Adecuación al ENS en León: sistema de gestión de la seguridad para proveedores de la Administración

Porque el artículo 2 del RD 311/2022 extiende el ámbito de aplicación del ENS a las entidades privadas que presten servicios o suministren productos a entidades del sector público sujetas a la norma. La Diputación de León, el Ayuntamiento de León y la Universidad de León (ULE) son organismos públicos sujetos al ENS; por tanto, cualquier empresa que les proporcione software, servicios de alojamiento, mantenimiento de sistemas o tratamiento de datos por su cuenta debe adecuarse. Si participas en licitaciones de estos organismos y no puedes acreditar tu adecuación, puedes quedar excluido de esos procedimientos de contratación.

El ENS establece tres categorías: básica, media y alta. La categoría se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para los servicios en alcance. Si el impacto máximo en cualquier dimensión es bajo, el sistema es básico; si alguna dimensión llega a impacto medio, es medio; si alguna alcanza impacto alto, es alto. Para una empresa de servicios tecnológicos que trabaja con el Ayuntamiento de León en un sistema de gestión documental, por ejemplo, la categoría habitual suele ser básica o media. La categoría define qué medidas del Anexo II son obligatorias y si basta con una declaración de conformidad autoevaluada (categoría básica) o se necesita certificación por entidad acreditada por ENAC (media y alta).

El Anexo II del RD 311/2022 recoge las 75 medidas de seguridad que los sistemas sujetos al ENS deben aplicar en función de su categoría. Estas medidas se organizan en tres marcos —organizativo (4 familias), operacional (7 familias, incluyendo op.nub para servicios en la nube) y de protección (5 familias)— con un total de 16 familias. No todas las medidas son obligatorias para todos los sistemas: el Anexo II indica para cada medida si aplica a sistemas de categoría básica, media, alta o a todas. El trabajo de análisis de brechas consiste precisamente en identificar cuáles de esas medidas aplican al sistema de tu organización y cuáles ya están cubiertas por los controles de tu sistema de gestión ISO 27001.

Sí. La Universidad de León es una universidad pública y, como tal, está sujeta al ENS. Eso implica que sus proveedores de sistemas de información —software de gestión académica, servicios en la nube, mantenimiento de infraestructuras, procesamiento de datos de estudiantes— deben acreditar su adecuación al ENS si sus sistemas entran en contacto con los de la ULE. La exigencia concreta depende del pliego de cada contratación, pero la tendencia regulatoria es que los requisitos de conformidad con el ENS aparezcan de forma progresiva en los contratos de servicios TIC de las universidades públicas españolas.

Sí, y es la forma más eficiente de hacerlo. La ISO 27001:2022 y el ENS comparten una estructura de gestión muy similar: política de seguridad, análisis de riesgos, selección de controles proporcionales, implantación con evidencias y revisión periódica. Muchos controles del Anexo A de la ISO 27001:2022 coinciden con medidas del Anexo II del ENS, por lo que el gap se concentra en los aspectos específicos del marco español: la categorización del Anexo I, las medidas sin equivalente exacto en ISO 27001 y el formato de documentación requerido por la CCN. Summum Calidad realiza el análisis de brechas preciso y cierra únicamente lo que falta, sin rehacer lo que ya funciona en tu SGSI.

No. Summum Calidad no emite certificados de conformidad con el ENS ni realiza auditorías de certificación. Para sistemas de categoría básica, preparamos la documentación necesaria para que tu organización emita su propia declaración de conformidad autoevaluada conforme a la CCN-STIC 809. Para sistemas de categoría media o alta, realizamos una revisión pre-auditoría exhaustiva y te acompañamos durante el proceso, pero la certificación la emite una entidad de inspección acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 que la organización elige libremente. Nuestro papel es prepararte para superar ese proceso con las mayores garantías y el menor riesgo de no conformidades.