Adecuación al ENS en Burgos: sistema de gestión de la seguridad para proveedores de la Administración local

Sí. El RD 311/2022 establece que el ENS aplica no solo a las entidades del sector público, sino también a sus proveedores y contratistas cuando los sistemas de información de la empresa privada entran en contacto con los del sector público. Si prestas servicios tecnológicos, gestionas datos de ciudadanos o suministras software a la Diputación de Burgos, al Ayuntamiento de Burgos o a la Universidad de Burgos (UBU), tu obligación de adecuación al ENS es plena. El plazo para sistemas ya existentes expiró el 5 de mayo de 2024; los nuevos sistemas deben cumplir desde el primer día de operación.

Sí. La Universidad de Burgos es una entidad del sector público universitario y queda expresamente incluida en el ámbito de aplicación del artículo 2 del RD 311/2022. Esto significa que sus sistemas de información deben adecuarse al ENS y que los proveedores que gestionan o acceden a esos sistemas —plataformas de gestión académica, servicios en la nube, mantenimiento de infraestructuras TIC— están igualmente obligados a cumplir con el nivel de categoría que corresponda a esos servicios.

Depende del servicio y de los datos que gestiona, pero los proveedores SaaS que alojan aplicaciones para entidades del sector público suelen categorizar sus sistemas como básico o medio. Si la aplicación gestiona datos de carácter personal de ciudadanos, información presupuestaria o expedientes administrativos con cierta criticidad, la categoría media es frecuente. La categoría alta es menos habitual en el ámbito local, pero puede darse en sistemas de gestión de infraestructuras críticas o servicios de emergencias. La categorización final requiere valorar las cinco dimensiones CIDAT caso a caso, que es el primer paso que hacemos en el proyecto.

La ventaja principal es la eficiencia. Ambas normas comparten una estructura de gestión muy similar —política de seguridad, análisis de riesgos, selección de controles, auditoría y mejora continua— y muchos controles del Anexo II del ENS tienen equivalentes directos o parciales en el Anexo A de la ISO 27001:2022. Con un SGSI ISO 27001 certificado o en proceso, el gap hacia el ENS se concentra únicamente en los aspectos específicos del marco español. Abordar ambas normas en un único proyecto evita duplicar análisis de riesgos, documentación y auditorías internas, con un ahorro estimado de entre el 30 % y el 40 % respecto a dos proyectos independientes.

Las entidades que pueden certificar la conformidad con el ENS para sistemas de categoría media o alta son exclusivamente entidades de inspección acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad no emite ese certificado. Lo que hacemos es preparar tu sistema —documentación, controles implantados, evidencias y revisión pre-auditoría— para que superes el proceso de certificación con la entidad acreditada que tú elijas. Para sistemas de categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada conforme a la CCN-STIC 809, que sí preparamos y acompañamos íntegramente.

El cumplimiento del ENS es un requisito de solvencia técnica en los pliegos de contratos públicos que afectan a sistemas de información. Si quieres licitar con la Diputación de Burgos, el Ayuntamiento de Burgos o la UBU en contratos que impliquen gestión de datos o sistemas de la Administración, es habitual que los pliegos exijan la acreditación de adecuación al ENS en la categoría que corresponda al contrato. No haberla completado puede excluirte de plano de esa licitación. Iniciar el proyecto con suficiente antelación —mínimo tres a seis meses para categoría básica, nueve a dieciocho para media o alta— es la única garantía de llegar a tiempo.