Valora las cinco dimensiones de seguridad de tu sistema —disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad— y la herramienta te devuelve la categoría que te corresponde según el anexo I del RD 311/2022, cuántas de las 73 medidas del anexo II te son exigibles y cuáles se quedan fuera. La trampa habitual: la categoría no la marca la media de las cinco dimensiones, sino la más exigente de todas.
En una frase: tu categoría ENS es ALTA si alguna dimensión llega a nivel ALTO, MEDIA si alguna llega a MEDIO sin superarlo, y BÁSICA si alguna llega a BAJO sin superarlo (anexo I, apdo. 4 del RD 311/2022). De ahí salen las medidas exigibles del anexo II, que son 73 en total: 45 se exigen por la categoría del sistema y 28 por el nivel de una o varias dimensiones concretas. Por eso dos sistemas de la misma categoría pueden tener listas de medidas distintas.
Esta herramienta es orientativa y no constituye asesoramiento profesional. La valoración del impacto corresponde al responsable de la información o de los servicios y la determinación de la categoría al responsable de la seguridad (art. 41 del RD 311/2022). Verifica tu caso con Summum Calidad · adecuación al ENS antes de comprometerte en un pliego. Si quieres el contexto largo, ya lo publicamos en el blog: Niveles ENS: guía para categorizar tu sistema correctamente.
El artículo 2 del RD 311/2022 aplica el ENS a todo el sector público y también a las entidades privadas que, en virtud de una relación contractual, prestan servicios o proveen soluciones al sector público para el ejercicio de sus competencias y potestades administrativas. Si no estás en ninguno de los dos supuestos, el ENS no te obliga por sí mismo, y la herramienta te lo dice antes que ninguna otra cosa en lugar de venderte una categoría.
El anexo I distingue cinco dimensiones y tres niveles (BAJO, MEDIO, ALTO) según el perjuicio del incidente: limitado, grave o muy grave. Una dimensión que no se ve afectada no se adscribe a ningún nivel, y eso tiene consecuencias reales: las medidas que dependen solo de ella dejan de ser exigibles. Por eso la herramienta te obliga a marcar «no se ve afectada» de forma explícita.
Apartado 4 del anexo I: ALTA si alguna dimensión alcanza nivel ALTO; MEDIA si alguna alcanza MEDIO y ninguna supera ese nivel; BÁSICA si alguna alcanza BAJO y ninguna lo supera. No hay media aritmética ni compensación entre dimensiones. La herramienta te señala qué dimensión concreta está marcando tu categoría, que suele ser el dato accionable.
El anexo II tiene 73 medidas con dos formas de exigirse: 45 se leen por la categoría del sistema y 28 por el nivel de una o varias dimensiones. La herramienta recorre las 73 filas y cuenta cuáles caen del lado exigible en tu caso, separando las que llevan refuerzos y las que te obligan a elegir entre varios. Esa elección no la hace la herramienta: se decide en el análisis de riesgos y se firma en la Declaración de Aplicabilidad (art. 28.2).
De dónde salen los números: las 73 medidas y todos los subtotales que ves aquí y en el resultado se han contado fila a fila sobre la tabla del apartado 2.4 del anexo II del texto consolidado enlazado arriba, no sobre resúmenes de terceros. Reparto verificado: 4 medidas de marco organizativo [org], 33 de marco operacional [op] y 36 de medidas de protección [mp]; 45 exigibles por categoría del sistema y 28 por nivel de dimensión. Si las cinco dimensiones se valoran en BAJO resultan exigibles 52 medidas; con las cinco en MEDIO, 68; con las cinco en ALTO, las 73.
Regla de lectura que aplica la herramienta y conviene que conozcas: cuando la tercera columna del anexo II lista varias dimensiones (por ejemplo «C I T A»), la herramienta exige el requisito correspondiente al nivel más alto entre esas dimensiones, que es la lectura que deja el requisito más estricto en pie. Y si ninguna de las dimensiones de las que depende una medida se ve afectada, esa medida no se cuenta como exigible, en aplicación del apartado 3 del anexo I («si una dimensión de seguridad no se ve afectada, no se adscribirá a ningún nivel»).
Lo que esta herramienta no hace y no inventa: no valora por ti el impacto de cada información y de cada servicio, que es competencia del responsable de la información o de los servicios afectados (art. 41.1); no elige los refuerzos alternativos del tipo [R1 o R2], que dependen del análisis de riesgos; y no sustituye a la auditoría regular del art. 31 ni al procedimiento de conformidad del art. 38. Tampoco te da un precio ni un plazo de proyecto: eso depende de tu punto de partida y se estima mirando tu sistema, no rellenando un formulario.
Lo fija el apartado 4 del anexo I del Real Decreto 311/2022: un sistema es de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel ALTO; es de categoría MEDIA si alguna alcanza el nivel MEDIO y ninguna alcanza un nivel superior; y es de categoría BÁSICA si alguna alcanza el nivel BAJO y ninguna alcanza un nivel superior. Manda siempre la dimensión más exigente, no la media de las cinco. Y el apartado 3 añade un matiz que se olvida a menudo: si una dimensión no se ve afectada, no se adscribe a ningún nivel.
El anexo II del Real Decreto 311/2022 contiene 73 medidas: 4 del marco organizativo, 33 del marco operacional y 36 de medidas de protección. De esas 73, 45 se exigen atendiendo a la categoría de seguridad del sistema y 28 atendiendo al nivel de una o varias dimensiones. Si las cinco dimensiones se valoran en nivel BAJO, resultan exigibles 52; si las cinco se valoran en MEDIO, 68; si las cinco se valoran en ALTO, las 73. El número real de tu sistema depende de qué dimensiones estén afectadas y en qué nivel, y eso es justo lo que calcula esta herramienta.
El artículo 2.3 del Real Decreto 311/2022 extiende su aplicación a los sistemas de información de las entidades del sector privado cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. Incluye expresamente la obligación de contar con la política de seguridad del artículo 12, que en estas entidades aprueba el órgano con las máximas competencias ejecutivas. Además, los pliegos deben contemplar los requisitos para asegurar la conformidad, y esa cautela se extiende a la cadena de suministro del contratista.
Depende de la categoría. Según el artículo 38.1, los sistemas de categoría MEDIA o ALTA precisan una auditoría para la certificación de su conformidad, mientras que los de categoría BÁSICA solo requieren una autoevaluación para su declaración de conformidad, sin perjuicio de que puedan someterse igualmente a auditoría. El anexo III, apartado 2.1, detalla que en categoría BÁSICA basta una autoevaluación realizada por el mismo personal que administra el sistema o en quien este delegue, documentada y con evidencias. Aparte de eso, el artículo 31.1 exige a todos los sistemas del ámbito una auditoría regular ordinaria al menos cada dos años.
El apartado 1 del anexo I lo dice sin rodeos: anualmente, o siempre que se produzcan modificaciones significativas en los criterios de determinación, deberá reevaluarse la categoría de seguridad de los sistemas concernidos. La valoración del impacto corresponde al responsable de la información o de los servicios afectados y la determinación de la categoría al responsable de la seguridad, según el artículo 41.
No, y es deliberado. Varias medidas del anexo II se exigen con refuerzos alternativos anotados entre corchetes, del tipo R1 o R2, y esa elección depende del análisis de riesgos y del diseño técnico de cada sistema. La herramienta te dice cuántas medidas de tu caso están en esa situación y cuáles son, para que las lleves a la mesa técnica, pero no elige por ti. La relación final de medidas seleccionadas se formaliza en la Declaración de Aplicabilidad firmada por el responsable de la seguridad, según el artículo 28.2.