Adecuación al Esquema Nacional de Seguridad (ENS)
Acompañamiento a entidades públicas y a empresas que les prestan servicios, desde la categorización del sistema hasta la autoevaluación o la auditoría de conformidad.
Cuándo necesitas el ENS
El Real Decreto 311/2022 se aplica a todo el sector público y también a las empresas privadas que prestan servicios o suministran soluciones a entidades públicas para el ejercicio de sus competencias. En la práctica, muchos pliegos de licitación exigen acreditar la conformidad con el ENS para poder presentarse o para firmar el contrato.
- Eres una entidad del sector público y debes cumplir el ENS
- Prestas servicios tecnológicos o tratas información de una administración
- Un pliego o un cliente público te pide la Declaración o la Certificación de Conformidad
Básica, media o alta
La categoría del sistema se determina según el impacto que tendría un incidente sobre la confidencialidad, la integridad, la trazabilidad, la autenticidad y la disponibilidad de la información y los servicios. La categoría condiciona las medidas de seguridad aplicables y la forma de acreditar el cumplimiento:
- Categoría básica: autoevaluación y Declaración de Conformidad.
- Categorías media y alta: auditoría formal y Certificación de Conformidad emitida por una entidad de certificación acreditada.
- La conformidad se revisa periódicamente, como mínimo cada dos años.
Qué incluye la adecuación
Trabajo
- Determinación del alcance y categorización del sistema
- Análisis y gestión de riesgos
- Declaración de Aplicabilidad
- Política de seguridad, roles y normativa interna: definición de contenidos y validación
- Implantación de las medidas del Anexo II (marco organizativo, operacional y medidas de protección)
- Preparación y acompañamiento en la auditoría
Entregables
- Informe de categorización
- Análisis de riesgos documentado
- Declaración de Aplicabilidad
- Política y procedimientos de seguridad, revisados y validados
- Evidencias de implantación de las medidas
- Plan de acciones correctivas tras la auditoría
Cómo es el proceso
Reunión inicial
30 minutos para conocer tu situación, la categoría probable y los plazos del contrato o la licitación.
Diagnóstico
Análisis de la distancia entre la situación actual y las medidas exigidas por el ENS.
Implantación
Documentación, implantación de medidas y recopilación de evidencias.
Auditoría
Preparación de la autoevaluación o de la auditoría de certificación y corrección de las no conformidades.
Preguntas frecuentes
¿Tengo que cumplir el ENS si soy una empresa privada?
Sí, cuando prestas servicios o suministras soluciones a entidades del sector público dentro del ámbito del ENS. Además, la administración puede exigirlo como requisito en los pliegos de contratación.
¿La certificación ISO/IEC 27001 sustituye al ENS?
No. Ambos marcos comparten buena parte de los controles y conviene aprovechar el trabajo hecho, pero el ENS tiene requisitos propios y su conformidad se acredita por separado.
¿Quién emite la Certificación de Conformidad?
Una entidad de certificación acreditada. ShieldAudit prepara y acompaña a tu organización, pero no certifica: la certificación debe hacerla una entidad independiente.
¿Cuánto tiempo lleva la adecuación?
Depende de la categoría del sistema, del alcance y del punto de partida. El plazo y el presupuesto se concretan tras el diagnóstico inicial, antes de comprometer ningún trabajo.
Reunión inicial
Análisis de tu punto de partida y del servicio que mejor se ajusta a tus necesidades.