una entidad acreditada en MEDIA y ALTA.
Resultado
Lo que recibes
- Informe de categorización
- Declaración de aplicabilidad
- Política de seguridad y normativa de desarrollo
- Análisis de riesgos
- Plan de adecuación y evidencias para la auditoría
Método
Cómo trabajamos
-
01Conocer
Diagnóstico
Entrevistas con dirección e IT y revisión técnica y documental. Obtienes una fotografía clara de tu nivel de seguridad y de las obligaciones que te afectan.
-
02Priorizar
Hoja de ruta
Convertimos los hallazgos en un plan ordenado por riesgo, esfuerzo y coste, con responsables y plazos que tu organización puede asumir.
-
03Implantar
Implantación
Ejecutamos o coordinamos las medidas: accesos, copias, configuraciones, políticas y formación. Sin imponer herramientas que no necesitas.
-
04Sostener
Acompañamiento continuo
Revisiones periódicas, indicadores comprensibles, gestión de incidentes y adaptación a nuevos riesgos y obligaciones. La seguridad deja de ser un proyecto y se convierte en un hábito.
Preguntas frecuentes
Dudas habituales sobre ENS
¿Una empresa privada tiene que cumplir el ENS?
Sí, cuando presta servicios o provee soluciones tecnológicas a entidades del sector público dentro del ámbito del Real Decreto 311/2022. En la práctica, se exige habitualmente en los pliegos de contratación.
¿Qué diferencia hay entre las categorías?
La categoría (BÁSICA, MEDIA o ALTA) depende del impacto que tendría un incidente sobre la información o los servicios. Determina las medidas exigibles y la forma de acreditar la conformidad.
¿Sirve ISO 27001 para el ENS?
Ayuda mucho, porque ambos comparten enfoque y buena parte de los controles, pero no lo sustituye. El ENS tiene requisitos propios que hay que cubrir y acreditar específicamente.
ENS
Preparar la adecuación al ENS
Indícanos qué servicios prestáis al sector público y si existe una licitación o fecha objetivo.