Adecuación al ENS en Madrid desde el sistema de gestión

La Comunidad de Madrid es una Administración autonómica sujeta al Esquema Nacional de Seguridad. El artículo 2 del RD 311/2022 establece que el ENS se aplica también a los sistemas de información de las entidades privadas cuando tratan información del sector público o prestan servicios a entidades sujetas al Esquema. Si tu empresa gestiona datos de ciudadanos, opera sistemas en nombre de la Comunidad de Madrid o le suministra soluciones tecnológicas, debes adecuarte. El plazo para sistemas ya existentes finalizó el 5 de mayo de 2024.

Sí. El Ayuntamiento de Madrid, la práctica totalidad de los ministerios y organismos de la Administración General del Estado con sede en la capital, y las universidades públicas madrileñas —Complutense, Autónoma, Politécnica, Carlos III y Rey Juan Carlos— son entidades del sector público sujetas al ENS. Sus contratos de servicios digitales —desarrollo de software, mantenimiento de sistemas, servicios en la nube, tratamiento de datos de ciudadanos, estudiantes o personal— arrastran la obligación de adecuación al ENS a sus proveedores privados. Si licitáis o prestáis servicios a cualquiera de estas instituciones, el ENS os aplica.

La categoría se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad— para cada servicio en alcance. Si el impacto máximo en cualquier dimensión es BAJO, el sistema es de categoría básica; si alguna dimensión alcanza MEDIO, es categoría media; si alguna alcanza ALTO, es categoría alta. La categoría determina las medidas del Anexo II que son obligatorias y si necesitas una declaración de conformidad autoevaluada (básica) o una certificación por entidad acreditada ENAC (media o alta). Summum Calidad realiza ese análisis de categorización como primer paso del proyecto.

Sí, y es la vía más eficiente. La ISO 27001:2022 y el ENS comparten la misma lógica de sistema de gestión —política de seguridad, análisis de riesgos, selección de controles, revisión y mejora continua— y muchos de sus controles son coincidentes o directamente reutilizables. Con ISO 27001 certificada o en curso, la brecha hacia el ENS se concentra en los aspectos específicos del marco español: la categorización del Anexo I, los controles sin equivalente exacto en ISO 27001 y la adaptación de la documentación al formato de la CCN. Summum Calidad cierra únicamente lo que falta, sin rehacer lo que ya funciona.

El Anexo II del RD 311/2022 recoge 73 medidas de seguridad —4 organizativas, 33 operacionales y 36 de protección— organizadas en tres marcos y 16 familias. Las medidas aplicables dependen de la categoría de tu sistema: básico, medio o alto. No todas las 73 medidas son exigibles en todos los niveles; cada medida especifica a qué categorías aplica. Entre las familias con mayor relevancia para proveedores de servicios digitales destacan op.nub (seguridad en servicios en la nube), mp.com (protección de comunicaciones) y op.exp (explotación). Summum Calidad identifica el subconjunto exacto de medidas que te aplica y prioriza su implantación según el esfuerzo y el impacto sobre la conformidad.

Para sistemas de categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada por la propia organización, siguiendo el procedimiento de la CCN-STIC 809: la empresa declara bajo su responsabilidad que cumple los requisitos del ENS para esa categoría. Para sistemas de categoría media o alta, la conformidad debe ser certificada por una entidad de inspección acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065: un tercero independiente audita el sistema y emite el certificado. Summum Calidad no emite ese certificado —es competencia exclusiva de las entidades acreditadas— pero sí prepara tu documentación, controles y evidencias para superar ese proceso de certificación con garantías.