Píldora · El ENS, si trabajas para la Administración
El camino, paso a paso
Lo que vas a tener que demostrar
- Una política de seguridad aprobada, que diga quién responde de qué. En una empresa la aprueba el órgano con las máximas competencias ejecutivas (art. 2.3).
- Responsables separados. El responsable de la seguridad es distinto del responsable del sistema, y entre los dos no hay dependencia jerárquica. Solo si faltan recursos, y justificándolo, pueden coincidir, con medidas que lo compensen (art. 13).
- Un análisis de riesgos del sistema, que justifica qué medidas aplicas.
- La Declaración de Aplicabilidad: la lista de medidas que te corresponden por categoría y por riesgo, firmada por el responsable de la seguridad (art. 28).
- Las medidas implantadas, con evidencias de que funcionan. El catálogo está en el anexo II.
- La conformidad, declarada o certificada, publicada y revisada al menos cada dos años.
Seis pasos, en este orden
Qué sistemas intervienen en el servicio que prestas a la Administración. Un alcance bien acotado evita llevar al ENS lo que no lo necesita.
Valora el impacto en las cinco dimensiones y deja escrita la justificación.
Primero provisional; definitiva cuando el análisis esté cerrado.
Con la separación entre seguridad y sistema que pide la norma.
Con un plan, y con las normas y los procedimientos internos que las sostienen.
Después vienen la vigilancia y la mejora: la conformidad se mantiene, no se consigue una vez.
| Categoría | Qué se presenta | Cómo se llega |
|---|---|---|
| Básica | Declaración de conformidad, que firma tu organización | Con una autoevaluación documentada. Si quieres, también puedes certificarte |
| Media y Alta | Certificación de conformidad, que emite una entidad de certificación | Con la auditoría de una entidad de certificación acreditada |
En los dos casos
La declaración o el certificado se publican en tu web o en tu sede electrónica. Y la conformidad se revisa al menos cada dos años, y antes si el sistema cambia de forma sustancial: con una auditoría en Media y Alta, y con una nueva autoevaluación en Básica (art. 31 y anexo III).
Si hay un incidente
Las empresas que prestan servicios a entidades públicas notifican al INCIBE-CERT los incidentes que les afecten (art. 33.7). Qué incidentes se notifican y cómo lo concreta una instrucción técnica: no se notifica cada avería. Tu contrato puede pedirte, además, avisar a tu cliente. Tenlo escrito antes de necesitarlo.
El ENS y otras dos siglas
La ISO 27001 es una norma internacional voluntaria que certifica un sistema de gestión. El ENS es una obligación legal española, con su propio catálogo de medidas, sus categorías y sus dimensiones. Comparten buena parte del trabajo (análisis de riesgos, políticas, evidencias), pero una no sustituye a la otra. Si te piden las dos, se abordan juntas.
Responden a preguntas distintas. El ENS se aplica por trabajar con el sector público. NIS2 se aplica, como regla general, por el sector de actividad y el tamaño de la empresa. Una misma empresa puede estar en los dos marcos, y el trabajo de uno aprovecha al otro.
Antes de la próxima licitación (marca lo que ya tienes; lo que quede, llévalo a quien decide)
0 de 6
D1 Ficha «El ENS en una página»
una cara · para la reunión en la que se decide si presentarse
Descargarlo es voluntario. El archivo se crea en tu navegador y se queda en tu dispositivo: no se envía a ningún servidor.
Texto de la pieza
¿Nos alcanza? Prestamos servicios o soluciones al sector público, por contrato, para que ejerza sus competencias: ____. Sistemas nuestros que intervienen: ____.
¿Qué categoría nos piden? Básica · Media · Alta. Lo dice el pliego: ____.
¿Qué hay que presentar? Básica: declaración de conformidad, tras una autoevaluación. Media y Alta: certificación, tras la auditoría de una entidad acreditada.
¿Cuándo tiene que estar? Al presentar la oferta · al adjudicar · durante el contrato: ____. Si no queda claro, se pregunta por el cauce de consultas.
Por dónde empezamos. 1. Alcance. 2. Categoría. 3. Riesgos y Declaración de Aplicabilidad. 4. Política y responsables. 5. Medidas. 6. Declarar o certificar, y publicarlo.
Quién responde de la seguridad: ____ (distinto de quien administra los sistemas).
Si hay un incidente: INCIBE-CERT y lo que pida el contrato. Procedimiento: ____.
Pie: Minery Academy. Formación, no asesoramiento jurídico.
En 30 segundos
El ENS obliga al sector público y alcanza a los sistemas de las empresas que le prestan servicios o soluciones por contrato.
Entra el sistema, no la empresa entera. El pliego dice qué conformidad te exige.
La categoría (Básica, Media o Alta) la marca la dimensión con el nivel más alto.
En Básica se declara, tras una autoevaluación. En Media y Alta se certifica, con la auditoría de una entidad acreditada.
La ISO 27001 ayuda, pero no sustituye al ENS.
Se empieza por el alcance, y la conformidad se revisa al menos cada dos años.
Cuando termines, sigues con «Comprobación final».