La medida mp.info.6: así regula el ENS tus copias de seguridad

Los requisitos de copias de seguridad del ENS están en la medida mp.info.6 del anexo II del Real Decreto 311/2022: todo sistema, sea cual sea su nivel, debe hacer copias que permitan recuperar los datos perdidos —por accidente o de forma intencionada— y documentar en un procedimiento la frecuencia, el almacenamiento local, el almacenamiento en otros lugares y quién puede acceder a las copias.

A partir de ahí, el nivel medio añade la obligación de probar regularmente la restauración (refuerzo R1) y el nivel alto exige además que al menos una copia se guarde separada, en un lugar diferente, de modo que un mismo incidente no pueda destruir el original y la copia a la vez (refuerzo R2). La periodicidad y la retención no las fija el decreto: las fija tu propia normativa interna, y el auditor comprobará que la cumples.

Eso es el resumen. Lo que viene ahora es el detalle: de dónde sale cada obligación, cómo se aplica según el nivel y qué mirar antes de una auditoría.

Qué dice exactamente el RD 311/2022 sobre copias de seguridad

El Esquema Nacional de Seguridad trata las copias de seguridad en dos sitios distintos del Real Decreto 311/2022, y conviene no confundirlos.

El primero es el artículo 26, dentro de los principios y requisitos mínimos. Es una frase corta pero de alcance general: «Los sistemas dispondrán de copias de seguridad y se establecerán los mecanismos necesarios para garantizar la continuidad de las operaciones en caso de pérdida de los medios habituales». Es decir, tener copias no es una medida opcional que se module por nivel: es un requisito mínimo de cualquier sistema dentro del ámbito del ENS. Fíjate además en que el artículo une las copias con la continuidad de las operaciones: la copia no es un fin en sí misma, sino el medio para poder seguir trabajando cuando algo falla.

El segundo es el anexo II, que es donde el requisito se concreta en una medida auditable: la 5.7.6, «Copias de seguridad [mp.info.6]», dentro del grupo de medidas de protección de la información (mp.info). Si quieres situarla en el mapa completo de medidas, en la guía del anexo II del ENS están explicados los tres marcos y cómo se leen las tablas de aplicabilidad.

Hay un detalle técnico que decide cuánto te va a costar cumplir: mp.info.6 está asociada a la dimensión D (disponibilidad). Eso significa que el nivel que te aplica no es directamente la categoría del sistema (básica, media o alta), sino el nivel que hayas asignado a la disponibilidad de la información y los servicios en tu valoración. Un sistema de categoría media con disponibilidad valorada en nivel alto tendrá que cumplir mp.info.6 con todos sus refuerzos. Si es la primera vez que te asomas a la diferencia entre categorías, niveles y dimensiones, tienes el detalle en la guía de dimensiones de seguridad del ENS y en la de niveles y categorías.

A quién obliga esta medida

A cualquier organización con sistemas dentro del ámbito del ENS: administraciones públicas de todos los niveles y, desde el RD 311/2022, también las empresas privadas que prestan servicios o proveen soluciones a las administraciones, cuando así se derive de su relación con el sector público (pliegos, convenios, encomiendas). Si eres proveedor y el pliego te pide conformidad con el ENS en categoría media, mp.info.6 con su refuerzo R1 entra en el paquete, y el certificador lo va a mirar.

No hay excepción por tamaño. Un ayuntamiento de 500 habitantes con sede electrónica tiene la misma obligación de fondo que un ministerio; lo que cambia es la exigencia según el nivel de disponibilidad de sus sistemas, que en un caso típico de entidad local pequeña será básico o medio.

Si aún no tienes claro qué te aplica, el autodiagnóstico ENS te da una primera foto en unos minutos: categoría orientativa del sistema y medidas que te tocan, entre ellas esta.

Requisito base: qué hay que cumplir en cualquier nivel

La medida base se compone de dos requisitos, identificados en el anexo II como mp.info.6.1 y mp.info.6.2.

Copias que sirvan de verdad para recuperar. El texto exige copias de seguridad «que permitan recuperar datos perdidos, accidental o intencionadamente». La palabra «intencionadamente» importa: la medida no piensa solo en el disco que se rompe o en el fichero borrado por error, sino también en el ransomware y en el borrado malicioso. Una copia que un atacante con las credenciales de administración puede cifrar o eliminar no cumple el espíritu de la medida, por mucho que exista.

La periodicidad y la retención las decide tu normativa interna. El decreto no dice «copia diaria» ni «retención de 30 días». Dice que la periodicidad y los plazos de retención «se determinarán en la normativa interna de la organización relativa a copias de seguridad». Esto es una espada de doble filo: te da flexibilidad para ajustar el esfuerzo al valor de cada información, pero te obliga a tener esa normativa escrita y aprobada. Sin documento, no hay contra qué auditar, y eso ya es una no conformidad.

El procedimiento de respaldo debe indicar cuatro cosas concretas. El requisito mp.info.6.2 lista exactamente qué debe recoger el procedimiento:

1. La frecuencia de las copias.
2. Los requisitos de almacenamiento en el propio lugar (qué se guarda en local, en qué soporte, en qué condiciones).
3. Los requisitos de almacenamiento en otros lugares (qué sale fuera y adónde).
4. Los controles de acceso a las copias: quién está autorizado a leerlas, restaurarlas o borrarlas.

Ese cuarto punto se pasa por alto con frecuencia y es de los que más duelen en un incidente real: las copias contienen exactamente la misma información sensible que el sistema en producción, y a veces con menos protección. Restringir quién puede tocarlas —y dejar rastro de quién las toca— forma parte de la medida desde el nivel más bajo.

Refuerzos por nivel: básico, medio y alto

La aplicación de mp.info.6 por nivel de la dimensión disponibilidad queda así:

Refuerzo R1 — Pruebas de recuperación. Los procedimientos de copia y de restauración «deben probarse regularmente», con una frecuencia que dependerá de la criticidad de los datos y del impacto que cause su falta de disponibilidad. Traducción práctica: en nivel medio no basta con que el software de backup termine en verde cada noche; hay que restaurar de verdad, de forma periódica y documentada, y comprobar que lo restaurado es utilizable. La frecuencia la decides tú en función del riesgo, pero tiene que estar definida y cumplirse. Una restauración de prueba al año difícilmente se sostiene ante un auditor si el sistema soporta un servicio público diario.

Refuerzo R2 — Protección de las copias. En nivel alto, «al menos una de las copias de seguridad se almacenará de forma separada en lugar diferente, de tal manera que un incidente no pueda afectar tanto al repositorio original como a la copia simultáneamente». La clave está en «un incidente»: no vale la sala de al lado si un incendio, una inundación o un mismo dominio de administración comprometido pueden llevarse las dos. Separación física y, cada vez más relevante, separación lógica: credenciales distintas, plano de administración distinto, idealmente inmutabilidad o desconexión (offline/air gap) para que un ransomware con privilegios de administrador no alcance la copia.

Quien conozca la regla 3-2-1 de copias de seguridad reconocerá la idea: el refuerzo R2 es, en esencia, el «1» de la regla (una copia fuera) convertido en obligación jurídica para nivel alto. La diferencia es de naturaleza: la 3-2-1 es una buena práctica que tú decides adoptar; mp.info.6 es un requisito normativo que un auditor certifica o tumba. Aplicar 3-2-1 en todos los niveles es una forma excelente de cumplir la medida con margen, aunque el ENS solo te exija la copia separada en nivel alto.

Cómo se relaciona con otras medidas del ENS

mp.info.6 no vive sola. En una adecuación seria conviene leerla junto a estas otras, porque los auditores las cruzan:

• op.cont — Continuidad del servicio. El análisis de impacto (op.cont.1, exigible desde nivel medio de disponibilidad) es el que determina cuánto tiempo puedes estar parado y cuántos datos puedes permitirte perder; de ahí salen los RTO y RPO que dan sentido a la frecuencia de tus copias. En nivel alto se suman el plan de continuidad, las pruebas periódicas y los medios alternativos. Las copias son una pieza de ese engranaje, no un sustituto: si el tema te toca, aquí tienes la guía del plan de continuidad de negocio bajo el ENS.
• op.exp.3 — Gestión de la configuración (refuerzo R3). En categoría alta se exigen copias de seguridad de la configuración del sistema, de forma que sea posible reconstruirlo total o parcialmente tras un incidente. No solo los datos: también los cortafuegos, las listas de control de acceso, las plantillas de servidores. Recuperar los datos sobre una infraestructura que hay que reconfigurar de memoria alarga el desastre días.
• op.exp.8 — Registro de la actividad (refuerzo R4). Los registros de actividad y sus copias de seguridad solo pueden ser accedidos o eliminados por personal debidamente autorizado. Si tus backups incluyen los logs (deberían), el control de acceso a esas copias tiene su propio requisito desde nivel medio de trazabilidad.
• mp.si.2 — Criptografía en soportes de información (refuerzo R2). En nivel alto de confidencialidad e integridad, las copias de seguridad se cifrarán con algoritmos y parámetros autorizados por el CCN. Un disco de backup que viaja o reposa fuera de tu sede sin cifrar es un incidente esperando fecha.

Del papel a la práctica: un plan de copias que pasa auditoría

Con la norma delante, el trabajo real tiene un orden bastante natural:

1. Parte de la valoración, no de la herramienta. Antes de decidir frecuencias, confirma el nivel de disponibilidad de cada información y servicio. Es ese nivel el que activa R1 y R2, y es el análisis de impacto el que te dice cuánta pérdida de datos es asumible. Comprar la solución de backup antes de saber esto es empezar la casa por el tejado.

2. Escribe la normativa interna de copias. Un documento corto y aprobado que fije periodicidad y retención por tipo de información. Aquí mandas tú, pero lo que escribas se convierte en tu vara de medir: no prometas retenciones de un año si tu almacenamiento aguanta tres meses.

3. Redacta el procedimiento con los cuatro contenidos obligatorios. Frecuencia, almacenamiento local, almacenamiento externo y control de acceso. Añade lo que el sentido común pide aunque la medida base no lo exija literalmente: alcance (qué sistemas entran y cuáles no), responsable de ejecución y de supervisión, y qué se hace cuando una copia falla.

4. Monta las pruebas de recuperación como rutina, no como evento. Calendario definido, muestra representativa (no siempre el mismo fichero), resultado registrado con fecha, responsable y tiempo de restauración. Ese registro es exactamente la evidencia que pedirá el auditor para dar por cumplido R1.

5. Si estás en nivel alto, revisa la independencia real de la copia separada. Pregunta incómoda: ¿podría un administrador de dominio comprometido borrar el original y la copia con las mismas credenciales? Si la respuesta es sí, no tienes R2, tienes dos copias del mismo riesgo.

6. Alinea lo escrito con lo ejecutado. La no conformidad más tonta y más frecuente no es técnica: es que el procedimiento diga «copia diaria y prueba trimestral» y los registros muestren otra cosa. En la auditoría de conformidad, la distancia entre el papel y la realidad se mide con evidencias.

Errores frecuentes que tumban la medida en una auditoría

• Copia sin restauración probada. El clásico. Años de backups en verde y la primera restauración real se intenta el día del incidente. En nivel medio y alto es directamente un incumplimiento de R1.
• Retención sin definir o definida por defecto. La que dejó puesta el instalador del software no es «la normativa interna de la organización». Hay que decidirla, escribirla y aprobarla.
• Copias accesibles con las credenciales de producción. Compromete el requisito de control de acceso de la medida base y vacía de contenido el R2: el incidente que afecta al original alcanza también a la copia.
• Confundir sincronización con copia. Un espejo o una carpeta sincronizada en la nube replica el borrado y el cifrado malicioso en segundos. Sirve para disponibilidad inmediata, no para recuperar datos perdidos «intencionadamente», que es lo que pide la medida.
• Olvidar la configuración. Datos recuperados, pero cortafuegos, colas y permisos reconstruidos a mano durante una semana. En categoría alta, además, es un incumplimiento de op.exp.3 R3.
• Copias fuera del alcance de la valoración. Bases de datos de aplicaciones «menores» que nadie incluyó en el plan y que resultan soportar un trámite con registro de entrada. El alcance del backup debe salir del inventario de activos, no de la memoria del técnico.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Texto consolidado (BOE-A-2022-7191): artículo 26 y anexo II, medidas mp.info.6, op.exp.3, op.exp.8, mp.si.2 y op.cont. https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191 (consultado el 31 de julio de 2026).
• Centro Criptológico Nacional (CCN-CERT): guías CCN-STIC de la serie 800, de desarrollo del ENS. https://www.ccn-cert.cni.es/