Adecuación al ENS en Tenerife: sistema de gestión de la seguridad para proveedores del sector público canario

Sí. El artículo 2 del RD 311/2022 establece que el ENS aplica a los sistemas de información de las entidades del sector público y a los de sus proveedores cuando dichos sistemas tratan información cuya seguridad es relevante para la del sector público. El Cabildo Insular de Tenerife, el Ayuntamiento de Santa Cruz de Tenerife y la Universidad de La Laguna son entidades sujetas al ENS, y cualquier empresa privada que preste servicios tecnológicos, software de gestión, mantenimiento de sistemas o soluciones en la nube a esas entidades debe tener sus sistemas adecuados. La disposición transitoria única del RD 311/2022 fijó el 5 de mayo de 2024 como fecha límite para los sistemas ya existentes.

El IGIC no modifica los requisitos técnicos del ENS, pero sí tiene implicaciones en la documentación del sistema de gestión. Los controles del Anexo II relacionados con la trazabilidad de operaciones, la integridad de registros y la gestión documental deben reflejar la realidad fiscal de una empresa que opera bajo el Régimen Económico y Fiscal de Canarias: tipos distintos de IGIC, liquidaciones propias y un esquema contable diferente al del IVA peninsular. Los auditores de conformidad revisan la coherencia entre los procesos documentados y los procesos reales, por lo que Summum Calidad adapta los procedimientos del SGSI a la casuística canaria para evitar incongruencias que debiliten la evidencia.

La categoría se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para cada servicio en alcance. Impacto máximo BAJO en todas las dimensiones equivale a categoría básica; si alguna dimensión alcanza impacto MEDIO, el sistema es de categoría media; si alguna llega a impacto ALTO, el sistema es de categoría alta. La categoría determina el subconjunto de las 75 medidas del Anexo II que son obligatorias y la vía de conformidad exigida: básica significa declaración de conformidad autoevaluada conforme a la CCN-STIC 809; media o alta exige certificación por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065.

Sí, y es la vía más eficiente. La ISO 27001:2022 y el ENS comparten una estructura de gestión muy similar —ciclo PDCA, análisis de riesgos, selección proporcional de controles, revisión por la dirección y mejora continua— y muchos controles son coincidentes o complementarios. Con ISO 27001 certificada, el gap hacia el ENS se concentra en los aspectos específicos del marco español: categorización del Anexo I, controles del Anexo II sin equivalente exacto en ISO 27001 y adaptación de la documentación al formato de la CCN. Summum Calidad realiza el análisis de brechas preciso y cierra únicamente lo que falta, sin rehacer el trabajo ya implantado.

Cualquier entidad del sector público sujeta al ENS puede incluir la adecuación como requisito de solvencia técnica o condición de ejecución del contrato. En Tenerife, esto incluye el Cabildo Insular de Tenerife, el Ayuntamiento de Santa Cruz de Tenerife, el Ayuntamiento de La Laguna, la Universidad de La Laguna, el Servicio Canario de Empleo en sus oficinas insulares, los organismos autónomos dependientes del Gobierno de Canarias con sede en la isla y los consorcios y patronatos de administración local. La exigencia del ENS en los pliegos es cada vez más habitual en los contratos de servicios digitales y tecnológicos, especialmente desde que venció el plazo de adecuación en mayo de 2024.

No. El certificado de conformidad ENS para sistemas de categoría media o alta solo puede emitirlo una entidad de inspección acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad no es una entidad acreditada y no emite ningún certificado oficial. Lo que hacemos es preparar tu sistema de gestión de la seguridad de la información para que, cuando llegue la auditoría de conformidad realizada por el tercero acreditado que tú elijas, tu organización esté lista para superarla con garantías: diagnóstico de brechas, implantación de medidas, documentación de evidencias y revisión pre-auditoría antes de la auditoría oficial.