ENS para Ayuntamientos: Guía de Adecuación Práctica

Los ayuntamientos tienen la obligación ENS clara sobre el papel — pero la adecuación real de la administración local tiene un recorrido muy desigual, y no todos los consistorios saben por dónde empezar ni qué categoría les corresponde.

De los más de 8.000 ayuntamientos que existen en España, menos de 200 han obtenido la certificación o declaración de conformidad con el Esquema Nacional de Seguridad. La cifra es alarmante considerando que la obligatoriedad del ENS para toda la Administración Pública no tiene excepciones por tamaño. Los ayuntamientos, diputaciones y entidades locales enfrentan retos específicos que esta guía aborda con soluciones prácticas y adaptadas a su realidad.

Si necesita un marco general del ENS, consulta mia guía definitiva del Esquema Nacional de Seguridad.

La realidad de los ayuntamientos españoles frente al ENS

La situación actual es preocupante. La mayoría de municipios pequeños y medianos no han iniciado siquiera el proceso de adecuación al ENS. Los motivos son recurrentes: desconocimiento de la obligación legal, ausencia de personal técnico especializado en ciberseguridad, presupuestos muy limitados para proyectos de seguridad, sistemas de información heredados y difíciles de securizar, y una percepción errónea de que el ENS solo afecta a grandes organismos.

Sin embargo, los ayuntamientos son especialmente vulnerables a los ciberataques. Manejan datos personales de todos sus ciudadanos (padrón, tributos, licencias, servicios sociales), gestionan infraestructuras críticas locales (agua, alumbrado, tráfico) y con frecuencia operan con sistemas obsoletos y sin actualizaciones de seguridad.

Categorización típica de los sistemas municipales

La mayoría de ayuntamientos pequeños y medianos categorizarán sus sistemas en BÁSICA o MEDIA. Un ayuntamiento de menos de 5.000 habitantes con servicios electrónicos básicos (sede electrónica, padrón, gestión tributaria) habitualmente se sitúa en categoría BÁSICA, lo que permite la declaración de conformidad sin certificación externa.

Los ayuntamientos medianos (5.000-50.000 habitantes) con servicios electrónicos más complejos (tramitación completa, servicios sociales, policía local) suelen requerir categoría MEDIA, con la consiguiente obligación de certificación formal.

Los grandes ayuntamientos y diputaciones provinciales, con sistemas de información más complejos e interconectados, pueden requerir categoría ALTA en algunos de sus sistemas.

Hoja de ruta para la adecuación de un ayuntamiento

Fase 1: diagnóstico y concienciación (1-2 meses)

El primer paso es que el equipo de gobierno municipal tome conciencia de la obligación y la importancia del ENS. Convoque una sesión informativa para alcaldía, concejalía responsable y personal técnico. Identifica un responsable interno del proyecto, aunque sea a tiempo parcial. Y realiza un inventario básico de los sistemas de información municipales y de los proveedores TIC que los gestionan.

Fase 2: categorización y análisis básico (2-3 meses)

Categorice los sistemas de información conforme al Anexo I del ENS. Realiza un análisis de riesgos simplificado con μPILAR (la versión reducida de la herramienta del CCN). Identifica las brechas más críticas respecto a los controles aplicables.

Fase 3: plan de adecuación priorizado (1 mes)

Elabore un plan de acción que priorice las medidas por nivel de riesgo. No intente hacerlo todo a la vez. Empiece por los controles que mayor impacto tienen en la reducción del riesgo: control de acceso, copias de seguridad, gestión de incidentes y concienciación del personal.

Fase 4: implantación progresiva (6-12 meses)

Implanta los controles de forma gradual, empezando por los más críticos. Documente la política de seguridad y los procedimientos esenciales. Forme al personal. Establece un acuerdo con sus proveedores TIC para que apliquen los controles que les corresponden.

Fase 5: declaración o certificación (1-2 meses)

Si la categoría es BÁSICA, emita la declaración de conformidad. Si es MEDIA o ALTA, contrate una auditoría de certificación con una entidad acreditada.

Herramientas gratuitas del CCN para municipios

El CCN ofrece un ecosistema de herramientas especialmente diseñado para administraciones con recursos limitados.

μPILAR es la versión simplificada de la herramienta de análisis de riesgos, más accesible que la versión completa y suficiente para la mayoría de municipios. CLARA es la herramienta de verificación automatizada del cumplimiento de configuraciones de seguridad en sistemas Windows. ANA es la herramienta de análisis de vulnerabilidades que permite escanear los sistemas del ayuntamiento en busca de debilidades conocidas. microCLOUD ofrece servicios cloud seguros (correo electrónico, almacenamiento, ofimática) para entidades que no tienen capacidad para gestionar sus propias infraestructuras. VANESA es el servicio de videoconferencia segura del CCN. E INES es la plataforma para reportar el estado de adecuación al ENS.

Todas estas herramientas son gratuitas para organismos del sector público. Aprovecharlas puede reducir significativamente los costes del proyecto de adecuación.

Financiación disponible para ayuntamientos

Existen varias fuentes de financiación que los municipios pueden aprovechar. Los fondos Next Generation EU, canalizados a través de planes de digitalización de las CC.AA. y las diputaciones provinciales, incluyen partidas específicas para ciberseguridad municipal. Las diputaciones provinciales en varias comunidades autónomas ofrecen programas de apoyo técnico y financiero a sus municipios. Y las Cámaras de Comercio locales pueden proporcionar orientación sobre ayudas disponibles.

Consulta mio artículo sobre subvenciones para certificación ISO y ENS en España para un análisis completo de las fuentes de financiación.

El papel de los proveedores TIC municipales

Muchos ayuntamientos tienen externalizada la gestión de sus sistemas de información. En estos casos, el proveedor TIC es corresponsable del cumplimiento del ENS. Es fundamental que los contratos con proveedores incluyan cláusulas de seguridad alineadas con el ENS, que los proveedores demuestren su propio cumplimiento (idealmente con certificación ENS), que se establezcan acuerdos de nivel de servicio (SLA) que incluyan requisitos de seguridad, y que se monitorice regularmente el cumplimiento por parte del proveedor.

Si su proveedor TIC no conoce el ENS o no está dispuesto a comprometerse con su cumplimiento, considera seriamente buscar un proveedor alternativo.

Casos de éxito en la administración local

A pesar de los retos, cada vez más ayuntamientos están completando con éxito su adecuación al ENS. Las claves comunes en los casos de éxito son el compromiso del equipo de gobierno, la asignación de un responsable interno, el uso intensivo de las herramientas del CCN, la colaboración con la diputación provincial y el asesoramiento externo especializado para las fases más complejas del proyecto.

¿Es tú responsable de un ayuntamiento o entidad local que necesita adecuarse al ENS? Hablamos. Tenemos experiencia en la administración local y le propondremos un plan de adecuación adaptado a sus recursos y plazos.