Esquema Nacional de Seguridad (ENS)

Preguntas frecuentes sobre el ENS

Sobre el ENS

¿A quién se aplica el ENS?

A todo el sector público español: Administración General del Estado, comunidades autónomas, entidades locales, universidades públicas y demás organismos públicos. También se aplica a los sistemas de información de las empresas privadas que prestan servicios o soluciones a entidades del sector público, como proveedores de servicios en la nube, de software, de soporte o de cualquier servicio tecnológico que trate información pública.

¿Es obligatorio certificarse?

Depende de la categoría del sistema. Los sistemas de categoría MEDIA o ALTA deben superar una auditoría para obtener la Certificación de Conformidad. Los de categoría BÁSICA solo necesitan una autoevaluación para emitir una Declaración de Conformidad, aunque también pueden optar por certificarse. En la práctica, muchas administraciones exigen el certificado a sus proveedores en los pliegos de contratación.

¿Qué diferencia hay entre la Declaración y la Certificación de Conformidad?

La Declaración de Conformidad la emite la propia organización tras una autoevaluación de su sistema, y solo es válida para sistemas de categoría BÁSICA. La Certificación de Conformidad la emite una entidad de certificación acreditada, como IGC, después de una auditoría independiente. Es obligatoria para las categorías MEDIA y ALTA y aporta una garantía externa también en la categoría BÁSICA.

¿Existe una versión UNE o ISO del ENS?

No. A diferencia de normas como la UNE-EN ISO/IEC 27001, el ENS no es una norma técnica de ISO ni de UNE, sino una norma legal española: el Real Decreto 311/2022, de 3 de mayo, publicado en el Boletín Oficial del Estado. Su desarrollo técnico corresponde al Centro Criptológico Nacional (CCN), que publica las guías y criterios para aplicarlo y auditarlo. Por eso los certificados del ENS hacen referencia al Real Decreto 311/2022 y a su categoría, y no a una norma UNE.

¿Cómo se determina la categoría de un sistema?

Se valora el impacto que tendría un incidente de seguridad en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión recibe un nivel BAJO, MEDIO o ALTO, y la categoría del sistema la marca el nivel más alto:

• ALTA: si alguna dimensión alcanza el nivel ALTO.
• MEDIA: si alguna dimensión alcanza el nivel MEDIO y ninguna el ALTO.
• BÁSICA: si ninguna dimensión supera el nivel BAJO.

¿Qué medidas de seguridad exige?

El Anexo II del Real Decreto 311/2022 recoge 73 medidas de seguridad agrupadas en tres bloques:

• Marco organizativo: política y normativa de seguridad, procedimientos y proceso de autorización.
• Marco operacional: planificación, control de acceso, explotación, recursos externos, servicios en la nube, continuidad del servicio y monitorización del sistema.
• Medidas de protección: instalaciones, personal, equipos, comunicaciones, soportes de información, aplicaciones, información y servicios.

Las medidas aplicables y su nivel de exigencia dependen de la categoría y de los niveles de cada dimensión. La organización las recoge en su Declaración de Aplicabilidad.

¿Qué son los perfiles de cumplimiento específicos?

Son conjuntos de medidas adaptados a determinados tipos de entidades o sectores, aprobados por el CCN, que concretan qué medidas y refuerzos se aplican en esos casos. Permiten cumplir el ENS de forma más proporcionada, por ejemplo en entidades locales de menor tamaño.

¿Qué guías y normas complementan el ENS?

Además del Real Decreto 311/2022, las auditorías de certificación tienen en cuenta:

• Las Instrucciones Técnicas de Seguridad de conformidad con el ENS, auditoría de la seguridad de los sistemas de información, notificación de incidentes de seguridad e informe del estado de la seguridad.
• Las guías de la serie CCN-STIC 800, que explican cómo aplicar el ENS.
• Los criterios generales de auditoría y certificación del CCN-CERT (IC-01/19).

¿Qué relación tiene con ISO/IEC 27001?

Ambos persiguen proteger la información, pero tienen una naturaleza distinta: ISO/IEC 27001 es una norma internacional voluntaria, mientras que el ENS es una obligación legal para el sector público y sus proveedores. Muchas medidas son comunes, por lo que una organización con un sistema de gestión de la seguridad de la información implantado tiene buena parte del trabajo hecho para el ENS, y viceversa. IGC certifica ambos esquemas y las auditorías pueden coordinarse.

Sobre el proceso de certificación

¿Cómo es el proceso de certificación con IGC?

1. Solicitud: la organización envía su solicitud a través del formulario de la web o del cuestionario de datos del cliente.
2. Revisión y oferta: IGC revisa la solicitud conforme al Real Decreto 311/2022, determina las jornadas de auditoría y el equipo auditor necesarios y envía una oferta de certificación.
3. Aceptación: la organización acepta la oferta, las condiciones del servicio y las reglas de uso del Distintivo de Conformidad.
4. Plan de auditoría: IGC comunica el plan y la composición del equipo auditor. La organización puede pedir información sobre los auditores y, de forma justificada, objetar su designación.
5. Auditoría: el equipo auditor verifica el cumplimiento de los requisitos del ENS y emite un informe con su dictamen.
6. Acciones correctivas: si se detectan no conformidades, la organización presenta un plan de acciones correctivas.
7. Decisión: tras una revisión técnica del expediente, la Comisión de Certificación, formada por personas distintas de las que auditaron, decide sobre la certificación.
8. Certificado: IGC emite el Certificado de Conformidad con el ENS para la categoría que corresponda: BÁSICA, MEDIA o ALTA.

Puede consultar el detalle completo en nuestra página sobre el proceso de certificación.

¿Se puede realizar la auditoría en remoto?

Sí. La auditoría puede ser presencial, en remoto o mixta. Para realizarla total o parcialmente en remoto, IGC analiza previamente los riesgos y confirma que la auditoría a distancia es viable.

¿Qué resultados puede tener la auditoría?

El informe de auditoría concluye con uno de estos dictámenes:

• Favorable: no se ha detectado ninguna no conformidad.
• Favorable con no conformidades: se han detectado no conformidades mayores o menores. La organización debe presentar un plan de acciones correctivas en el plazo máximo de un mes desde la firma del informe.
• Desfavorable: hay un número significativo de no conformidades mayores que no pueden resolverse mediante un plan de acciones correctivas. En ese caso se requiere una auditoría extraordinaria, limitada a esas no conformidades, en un plazo máximo de seis meses.

IGC no puede conceder la certificación mientras existan no conformidades sin un plan de acciones correctivas evaluado satisfactoriamente. Si no está de acuerdo con una no conformidad o con una decisión, puede presentar una apelación siguiendo nuestro proceso de apelaciones.

¿Cuánto cuesta la certificación?

No hay un precio único. El coste depende principalmente del número de jornadas de auditoría, que se calcula en función de la categoría del sistema, del alcance de los sistemas de información y servicios incluidos, del número de personas y de ubicaciones, y de su complejidad. Puede solicitar un presupuesto a través de nuestro formulario de solicitud.

¿Necesito contratar una consultoría?

No es obligatorio. Muchas organizaciones adecuan sus sistemas al ENS con su propio personal y otras prefieren apoyarse en consultores independientes. Lo que una entidad de certificación como IGC no puede hacer es asesorarle en la implantación de las medidas que después va a auditar, ya que comprometería su imparcialidad. En nuestra página Preparar la certificación encontrará los pasos recomendados.

Después de la certificación

¿Cuánto tiempo es válido el certificado?

El Certificado de Conformidad con el ENS es válido durante dos años, ya que el Real Decreto 311/2022 exige auditar los sistemas al menos cada dos años. Antes de su vencimiento debe realizarse una nueva auditoría ordinaria para renovarlo.

¿Cuándo hace falta una auditoría extraordinaria?

• Cuando se producen modificaciones sustanciales en los sistemas de información que pueden afectar a las medidas de seguridad requeridas.
• Cuando se quiere pasar a una categoría superior.
• Cuando se quiere ampliar o reducir el alcance de la certificación.

Si no han pasado más de seis meses desde la última auditoría ordinaria, la auditoría extraordinaria puede limitarse a los cambios realizados.

¿Qué es el Distintivo de Conformidad y cómo debe usarse?

Es el sello que acredita públicamente que un sistema ha obtenido la Certificación de Conformidad con el ENS en una categoría determinada. Cuando sea aplicable, la organización debe mostrarlo en su página web o sede electrónica con un enlace a su certificado, respetando las Reglas de Uso del Distintivo. IGC revisa cada seis meses que los distintivos de sus clientes se exhiben correctamente.

¿Qué significa que la certificación esté acreditada por ENAC?

Las entidades que emiten certificados de conformidad con el ENS deben estar acreditadas por ENAC (Entidad Nacional de Acreditación), que evalúa su competencia conforme a la norma UNE-EN ISO/IEC 17065 y a los criterios del CCN. El CCN publica la relación de entidades de certificación del ENS.

¿Cómo se puede verificar un certificado de conformidad con el ENS?

• Escaneando el código QR que figura en el certificado, que permite comprobar si está en vigor y qué actividades y ubicaciones incluye.
• Consultando la relación de organizaciones certificadas que publica el CCN en su web de certificación del ENS.
• Escribiendo a [email protected].