Esquema Nacional de Seguridad (ENS)
Adecuación al ENS para trabajar con la Administración Pública.
Qué es el ENS
El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022. Establece los principios y requisitos mínimos de seguridad que deben cumplir los sistemas de información de las administraciones públicas y también los de las empresas privadas que les prestan servicios o les facilitan soluciones tecnológicas.
Si vendes software, servicios en la nube, soporte informático o cualquier servicio que trate información de una entidad pública, es probable que se te pida conformidad con el ENS.
Categorías y niveles
Los sistemas se clasifican en categoría básica, media o alta, según el impacto que tendría un incidente sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. La categoría determina el conjunto de medidas que hay que aplicar y el tipo de evaluación requerida: en general, una declaración de conformidad en categoría básica y una certificación por entidad acreditada en categorías media y alta.
Cómo es el proyecto
- Determinación del alcance y de los sistemas afectados.
- Categorización de sistemas e información.
- Análisis de riesgos y declaración de aplicabilidad de las medidas del Anexo II.
- Análisis de brechas respecto al estado actual de la empresa.
- Implantación de medidas organizativas, operacionales y de protección, con políticas y procedimientos que se puedan cumplir.
- Auditoría previa y preparación de la declaración o certificación de conformidad.
Puntos que suelen costar más
- La gestión de incidentes y su comunicación al Centro Criptológico Nacional cuando proceda.
- El control de acceso, el registro de actividad y la gestión de privilegios.
- La continuidad del servicio y las copias de seguridad probadas.
- La gestión de proveedores y de la cadena de suministro.
- La formación y concienciación del personal.
Sinergia con ISO 27001
El ENS y la ISO/IEC 27001 comparten buena parte de sus requisitos. Si ya tienes uno de los dos, adaptar el otro suele requerir bastante menos esfuerzo; si necesitas ambos, los planificamos juntos para no duplicar trabajo.
Preguntas frecuentes
¿Mi empresa tiene que cumplir el ENS?
Si prestas servicios o soluciones a entidades del sector público que afecten a sus sistemas de información, lo más habitual es que sí. Lo confirmamos contigo según el contrato o pliego.
¿Es lo mismo que la ISO 27001?
No. Son marcos distintos, con requisitos parecidos. El ENS es obligatorio para el sector público y sus proveedores; la ISO 27001 es voluntaria e internacional.
¿Declaración o certificación?
Depende de la categoría del sistema. En general, la categoría básica admite declaración de conformidad; las categorías media y alta requieren certificación.
¿Os encargáis de la certificación?
Te preparamos y acompañamos. La certificación la emite una entidad acreditada e independiente.
Otros servicios relacionados
Consulta también la lista completa de servicios.
Hablemos de tu caso
Cuéntanos qué necesitas y te diremos con sinceridad si podemos ayudarte y por dónde empezar.
Contactar con CiberiKa