Respuestas directas, con la fuente enlazada, a las preguntas que recibimos sobre el ENS, el RGPD y la evidencia de formación.
Sí, pero no a toda la empresa. Según el artículo 2.3 del Real Decreto 311/2022, el ENS se aplica a los sistemas de información con los que una entidad privada presta servicios o provee soluciones al sector público en virtud de un contrato. Lo que debe cumplir es el sistema que sustenta ese servicio, no su organización entera.
Las medidas mp.per.3 (Concienciación) y mp.per.4 (Formación) pertenecen a la gestión del personal del Anexo II del Real Decreto 311/2022 y se aplican en las tres categorías del ENS: Básica, Media y Alta. La primera busca que el personal sepa cuál es su papel; la segunda, que sepa hacer lo que su puesto requiere.
El ENS no publica un modelo oficial de registro de formación. Lo que el auditor buscará es evidencia verificable, persona a persona, de que cada miembro del personal ha recibido la concienciación y la formación que le corresponde: cuándo la recibió, sobre qué contenidos y con qué resultado. Si no puede demostrarlo así, la medida no está implantada.