Adecuación al ENS en Palencia: sistema de gestión para proveedores de la Administración

La Diputación Provincial de Palencia y el Ayuntamiento de Palencia son administraciones territoriales del sector público español y quedan directamente sujetas al ENS conforme al artículo 2 del RD 311/2022. Además, están sujetos otros organismos dependientes o vinculados, como patronatos, consorcios y entidades instrumentales de la Administración local palentina. Cualquier empresa que preste servicios tecnológicos, gestione sistemas de información o procese datos de ciudadanos en nombre de esos organismos comparte la obligación de adecuarse al ENS en lo que les afecte.

Depende de la categoría del sistema de información implicado en el contrato. Si los sistemas son de categoría básica, es suficiente una declaración de conformidad autoevaluada conforme a la CCN-STIC 809; no se necesita certificación por tercero acreditado. Si son de categoría media o alta, la certificación por una entidad de inspección acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 es obligatoria. Los pliegos de contratación de cada licitación suelen especificar el nivel de exigencia concreto; es recomendable revisarlos antes de iniciar el proceso de adecuación.

Porque el ENS y la ISO 27001:2022 comparten la misma arquitectura de gestión: política de seguridad, análisis de riesgos, selección proporcional de controles y mejora continua. Muchos controles del Anexo II del ENS tienen su equivalente directo en el Anexo A de la ISO 27001:2022, de modo que quien ya tiene la norma certificada puede cerrar el gap hacia el ENS concentrándose solo en los aspectos específicos del marco español. Abordarlos de forma integrada evita duplicar documentación, reduce la carga de auditoría y optimiza el coste total del proyecto.

El Anexo II del RD 311/2022 recoge 75 medidas de seguridad distribuidas en tres marcos y 16 familias. El marco organizativo agrupa las medidas de política, normativa, procedimientos y autorización; el marco operacional incluye 7 familias con 33 medidas que cubren la planificación, control de acceso, explotación, recursos externos, continuidad y la familia op.nub para servicios en la nube; el marco de protección recoge las medidas de protección de activos concretos. No todas las medidas son obligatorias para todos los sistemas: el subconjunto aplicable depende de la categoría (básica, media o alta) asignada al sistema en el proceso de categorización del Anexo I.

El plazo depende de la categoría del sistema, el tamaño de la organización y el punto de partida en materia de seguridad. Para sistemas de categoría básica con prácticas de seguridad ya implantadas, el proceso puede completarse en tres a seis meses. Para categoría media o alta, sin ISO 27001 previa, el proceso suele requerir entre nueve y dieciocho meses, incluyendo el análisis de riesgos, la implantación de medidas y la auditoría de conformidad por la entidad acreditada. Con ISO 27001 certificada, los plazos se reducen de forma significativa.

Cuando una empresa ya tiene la ISO 27001 certificada o en proceso de certificación, Summum Calidad realiza un análisis de brechas preciso que mapea los controles del Anexo II del ENS contra los controles ya implantados en el SGSI. El resultado es un inventario de lo que puede reutilizarse directamente —sin trabajo adicional—, lo que requiere ajuste documental y lo que es genuinamente nuevo respecto al ENS. De ese modo, el proyecto se concentra en cerrar únicamente los gaps reales, sin rehacer lo que ya funciona, y el coste se reduce de forma considerable respecto a un proyecto de adecuación desde cero.