¿Cuándo te exige el ENS un contrato público?
Cuando tu empresa presta servicios o provee soluciones a una entidad del sector público para el ejercicio de sus competencias. El artículo 2.3 del RD 311/2022 obliga a que los pliegos pidan la declaración o certificación de conformidad, y la exigencia alcanza a tu cadena de suministro si el análisis de riesgos lo justifica.
El Esquema Nacional de Seguridad (ENS) es la norma de seguridad del sector público. Se aplica también a los sistemas de las empresas privadas que le prestan servicios, con una obligación expresa: tener una política de seguridad aprobada por «el órgano que ostente las máximas competencias ejecutivas», que en una pyme es la dirección (artículo 2.3). Qué es el ENS y qué categorías tiene lo cuenta la guía del Esquema Nacional de Seguridad; esta trata de cómo se acredita.
La conformidad no es de la empresa entera: es de los sistemas y servicios que sustentan lo que prestas, y la declaración los enumera. Si trabajas para un contratista de la Administración, el mismo artículo extiende la cautela «a la cadena de suministro de dichos contratistas». Y en un servicio externalizado tienes que designar una persona de contacto para la seguridad, que será tu responsable de seguridad o alguien en comunicación directa con él (artículo 13.5).
¿Qué diferencia hay entre la declaración y la certificación de conformidad con el ENS?
La declaración la emite la propia empresa tras una autoevaluación y solo vale para sistemas de categoría BÁSICA. La certificación la expide una entidad acreditada tras una auditoría y vale para cualquier categoría; en MEDIA y ALTA es obligatoria. Las dos se renuevan al menos cada dos años (artículos 31 y 38 del RD 311/2022).
| Categoría | Cuándo | Cómo se acredita | Quién la emite |
|---|---|---|---|
| BÁSICA | Algún nivel BAJO y ninguno superior | Autoevaluación y declaración de conformidad; certificarse es opcional | Tu empresa |
| MEDIA | Algún nivel MEDIO y ninguno ALTO | Auditoría y certificación de conformidad | Entidad de certificación acreditada por la Entidad Nacional de Acreditación (ENAC) |
| ALTA | Algún nivel ALTO | Auditoría y certificación de conformidad | Entidad de certificación acreditada por ENAC |
En BÁSICA puedes elegir certificarte: la Instrucción Técnica de Seguridad (ITS) de conformidad llama a esa opción «siempre la deseable». Tiene sentido si el pliego la valora o si un cliente privado te pide un sello externo; si no, la declaración basta.
¿Cómo se sabe si un sistema es de categoría básica, media o alta en el ENS?
Se valora qué perjuicio causaría un incidente en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada una se califica BAJO, MEDIO o ALTO, y manda la más alta: un solo ALTO hace el sistema de categoría ALTA (anexo I del RD 311/2022). El modelo de pliego del CCN prevé indicar la categoría exigida.
| Nivel | Perjuicio | Por ejemplo, según el anexo I |
|---|---|---|
| BAJO | Limitado | Daño menor en los activos; incumplimiento formal y subsanable de una norma; perjuicio menor y fácil de reparar a una persona |
| MEDIO | Grave | Daño significativo en los activos; incumplimiento material de una norma; perjuicio significativo y de difícil reparación |
| ALTO | Muy grave | Daño muy grave o irreparable; incumplimiento grave de una norma; perjuicio grave, de difícil o imposible reparación |
Valoran la información y los servicios sus responsables, y la categoría la fija el responsable de la seguridad (artículo 41). Se revisa cada año o cuando cambian los criterios (anexo I). Y el CCN advierte de que sería «un error» dar por cumplido el ENS con la conformidad en BÁSICA si el sistema es de una categoría superior.
¿Cómo se hace la autoevaluación del ENS en categoría básica?
La hace el personal que administra el sistema, o en quien delegue, y tiene que quedar documentada: medida a medida, si está implantada, si se revisa con regularidad y qué evidencias lo sustentan (anexo III, punto 2.1). El responsable de la seguridad analiza el informe y eleva las conclusiones al responsable del sistema.
52 de 73
medidas del anexo II del RD 311/2022 pueden aplicarse a un sistema de categoría BÁSICA, según la categoría o las dimensiones afectadas. Las otras 21 no se aplican en esa categoría.
Antes de evaluar
- Alcance: los sistemas y servicios del contrato
- Categorización por dimensiones, con fecha (anexo I)
- Política de seguridad aprobada por la dirección (artículo 12)
- Responsables de la información, del servicio, de la seguridad y del sistema (artículo 11)
- Análisis de riesgos: en BÁSICA basta uno informal, según el CCN
- Declaración de aplicabilidad firmada por el responsable de la seguridad (artículo 28.2)
Medida a medida
- ¿Está implantada?
- ¿Se revisa con regularidad?
- ¿Qué evidencia la sustenta, con fecha y origen?
- Si no aplica o se sustituye, la justificación o la medida compensatoria (artículo 28.3)
Después
- Informe analizado por el responsable de la seguridad
- Medidas correctoras, con fecha
- Declaración firmada y distintivo publicado en tu web
En una empresa de quince personas, lo difícil es el reparto de papeles: el responsable de la seguridad tiene que ser distinto del responsable del sistema, sin dependencia jerárquica. Si faltan recursos pueden coincidir, aplicando medidas compensatorias (artículo 13.3). Un responsable de seguridad externo es una forma de separarlos.
¿Quién firma la declaración de conformidad con el ENS y qué tiene que decir?
La expide la entidad responsable del sistema y la firma el titular de su órgano superior, que en una empresa es la dirección. La Instrucción Técnica de Seguridad de conformidad fija el contenido mínimo: identificación, distintivo, sistemas y servicios incluidos, fecha del informe, fechas inicial y de renovación, y firma. Se publica en tu web.
| Elemento | Qué poner |
|---|---|
| Logotipo e identificación | Los de tu empresa |
| Distintivo | El de Declaración de Conformidad del anexo II de la ITS |
| Título | «Declaración de Conformidad con el Esquema Nacional de Seguridad» |
| Declaración | Que los sistemas, todos de categoría BÁSICA, han superado la autoevaluación, con la fecha del informe |
| Sistemas y servicios | La lista: como mínimo, los del contrato |
| Fechas | Declaración inicial y renovación |
| Lugar, fecha y firma | Del titular del órgano superior: en una empresa, la dirección |
La declaración y el distintivo van en documentos electrónicos no editables. El distintivo se exhibe en tu web y enlaza a la declaración, que tiene que seguir accesible (apartado VII.3 de la ITS). La guía CCN-STIC 809 del CCN ofrece modelos.
¿Quién certifica la conformidad con el ENS en categoría media y alta?
Una entidad de certificación acreditada por ENAC según la norma UNE-EN ISO/IEC 17065:2012, o en proceso de acreditación, con 12 meses para obtenerla. El Centro Criptológico Nacional publica la lista actualizada. La entidad audita el sistema y emite el certificado de conformidad y su distintivo, que vale como máximo dos años.
Paso 1
Plan de adecuación
Alcance, categoría, declaración de aplicabilidad, análisis de riesgos y política de seguridad.
Paso 2
Implantación
Medidas técnicas, normativa interna y recogida de evidencias.
Paso 3
Oferta de la entidad de certificación
Jornadas de auditoría, modo presencial, telemático o mixto, y coste.
Paso 4
Auditoría
Un informe con los hallazgos de conformidad y de no conformidad (anexo III).
Paso 5
Certificado y distintivo
Vale como máximo dos años desde la fecha de certificación inicial.
Cada año
Auditoría interna
En MEDIA y ALTA, el CCN espera una auditoría interna anual entre certificaciones.
Fuente: Centro Criptológico Nacional, preguntas frecuentes del ENS, consultado el .
La lista de entidades acreditadas o en vías de acreditación la mantiene el CCN, y los pasos previos están en su proceso de adecuación. No hay tarifa pública: el precio depende de las jornadas que la entidad calcule para tu alcance.
¿Cada cuánto hay que renovar la conformidad con el ENS?
Al menos cada dos años, tanto la autoevaluación de categoría BÁSICA como la auditoría de MEDIA y ALTA (artículo 31.1 del RD 311/2022). Hay que repetirla antes si el sistema cambia de forma sustancial, y la categoría se revisa cada año. Si una causa de fuerza mayor lo impide, el plazo puede extenderse tres meses.
Cada año
Revisar la categoría y el análisis de riesgos
Anexo I, punto 1, y anexo III, punto 1.1.d.
Cada dos años
Nueva autoevaluación o auditoría de certificación
Artículo 31.1 y apartado III de la ITS de conformidad.
Con un cambio sustancial
Auditoría extraordinaria
Reinicia el cómputo de los dos años (artículo 31.1).
Hasta 3 meses más
Prórroga por fuerza mayor
Solo por impedimentos no imputables a la empresa (artículo 31.1).
Todo el contrato
Conformidad en vigor
Y aviso inmediato si se pierde, según el modelo de pliego del CCN.
Fuente: Real Decreto 311/2022, Esquema Nacional de Seguridad (texto consolidado), consultado el .
¿Te sirve la ISO 27001 para el ENS?
No la sustituye: el pliego pide la declaración o certificación de conformidad con el ENS (artículo 2.3 del RD 311/2022), no otra certificación. Pero el trabajo se aprovecha, porque el ENS exige análisis de riesgos, declaración de aplicabilidad y un sistema de gestión de la seguridad documentado, que es lo que certifica la ISO 27001.
Lo que cambia es el detalle. El ENS fija 73 medidas con código y nombre en su anexo II —por ejemplo, op.ext.1, «Contratación y acuerdos de nivel de servicio»— y su propia forma de acreditar. Si ya tienes la ISO 27001, que INCIBE describe como la norma de los sistemas de gestión de la seguridad de la información, el camino corto es partir de los controles que ya tienes y comprobar, medida a medida, qué te falta del anexo II.
Qué es la norma y cuándo compensa está en la guía de la ISO 27001 para pymes; si un cliente te la pide y no la tienes, en qué hacer cuando te piden la ISO 27001. Talvit no emite declaraciones ni certifica: aplicamos y documentamos buena parte de las medidas, con su evidencia mensual en tu dossier, que es lo que la autoevaluación necesita.
Lo que esta guía no cubre
- No es asesoramiento jurídico ni sustituye a una entidad de certificación: si dudas de la categoría que exige un pliego, pregúntalo por escrito al órgano de contratación.
- No cubre los sistemas que tratan información clasificada, que tienen requisitos adicionales.
- No cubre los perfiles de cumplimiento específicos que el CCN publica para sectores concretos (artículo 30).
- No cubre cómo preparar la oferta de una licitación.
Preguntas frecuentes
¿La declaración de conformidad se registra en algún sitio?
Lo que exige la ITS es publicarla: el distintivo va en tu web y enlaza a la declaración, que tiene que seguir accesible. El organismo contratante puede pedirte además el informe de autoevaluación en cualquier momento.
¿Puedo hacer la autoevaluación sin contratar a nadie?
Sí: la puede hacer el personal que administra el sistema o en quien delegue (anexo III del RD 311/2022). Si tu informática es externa, ese proveedor puede prepararla, pero el análisis y la firma son de tu empresa.
¿Cuánto cuesta la certificación del ENS?
No hay tarifa pública. Cada entidad de certificación presenta una oferta con las jornadas de auditoría, el modo y el coste, según el alcance y la categoría. La declaración de categoría BÁSICA no tiene coste de certificación.
¿Me sirve la declaración del ENS para un cliente privado?
Como prueba, sí: demuestra medidas documentadas y evaluadas. Pero el ENS es la norma del sector público, y un cliente privado decide qué acepta y puede pedirte además su propio cuestionario.
Fuentes
- Real Decreto 311/2022, Esquema Nacional de Seguridad (texto consolidado), consultado el
- Resolución de 13 de octubre de 2016, Instrucción Técnica de Seguridad de conformidad con el ENS, consultado el
- Centro Criptológico Nacional, preguntas frecuentes del ENS, consultado el
- Centro Criptológico Nacional, entidades de certificación del ENS, consultado el
- Centro Criptológico Nacional, proceso de adecuación al ENS, consultado el
- INCIBE, «Acuerdo pactado, contrato firmado. Protege tu empresa» (15-12-2020), consultado el
Registro de cambios
- : Publicación.
