El Esquema Nacional de Seguridad en universidades y centros de investigación

Sí: las universidades públicas españolas están obligadas a cumplir el Esquema Nacional de Seguridad. El Real Decreto 311/2022, que regula el ENS, se aplica «a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015» (artículo 2.1), y esa misma Ley 40/2015 incluye expresamente a «las Universidades públicas» dentro del sector público institucional (artículo 2.2.c). No hay excepción universitaria ni régimen atenuado: una universidad pública debe categorizar sus sistemas de información, aplicar las medidas del Anexo II y acreditar su conformidad igual que un ministerio o un ayuntamiento. Y la obligación arrastra también a sus proveedores tecnológicos privados cuando prestan servicios que soportan el ejercicio de competencias administrativas (artículo 2.3).

La pregunta interesante no es «si» sino «cómo». Una universidad no se parece a ninguna otra entidad del sector público: conviven en ella la administración electrónica clásica (matrícula, actas, sede electrónica) con redes de investigación abiertas al mundo, miles de dispositivos personales conectados cada día y una cultura académica que desconfía de todo lo que suene a restricción. Esta guía sectorial explica qué sistemas entran en el ámbito, cómo categorizarlos y qué hoja de ruta funciona en un campus. Si es la primera vez que te acercas a la norma, conviene tener a mano la guía completa del Esquema Nacional de Seguridad.

Qué dice la norma: por qué una universidad está dentro del ENS

La cadena jurídica es corta y no deja huecos:

1. Artículo 2.1 del Real Decreto 311/2022: el ENS se aplica a todo el sector público tal y como lo define el artículo 2 de la Ley 40/2015.
2. Artículo 2.2.c de la Ley 40/2015: el sector público institucional se integra, entre otros, por «las Universidades públicas, que se regirán por su normativa específica y supletoriamente por las previsiones de la presente Ley».
3. Artículo 2.3 del Real Decreto 311/2022: el ENS alcanza además a los sistemas de las entidades privadas que, en virtud de una relación contractual, «presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas». Es decir: el proveedor del gestor académico en la nube, la empresa que aloja la sede electrónica o el integrador que opera el CPD también quedan dentro, en la parte que corresponda.

Ese tercer punto importa en ambos sentidos. Si diriges los sistemas de una universidad, tus pliegos deben exigir la conformidad con el ENS a los adjudicatarios que traten información universitaria. Y si eres una empresa que vende software o servicios al mundo universitario, la certificación ENS ha dejado de ser un extra comercial: es condición para contratar, como detallo en la guía sobre auditoría ENS para empresas que trabajan con la Administración.

Conviene añadir un matiz temporal: el plazo transitorio de veinticuatro meses que el propio real decreto dio a los sistemas preexistentes (disposición transitoria única) venció en mayo de 2024, y los sistemas nuevos deben aplicar el ENS «desde su concepción». Hoy no hay periodo de gracia: un sistema universitario sin declaración o certificación de conformidad está, sencillamente, en incumplimiento.

Por qué el campus es un caso difícil para el ENS

Aplicar el ENS en una universidad tiene fricciones que no existen en otras administraciones, y conviene nombrarlas antes de planificar nada:

• Población enorme y rotatoria. Decenas de miles de cuentas de estudiantes que se crean y caducan cada curso, más personal docente e investigador, personal de administración y servicios, visitantes y colaboradores externos. La gestión de identidades es el problema número uno.
• Dispositivos no gestionados por diseño. El portátil del estudiante y el del catedrático se conectan a diario a la red del campus. Redes académicas federadas como eduroam son un servicio esencial, no una anomalía que se pueda prohibir.
• Investigación con lógica propia. Grupos que montan sus propios servidores, colaboraciones internacionales que exigen compartir datos, clústeres de cálculo, repositorios abiertos. La seguridad que funciona aquí es la que segmenta, no la que prohíbe.
• Autonomía interna real. Facultades, departamentos e institutos con presupuesto y decisiones tecnológicas propias. El inventario de sistemas «oficial» del servicio de informática rara vez es el inventario completo.
• Información muy sensible en islas concretas. Expedientes académicos, datos de salud en facultades sanitarias y servicios de prevención, propiedad industrial derivada de la investigación, datos de menores en programas de acceso.

Nada de esto exime del cumplimiento, pero sí condiciona el enfoque: en un campus, delimitar bien el alcance de cada sistema es más de la mitad del trabajo.

Qué sistemas de la universidad entran en el ámbito

El ENS protege los sistemas que soportan el ejercicio de competencias y la prestación de servicios de la entidad. En una universidad tipo, el mapa suele ordenarse así:

La zona gris es la investigación. Un repositorio institucional que gestiona proyectos financiados con fondos públicos y datos personales de participantes no es un juguete de laboratorio: presta un servicio de la universidad y maneja información que hay que valorar. En cambio, un equipo de prácticas desconectado de los sistemas corporativos puede quedar fuera del alcance declarado, siempre que la segregación sea real y esté documentada. Definir estas fronteras por escrito, en el documento de alcance, evita discusiones eternas durante la auditoría.

Categorización: básica, media o alta

La categoría de cada sistema se determina valorando el impacto de un incidente sobre las cinco dimensiones de seguridad —disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad—, siguiendo el procedimiento del Anexo I (artículo 40 del Real Decreto 311/2022). De esa categoría dependen las medidas del Anexo II que habrá que aplicar (artículo 28).

En el sector universitario, la experiencia práctica apunta a un paisaje mixto:

• Categoría media es lo habitual para el bloque de administración electrónica y gestión académica: los expedientes, las actas y los títulos exigen integridad y trazabilidad serias, y una caída prolongada de la matrícula tiene impacto real sobre miles de personas.
• Categoría básica puede bastar para sistemas periféricos con información de bajo impacto y servicios no críticos.
• Niveles altos en dimensiones concretas aparecen en islas específicas: confidencialidad de datos de salud en clínicas universitarias, o de resultados de investigación con valor industrial.

Dos cosas ahorran disgustos aquí:

• No categorizar «toda la universidad» como un único sistema gigante. Trocear por servicios permite proporcionar el esfuerzo y no arrastrar a todo el campus a la categoría del sistema más exigente.
• Apoyarse en el artículo 30 del real decreto, que permite perfiles de cumplimiento específicos para «determinadas entidades o sectores de actividad concretos» y encarga al Centro Criptológico Nacional validarlos y publicarlos.

Y en el ámbito universitario ese perfil ya existe con identificador propio: la guía CCN-STIC 881A, «Perfil de Cumplimiento Específico Universidades», que baja el perfil a detalle técnico e incluye su declaración de aplicabilidad, es decir, los mínimos de seguridad ya seleccionados para un campus. La acompaña la CCN-STIC 881, «Guía de Adecuación al ENS para Universidades», con el modelo de gobernanza y el plan de adecuación. Antes de encargar un traje a medida, revisa las dos.

Hoja de ruta de adecuación en siete pasos

Una adecuación universitaria realista se parece a esto:

1. Diagnóstico inicial. Fotografía honesta de la distancia entre lo que hay y lo que exige el Anexo II. El autodiagnóstico ENS permite obtener una primera lectura en minutos y priorizar por dónde empezar.
2. Política de seguridad y órganos de gobierno. Aprobación por el órgano de gobierno competente de la universidad y designación de los roles que exige la norma: responsable de la información, del servicio, de la seguridad y del sistema, con la segregación debida.
3. Alcance e inventario. Delimitar los sistemas, sus fronteras y sus dependencias, incluidos los servicios contratados a terceros. En un campus, este paso destapa siempre sistemas que nadie había declarado.
4. Categorización formal. Valoración de la información y los servicios dimensión a dimensión, aprobada por los responsables designados, no por el técnico que rellena la plantilla.
5. Análisis de riesgos y declaración de aplicabilidad. Análisis de riesgos preceptivo y selección motivada de medidas del Anexo II, con sus refuerzos, para cada sistema.
6. Plan de adecuación y ejecución. Cerrar brechas por orden de riesgo: autenticación robusta, copias de seguridad verificadas, segmentación de red entre el mundo académico y el corporativo, registro de actividad y procedimientos de gestión de incidentes conectados con el CCN-CERT.
7. Conformidad y mantenimiento. Autoevaluación o auditoría según la categoría (siguiente apartado), publicación del distintivo y ciclo de mejora continua: el ENS no se «termina», se mantiene.

En paralelo, no olvides la vía contractual: cada nuevo pliego TIC debe trasladar las exigencias del ENS a los adjudicatarios, porque la conformidad de la universidad se apoya también en la de sus proveedores.

Cómo se demuestra la conformidad: auditoría y certificación

El artículo 38 del Real Decreto 311/2022 distingue dos vías según la categoría del sistema:

• Categoría básica: basta una autoevaluación para emitir la declaración de conformidad, aunque nada impide optar voluntariamente por la certificación.
• Categorías media y alta: se exige una auditoría de certificación, y la auditoría regular de seguridad del artículo 31 —obligatoria al menos cada dos años— puede servir a ese fin.

La certificación la emiten entidades de certificación acreditadas por ENAC para el esquema; ni un consultor ni la propia universidad pueden «autocertificarse» en categoría media o alta. Además, el artículo 31 obliga a repetir la auditoría con carácter extraordinario cuando haya modificaciones sustanciales del sistema, algo frecuente en universidades que migran a la nube o renuevan su gestor académico. Las declaraciones y certificaciones deben publicarse en la sede electrónica o portal correspondiente, con su distintivo: cualquiera puede comprobar hoy qué universidades exhiben conformidad y cuáles no.

Si tu universidad externaliza sistemas, exige a los proveedores exactamente el mismo estándar de prueba. El detalle de cómo se audita a un proveedor privado está en la guía de auditoría ENS para empresas, y el proceso completo de implantación, en el servicio de consultoría y adecuación al ENS.

Centros de investigación y organismos públicos de investigación

Todo lo anterior vale también para los centros e institutos de investigación con personalidad jurídica pública: los organismos públicos y entidades de derecho público vinculados o dependientes de las Administraciones forman parte del sector público institucional (artículo 2.2.a de la Ley 40/2015), de modo que un organismo público de investigación está tan obligado como una universidad.

Los matices aparecen en las figuras mixtas, muy comunes en ciencia:

• Institutos mixtos universidad–OPI: el sistema lo cubre el ENS de la entidad titular; lo importante es que alguna de las dos lo declare en su alcance y que el convenio deje claro quién responde de qué.
• Fundaciones y consorcios de investigación: si son sector público institucional conforme a la Ley 40/2015, están dentro por derecho propio; si son entidades privadas que prestan servicios a una entidad pública, entran por la vía del artículo 2.3 del real decreto.
• Empresas colaboradoras y spin-offs: cuando tratan sistemas que soportan competencias de la entidad pública (por ejemplo, operan su repositorio de datos), deben cumplir el ENS en ese perímetro contractual.

En investigación, además, el ENS convive con obligaciones de gestión de datos de los proyectos financiados (planes de gestión de datos, ciencia abierta) y con el RGPD cuando hay datos personales. No son marcos rivales: el análisis de riesgos del ENS es el paraguas natural para ordenar todos ellos.

Errores frecuentes en el sector universitario

• Declarar un alcance cosmético. Certificar solo la sede electrónica y dejar fuera el campus virtual o el gestor académico produce un distintivo que no resiste la primera pregunta incómoda.
• Tratar la red de investigación como excusa global. «Aquí no se puede aplicar el ENS porque somos investigadores» no es un argumento: se segmenta, se delimita y se protege lo que corresponde.
• Confiar el proyecto solo al servicio de informática. Sin el rectorado y la gerencia implicados, la política de seguridad no se aprueba, los roles no se designan y el proyecto muere en un cajón.
• Ignorar a los proveedores. La plataforma de matrícula en la nube sin conformidad ENS es una brecha de cumplimiento de la universidad, no del proveedor.
• Confundir ISO 27001 con ENS. Ayuda y comparte lógica, pero no sustituye: la conformidad que exige la norma es la del ENS, con sus categorías, sus medidas y su procedimiento de certificación propios.
• Dejar morir la conformidad. Sin auditoría bienal y sin mantenimiento, el distintivo caduca y el esfuerzo inicial se pierde.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Texto consolidado: https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191 (artículos 2, 28, 30, 31, 38 y 40; Anexos I a III; disposición transitoria única).
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Texto consolidado: https://www.boe.es/buscar/act.php?id=BOE-A-2015-10566 (artículo 2).
• Centro Criptológico Nacional — portal del ENS y guías CCN-STIC: https://www.ccn.cni.es/index.php/es/
• CCN-STIC 881, «Guía de Adecuación al ENS para Universidades», y CCN-STIC 881A, «Perfil de Cumplimiento Específico Universidades» (serie 800 del CCN).