Consultoría ENS para empresas

Sí, cuando prestan servicios o soluciones al sector público por una relación contractual. El RD 311/2022 extiende la obligación a la cadena de suministro; el plazo general para adecuar los sistemas preexistentes finalizó el 5 de mayo de 2024. La obligación está plenamente vigente y los pliegos la exigen como requisito de solvencia. Lo detallo en cuándo aplica el ENS en el sector privado.

Todo el sector público (Estado, comunidades autónomas, entidades locales y sus organismos) y las empresas privadas que les prestan servicios, es decir, sus proveedores y contratistas. Amplío quiénes son los proveedores obligados al ENS.

Se determina por el impacto de un incidente sobre las cinco dimensiones de seguridad (CIDAT). Básica = perjuicio limitado; media = grave; alta = muy grave. La dimensión con mayor nivel marca la categoría del sistema. Te ayudo a decidir en cómo elegir entre categoría básica, media o alta.

En categoría media o alta, la certificación la emite una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. En categoría básica basta con una declaración de conformidad autoevaluada. Como consultor te preparo para la conformidad, pero el sello lo otorga el tercero acreditado. Más detalle en la declaración de conformidad de nivel básico.

Depende del alcance, la categoría y tu madurez de partida; por eso doy presupuesto cerrado tras el diagnóstico. En media y alta hay que sumar el coste de la entidad certificadora, que es independiente de la consultoría.

Varía según la categoría y la madurez del sistema. Un proyecto de categoría básica suele ser más rápido que uno de alta con varios sistemas y certificación. Reviso los tiempos por fase en los plazos de adecuación al ENS.

En categoría media y alta, la auditoría de conformidad es bienal (al menos cada dos años) y la realiza una entidad acreditada. En básica, la verificación se asocia a la declaración de conformidad. Lo explico en cada cuánto se hace la auditoría del ENS y quién la realiza.

El ENS es de obligado cumplimiento para el sector público y sus proveedores; ISO 27001 es una certificación internacional voluntaria. Son compatibles y comparten muchos controles, de modo que el trabajo se aprovecha. Comparo ambos marcos en ENS o ISO 27001 para licitar con la Administración.

Sí. Trabajo la consultoría ENS en remoto en toda España, con videollamadas para el diagnóstico, la categorización, el análisis de riesgos y el seguimiento del plan de adecuación. Cuando el proyecto lo pide —revisar instalaciones, acompañar una auditoría in situ o reunirte con tu equipo cara a cara— también trabajo en presencial, sobre todo en Castilla y León y Canarias. La modalidad se adapta a lo que necesite tu organización, no al revés.

Depende de tres factores: el alcance del proyecto (cuántos sistemas entran), la categoría resultante (básica, media o alta) y tu madurez de partida en seguridad de la información. En categoría media o alta hay que sumar, además, el coste de la entidad certificadora acreditada, independiente de mis honorarios. Como orden de magnitud orientativo, un proyecto de complejidad media para una pyme suele moverse en la horquilla de 8.000-25.000 €, aunque no doy cifras cerradas sin conocer tu caso: el presupuesto definitivo llega tras el diagnóstico inicial.

El informe de diagnóstico (análisis GAP), la categorización del sistema en las cinco dimensiones CIDAT, el análisis de riesgos con metodología MAGERIT, la política de seguridad de la información, el plan de adecuación conforme a la guía CCN-STIC 806, la Declaración de Aplicabilidad (DdA), las evidencias de implantación de las medidas del Anexo II y la preparación de la auditoría de conformidad. Todo el detalle, en la sección de entregables de esta misma página.