Sí, però no a tota l'empresa. Segons l'article 2.3 del Reial decret 311/2022, l'ENS s'aplica als sistemes d'informació amb què una entitat privada presta serveis o proveeix solucions al sector públic en virtut d'un contracte. El que ha de complir és el sistema que sustenta aquest servei, no la vostra organització sencera.
A quina part de l'empresa s'aplica l'ENS?
Als sistemes d'informació que sustenten el servei contractat. L'ENS no certifica empreses, sinó sistemes: una mateixa empresa pot tenir el web corporatiu en categoria Bàsica i una plataforma que gestiona dades d'un ajuntament en categoria Mitjana. L'obligació neix del contracte, no de la vostra activitat general.
Si la vostra empresa presta serveis a un organisme públic i aquests serveis es basen en un sistema d'informació vostre, aquest sistema entra en l'abast de l'ENS. La resta dels vostres sistemes, no.
Qui decideix si el sistema és de categoria Bàsica, Mitjana o Alta?
No l'escull la vostra empresa. La categoria es determina segons l'impacte que tindria un incident sobre cinc dimensions de seguretat: disponibilitat, integritat, confidencialitat, autenticitat i traçabilitat. A la pràctica, sol quedar fixada per l'administració contractant al plec o al contracte, i d'aquesta categoria depèn com s'acredita la conformitat.
- Bàsica: n'hi ha prou amb una declaració de conformitat basada en una autoavaluació documentada, llevat que el plec exigeixi més.
- Mitjana i Alta: exigeixen una auditoria formal i una certificació de conformitat emesa per una entitat acreditada per l'ENAC.
Quins terminis cal complir?
El Reial decret 311/2022 va entrar en vigor el 5 de maig de 2022 i va donar 24 mesos als sistemes ja existents per adequar-s'hi: el termini va acabar el 5 de maig de 2024. En una licitació, el moment d'acreditar la conformitat el marca el plec, que pot demanar-la amb l'oferta o acceptar un compromís d'obtenir-la.
Si el vostre contracte exigeix la conformitat amb l'ENS i encara no la teniu, podríeu estar incomplint una obligació contractual. Reviseu què diu exactament el contracte.
Pel que fa al compromís posterior, la Junta Consultiva de Contractació Pública de Catalunya (Informe 12/2020) admet que el plec accepti un compromís de certificar-se després de l'adjudicació, en el termini que fixi el mateix plec.
Quines mesures concretes cal implantar?
L'annex II de l'ENS recull 73 mesures de seguretat, però no totes s'apliquen a tots els sistemes ni amb el mateix nivell d'exigència. La declaració d'aplicabilitat és el document on es justifica quines mesures s'implanten i quines no, en funció de la categoria del sistema i de l'anàlisi de riscos.
Entre les mesures que s'apliquen en totes les categories hi ha les de gestió del personal, com la conscienciació (mp.per.3) i la formació (mp.per.4). Les expliquem a Què exigeixen les mesures mp.per.3 i mp.per.4 de l'ENS?
Resum: l'ENS per a una empresa privada amb contracte públic
| Aspecte | Què diu l'ENS |
|---|---|
| A qui s'aplica? | Als sistemes d'informació de l'empresa privada que sustenten serveis prestats a una entitat pública en virtut d'un contracte |
| A tota l'empresa? | No. Només als sistemes concrets inclosos en l'abast del contracte |
| Què determina la categoria? | L'impacte d'un incident sobre cinc dimensions, no la preferència del contractista |
| Categoria Bàsica | Declaració de conformitat per autoavaluació |
| Categories Mitjana i Alta | Auditoria formal i certificació per entitat acreditada per l'ENAC |
| És criteri de solvència? | No. Es pot exigir com a condició d'execució o prescripció tècnica |
| Què passa si no es compleix? | Podeu quedar fora de les licitacions que ho exigeixin o incomplir el contracte que ho imposi |
| Termini d'adequació | 5 de maig de 2024, per als sistemes existents quan va entrar en vigor el Reial decret |
On encaixa NetSereno
NetSereno no és una consultora ni una entitat certificadora. Els nostres serveis de formació en risc humà, simulació de pesca de credencials (phishing), vigilància de la Dark Web i anàlisi de vulnerabilitats de la superfície exposada (web) deixen registres que demostren que les mesures de l'ENS no són només sobre el paper, sinó que funcionen a la pràctica.
L'ENS exigeix evidència. Nosaltres la generem, i l'aporteu vós, la vostra consultora o el vostre auditor en el procés de certificació.