Certificación ENS
¿Qué es el Esquema Nacional de Seguridad y quién debe cumplirlo?
El Esquema Nacional de Seguridad (ENS) es el marco que fija los requisitos de seguridad de los sistemas de información del sector público en España. Lo regula el Real Decreto 311/2022 y alcanza también a las empresas privadas que prestan servicios a las administraciones. Walhalla tiene la certificación ENS en categoría alta para los sistemas que soportan sus servicios de Data Center y Cloud.
En esta página
¿Qué regula el Real Decreto 311/2022?
El Real Decreto 311/2022, de 3 de mayo, sustituyó al Real Decreto 3/2010 y actualizó el ENS para adaptarlo a la evolución de las amenazas y al marco europeo. Establece unos principios básicos, unos requisitos mínimos y un catálogo de medidas de seguridad, agrupadas en marco organizativo, marco operacional y medidas de protección, que cada sistema aplica según su categoría.
¿Quién debe cumplir el ENS?
El ENS se aplica a:
Todo el sector público: Administración General del Estado, comunidades autónomas, entidades locales, universidades públicas y organismos dependientes.
Las empresas privadas que prestan servicios o suministran soluciones a entidades del sector público, para los sistemas que intervienen en ese servicio.
Por eso muchos integradores, MSP y proveedores de software necesitan acreditar el ENS para presentarse a licitaciones o renovar contratos públicos, y trasladan ese requisito a los proveedores de infraestructura de los que dependen.
Categorías del ENS: básica, media y alta
La categoría de un sistema depende del impacto que tendría un incidente en cinco dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Hay tres niveles:
Valora tu sistema
¿Qué perjuicio causaría un incidente en cada dimensión? La categoría la marca la dimensión con mayor impacto.
Valoración orientativa: la categorización formal se hace con el análisis del sistema.
Básica
Tu sistemaPerjuicio limitado. Basta una autoevaluación y la declaración de conformidad.
Media
Tu sistemaPerjuicio grave. Requiere una auditoría formal y la certificación de conformidad.
Alta
Tu sistemaPerjuicio muy grave. Requiere auditoría formal y certificación, con el conjunto de medidas más exigente.
En las categorías media y alta la auditoría se repite, como mínimo, cada dos años.
¿Cómo se obtiene la certificación ENS?
El proceso habitual sigue estas fases:
- 1Categorizar el sistema y definir su alcance.
- 2Elaborar la declaración de aplicabilidad con las medidas que corresponden a la categoría.
- 3Implantar las medidas y documentar la política de seguridad.
- 4Superar la auditoría de una entidad de certificación acreditada por ENAC.
- 5Publicar la conformidad y mantenerla con auditorías periódicas.
Resultado de la fase
¿Qué aporta un proveedor con ENS categoría alta?
Alojar un sistema en un proveedor certificado no certifica ese sistema: cada organización responde de su propio alcance. Lo que sí resuelve es la capa de infraestructura que el auditor va a revisar (seguridad física del centro de datos, energía, climatización, continuidad y gestión de incidentes del proveedor), con un certificado vigente y la documentación que lo respalda.
En el caso de Walhalla, eso incluye:
Certificación ENS categoría alta, emitida por AENOR, para los sistemas que soportan los servicios de Data Center y Cloud.
Declaración de conformidad con el ENS conforme al Real Decreto 311/2022, publicada en esta web.
Certificaciones complementarias UNE-EN ISO/IEC 27001:2023, UNE-ISO/IEC 20000-1:2018 y UNE-EN ISO 50001:2018.
Infraestructura y datos en España, con copias de los certificados a disposición de cualquier cliente que las pida.
Para un partner que prepara a su cliente para el ENS, apoyarse en una infraestructura certificada en categoría alta reduce el trabajo de evidencias en la parte física y operativa, y permite concentrar el esfuerzo en el sistema del cliente.
ENS y Directiva NIS2
La Directiva NIS2 extiende las obligaciones de ciberseguridad a nuevos sectores privados. Muchas de las medidas de gestión de riesgos que exige ya forman parte del ENS y de la ISO/IEC 27001, de modo que una organización que trabaja con estos marcos parte con ventaja.
Preguntas frecuentes
¿Es obligatorio el ENS para una empresa privada?
Sí, cuando presta servicios o suministra soluciones a entidades del sector público, para los sistemas que intervienen en ese servicio.
¿Cada cuánto hay que renovar la certificación ENS?
En las categorías media y alta, el sistema debe someterse a una auditoría al menos cada dos años.
¿Quién emite el certificado ENS?
Las entidades de certificación acreditadas por ENAC. La certificación de Walhalla en categoría alta la emitió AENOR.
¿Qué diferencia hay entre la declaración y la certificación de conformidad?
En categoría básica basta con una autoevaluación y la declaración de conformidad. En las categorías media y alta se exige una certificación de conformidad, emitida tras una auditoría.
¿Hablamos de tu proyecto?
Si tu cliente necesita infraestructura con ENS categoría alta, cuéntanos tu nombre, empresa y teléfono, una breve descripción del proyecto y el servicio que te interesa. Te responderá una persona del equipo comercial.
