Esquema Nacional de Seguridad
El marco obligatorio para trabajar con el sector público español. Tres categorías, y la que te toca no la eliges tú.
Qué es el ENS
El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022. Es el marco de seguridad de la información de las administraciones públicas españolas, y alcanza a los proveedores privados que les prestan servicios.
No es voluntario. Si prestas servicios a una administración pública española y esos servicios tratan información o dan soporte a un servicio público, el ENS te aplica por norma.
A quién aplica el ENS
- Administraciones públicas españolas, en todos sus niveles
- Empresas privadas que les prestan servicios con tratamiento de información
- Proveedores de un proveedor, cuando la cadena llega a la administración
La categoría del sistema, Básica, Media o Alta, se determina por el impacto que tendría un incidente sobre las dimensiones de seguridad. No es una elección comercial: se deriva del análisis, y el nivel de exigencia y el modo de acreditación dependen de ella.
Qué exige el ENS
El Real Decreto organiza sus medidas de seguridad en tres bloques: marco organizativo, marco operacional y medidas de protección. La categoría del sistema determina cuáles se aplican y con qué profundidad.
Además del bloque de medidas, el ENS exige análisis y gestión de riesgos, política de seguridad, categorización de los sistemas, y auditoría periódica.
Su lógica es distinta a la de ISO 27001. ISO 27001 te pide justificar tus decisiones; el ENS te dice qué medidas te corresponden según la categoría.
Cómo se demuestra el ENS
Depende de la categoría. Los sistemas de categoría Media y Alta requieren certificación de conformidad emitida por una entidad de certificación acreditada. Los de categoría Básica admiten declaración de conformidad.
Con Zerod
El ENS te dice exactamente qué medidas te tocan. Zerod te dice exactamente en cuáles vas.
Activas el ENS y Zerod te da el registro de medidas de tu categoría, genera la documentación del marco organizativo y organiza la recogida de evidencias contra cada medida.
Preguntas frecuentes
¿Tengo que cumplir el ENS si soy una empresa privada?
Sí, si prestas servicios a una administración pública española que impliquen tratamiento de información o soporte a un servicio público. La obligación llega por el contrato, no por tu forma jurídica.
¿Sirve mi certificado ISO 27001 para el ENS?
No lo sustituye. Comparten mucho trabajo de fondo, análisis de riesgos, políticas, controles, pero son marcos distintos con esquemas de conformidad distintos.