El Esquema Nacional de Seguridad (ENS) está regulado por el Real Decreto 311/2022, de 3 de mayo. Fija los principios y requisitos mínimos de seguridad de los sistemas de información que usa el sector público.
A quién se aplica
Al sector público y también a los sistemas de las empresas privadas que prestan servicios o proveen soluciones a entidades del sector público. Por eso aparece en los pliegos de contratos de tecnología (artículo 2.3): si la empresa adjudicataria va a tratar información o prestar un servicio para la Administración, sus sistemas tienen que cumplirlo.
Categorías: básica, media y alta
Cada sistema se clasifica según el impacto que tendría un incidente sobre la información o los servicios. Esa categoría decide qué medidas de seguridad son obligatorias y cómo se acredita su cumplimiento:
- Categoría básica: basta con una autoevaluación, que da lugar a una declaración de conformidad.
- Categorías media y alta: hace falta una auditoría realizada por una entidad de certificación acreditada, que da lugar a una certificación de conformidad.
La conformidad no es permanente: el artículo 31 fija una revisión ordinaria de los sistemas al menos cada dos años.
Qué mirar en el pliego
- Qué categoría se exige y si se pide declaración o certificación.
- Si se pide en el momento de presentar la oferta o antes de empezar a prestar el servicio.
- Qué parte del servicio queda dentro del alcance: no es lo mismo certificar un alojamiento que un desarrollo.
Nuestro enfoque
Aplicamos medidas de bastionado, copias verificadas y gestión de parches en lo que operamos. Cuando un contrato exige una conformidad con el ENS concreta, la indicamos en la oferta solo si la tenemos acreditada.
Fuentes
Última revisión: .