ENS: guía del Esquema Nacional de Seguridad
Qué es el ENS, a quién obliga, qué significan las categorías básica, media y alta y cómo se demuestra el cumplimiento. Guía para proveedores del sector público.
Por Zyro
El Esquema Nacional de Seguridad (ENS) es el marco español que fija los requisitos mínimos de seguridad de la información para el sector público. Está regulado por el Real Decreto 311/2022, que sustituyó al Real Decreto 3/2010. Si vendes servicios a una administración, te interesa saber cómo funciona.
A quién obliga
- A las administraciones públicas y a las entidades del sector público.
- A las empresas privadas que les prestan servicios cuando esos servicios afectan a sistemas o información de la administración. Es el caso de proveedores de software, alojamiento, soporte o servicios en la nube.
En la práctica, muchas empresas se encuentran con el ENS cuando un pliego de licitación les exige conformidad o certificación como requisito.
Las tres categorías: básica, media y alta
El ENS no impone lo mismo a todos los sistemas. Se determina una categoría según el impacto que tendría un incidente sobre cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Si un fallo tendría un impacto limitado, la categoría es básica; si fuera grave, media; si fuera muy grave, alta. A mayor categoría, más medidas y más exigencia.
Qué medidas incluye
El anexo II del real decreto agrupa las medidas en tres bloques:
- Marco organizativo: política de seguridad, normativa interna, procedimientos y autorización de sistemas.
- Marco operacional: planificación, control de acceso, explotación, servicios externos, continuidad y monitorización.
- Medidas de protección: protección de instalaciones, de los equipos, de las comunicaciones, de los soportes, de las aplicaciones y de la información.
Para guiarse, el Centro Criptológico Nacional (CCN) publica las guías CCN-STIC, que bajan estas medidas a la práctica.
Cómo se demuestra el cumplimiento
- Categoría básica: basta con una autoevaluación y una declaración de conformidad (también se puede certificar de forma voluntaria).
- Categorías media y alta: se requiere una certificación de conformidad emitida por una entidad de certificación acreditada.
Comprueba siempre las instrucciones técnicas y guías vigentes del CCN, porque el procedimiento se desarrolla y se actualiza.
ENS e ISO 27001: parecidos, pero no iguales
Ambos se basan en gestionar el riesgo con un conjunto de controles y un ciclo de mejora continua, y por eso tener una base de ISO 27001 ayuda mucho. Pero una certificación no sustituye a la otra: el ENS es obligatorio para el ámbito público español y tiene sus propias medidas, categorías y procedimiento de certificación.
Pasos para prepararte
- Identifica los sistemas que dan servicio a la administración.
- Determina la categoría de cada uno según el impacto.
- Haz un análisis de brechas frente a las medidas aplicables.
- Corrige lo que falte: políticas, controles técnicos, formación.
- Comprueba la eficacia con pruebas técnicas (pentest) y gestión de vulnerabilidades.
- Declara o certifica según tu categoría.
Cómo encaja Zyro
El ENS pide, entre otras cosas, vigilar los sistemas, gestionar incidentes y verificar que las medidas funcionan. Esa es la parte técnica en la que trabajamos con ZyroShield. Esta guía es informativa y no sustituye a una consultoría de cumplimiento ni a una certificación: nosotros te ayudamos con las pruebas y la defensa técnica. Más información en nuestra página de ciberseguridad o por contacto directo.