Término del glosario
ENS (Esquema Nacional de Seguridad)
El ENS es el marco español de seguridad de la información para el sector público y sus proveedores, regulado por el Real Decreto 311/2022, de 3 de mayo. Establece tres categorías (BÁSICA, MEDIA, ALTA) y obliga a entidades del sector público y a operadores y proveedores que prestan servicios a estas.
Qué incluye el ENS
El Real Decreto 311/2022 estructura las medidas en tres marcos: organizativo (org), operacional (op) y de protección (mp), con 73 medidas distribuidas entre estos tres marcos según el Anexo II. La categorización del sistema (Anexo I) se decide por el impacto en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
El Anexo III define la auditoría obligatoria (cada 2 años para sistemas MEDIA y ALTA; autoevaluación para BÁSICA). La declaración o certificación de conformidad es emitida por entidades acreditadas por ENAC para esquemas MEDIA y ALTA.
A quién aplica
Obligatorio para todas las administraciones públicas españolas (estatal, autonómica y local), organismos del sector público institucional, universidades públicas y, por extensión, para los proveedores TIC que prestan servicios a estas entidades. Empresas privadas que quieran contratar con el sector público en servicios de información necesitan acreditar conformidad ENS proporcional al servicio.
Plazos y costes orientativos
Implantación según categoría: BÁSICA 3-6 meses; MEDIA 6-12 meses; ALTA 12-18 meses. Auditoría externa: orientativamente 3.000-8.000 € para categoría MEDIA en un único sistema y centro. Productos cualificados deben proceder del Catálogo CPSTIC del CCN para sistemas MEDIA/ALTA. Consultar tarifas vigentes.
Errores frecuentes
- Categorizar el sistema sin un análisis de riesgos documentado conforme a MAGERIT.
- Olvidar la cadena de proveedores: el RD 311/2022 obliga a trasladar requisitos al contratista.
- No usar productos del Catálogo CPSTIC del CCN cuando se exige producto cualificado.
- Confundir la declaración de conformidad (categoría BÁSICA) con la certificación (MEDIA/ALTA).
Posts relacionados en angelortegacastro.com
- ENS: categorías BÁSICA, MEDIA y ALTA
- Controles del ENS: marco organizativo, operacional y de protección
- Catálogo CPSTIC del CCN: productos cualificados para ENS