ENS con criterio jurídico-técnico.

En corto: qué es el ENS y a quién obliga

El Esquema Nacional de Seguridad es el marco de seguridad de la información del sector público español. Lo regula el Real Decreto 311/2022, de 3 de mayo, que derogó el RD 3/2010 y está en vigor desde el 5 de mayo de 2022. Se aplica a todo el sector público en los términos del artículo 2 de la Ley 40/2015, y también a las empresas privadas que, en virtud de un contrato, prestan servicios o proveen soluciones a una entidad pública para el ejercicio de sus competencias y potestades administrativas.

El método siempre es el mismo. Se valora el impacto que tendría un incidente sobre cinco dimensiones de seguridad (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad), cada dimensión afectada se sitúa en nivel bajo, medio o alto, y de ahí sale la categoría del sistema: básica, media o alta. Con esa categoría y esos niveles se seleccionan las medidas del Anexo II, que son 73, y la selección se formaliza en la Declaración de Aplicabilidad.

El final del camino son dos documentos distintos. En categoría básica, una declaración de conformidad basada en autoevaluación. En categoría media o alta, una certificación emitida por una entidad acreditada por ENAC. Cualquiera de las dos se comprueba al menos cada dos años y se publica en la sede electrónica o en la web.

El ENS en las entidades locales

Un ayuntamiento está dentro del ámbito del ENS por la misma puerta que cualquier otra administración: el artículo 2.1 remite al artículo 2 de la Ley 40/2015, que incluye a las entidades que integran la Administración Local. No hay umbral de población ni excepción por tamaño.

Lo que sí hay es una previsión para no obligar a cada municipio a construir su propio cuerpo normativo desde cero. El artículo 12.5 dice que «los municipios podrán disponer de una política de seguridad común elaborada por la entidad local comarcal o provincial que asuma la responsabilidad de la seguridad de la información de los sistemas municipales». Es la vía por la que una diputación puede llevar la política de seguridad de decenas de ayuntamientos, y la que convierte a las diputaciones en el interlocutor natural de estos proyectos.

En la misma línea, el artículo 29 remite a las infraestructuras y servicios comunes de las administraciones públicas, incluidos los compartidos o transversales, como facilitadores del cumplimiento, y deja que cada administración determine los supuestos concretos de uso.

Lo que no cambia por ser pequeño: la política de seguridad tiene que estar formalmente aprobada por el órgano competente, los cuatro roles del artículo 13 tienen que estar designados, y el responsable de la seguridad debe ser distinto del responsable del sistema, sin dependencia jerárquica entre ellos. Solo cuando la ausencia justificada de recursos lo haga inevitable pueden recaer en la misma persona, y entonces hay que aplicar medidas compensatorias. Esa excepción existe precisamente porque el legislador sabía que una entidad de veinte empleados no puede tener dos áreas separadas.

Y una obligación que se olvida: la categoría de seguridad se reevalúa anualmente, o siempre que se produzcan modificaciones significativas en los criterios que la determinaron.

La normativa del ENS, en un mapa

Cuando alguien dice «la normativa del ENS» casi siempre se refiere a una norma y a cuatro instrucciones técnicas que la desarrollan. Esta es la lista, con la referencia del BOE de cada una.

Hay además dos leyes orgánicas que meten al ENS por la puerta de la protección de datos. La Ley Orgánica 3/2018 dice en su disposición adicional primera que, «en los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad». Y la Ley Orgánica 7/2021, para los tratamientos con fines penales, ordena en su artículo 37.1 aplicar «las medidas incluidas en el Esquema Nacional de Seguridad».

Dos precisiones sobre el estado de la norma, porque circula bastante confusión. La primera: el RD 311/2022 derogó el Real Decreto 3/2010, que era el ENS anterior. Las instrucciones técnicas de 2016 y 2018 siguen vigentes y algunas de sus remisiones internas apuntan todavía a artículos del RD 3/2010; hay que leerlas con la equivalencia del texto actual delante. La segunda: desde 2022 el RD 311/2022 se ha modificado una sola vez, y fue para actualizar el nombre del ministerio en su disposición adicional segunda, por la disposición final segunda del Real Decreto 1125/2024, de 5 de noviembre. Ninguna medida, ninguna categoría y ningún plazo han cambiado.

Por último, las guías CCN-STIC. Las elabora el Centro Criptológico Nacional y el propio real decreto las sitúa como el material que ofrece «normas, instrucciones, guías, recomendaciones y mejores prácticas» para aplicar el ENS. La Instrucción Técnica de Seguridad de Auditoría nombra expresamente tres para el desarrollo de una auditoría: la CCN-STIC 802 Guía de auditoría, la CCN-STIC 804 Guía de Implantación y la CCN-STIC 808 Verificación del cumplimiento de las medidas en el ENS. Se consultan en el portal del CCN; aquí se comentan y se enlazan, no se alojan.

Qué pasa si no cumples el ENS

Conviene decirlo con precisión porque circula lo contrario: el Real Decreto 311/2022 no establece un régimen sancionador propio. No hay un catálogo de infracciones ni multas por incumplir el ENS como las hay en protección de datos. Lo que hay son cuatro consecuencias reales, y ninguna de ellas es menor.

• Quedarte fuera de la contratación pública. El artículo 2.3 obliga a que los pliegos contemplen los requisitos necesarios para asegurar la conformidad con el ENS, y cita expresamente la presentación de las Declaraciones o Certificaciones de Conformidad. Si el pliego la pide y no la tienes, no compites.
• Que te la pidan a posteriori y no puedas sostenerla. La entidad pública usuaria, el CCN y ENAC pueden solicitar en todo momento el Informe de Autoevaluación o de Auditoría que sostiene el distintivo que exhibes. Exhibir un sello sin expediente detrás es peor que no exhibirlo.
• La vía de protección de datos. Si el sistema trata datos personales, las medidas del ENS entran también por la disposición adicional primera de la Ley Orgánica 3/2018 y por el artículo 37.1 de la Ley Orgánica 7/2021. Ahí sí hay un régimen sancionador, y no es el del ENS.
• La suspensión del propio servicio en categoría alta. Visto el dictamen de auditoría y atendiendo a la gravedad de las deficiencias, el responsable del sistema puede suspender temporalmente el tratamiento de informaciones, la prestación de servicios o la operación completa del sistema hasta subsanarlas.

Y por encima de todo eso, el mecanismo ordinario: el artículo 37 obliga a cada entidad titular a establecer sus propios mecanismos de control «para garantizar de forma real y efectiva el cumplimiento del ENS». El control es interno antes que externo, y la auditoría bienal es la comprobación de que ese control existe.