Sí, pero no a toda la empresa. Según el artículo 2.3 del Real Decreto 311/2022, el ENS se aplica a los sistemas de información con los que una entidad privada presta servicios o provee soluciones al sector público en virtud de un contrato. Lo que debe cumplir es el sistema que sustenta ese servicio, no su organización entera.
¿A qué parte de la empresa se aplica el ENS?
A los sistemas de información que sustentan el servicio contratado. El ENS no certifica empresas, sino sistemas: una misma empresa puede tener su web corporativa en categoría Básica y una plataforma que gestiona datos de un ayuntamiento en categoría Media. La obligación nace del contrato, no de su actividad general.
Si su empresa presta servicios a un organismo público y esos servicios se apoyan en un sistema de información suyo, ese sistema entra en el alcance del ENS. El resto de sus sistemas, no.
¿Quién decide si el sistema es de categoría Básica, Media o Alta?
No la elige su empresa. La categoría se determina según el impacto que tendría un incidente sobre cinco dimensiones de seguridad: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. En la práctica, suele venir fijada por la administración contratante en el pliego o en el contrato, y de ella depende cómo se acredita la conformidad.
- Básica: basta con una declaración de conformidad basada en una autoevaluación documentada, salvo que el pliego exija más.
- Media y Alta: exigen una auditoría formal y una certificación de conformidad emitida por una entidad acreditada por ENAC.
¿Qué plazos hay que cumplir?
El Real Decreto 311/2022 entró en vigor el 5 de mayo de 2022 y dio 24 meses a los sistemas ya existentes para adecuarse: el plazo terminó el 5 de mayo de 2024. En una licitación, el momento de acreditar la conformidad lo marca el pliego, que puede pedirla con la oferta o aceptar un compromiso de obtenerla.
Si su contrato exige la conformidad con el ENS y todavía no la tiene, podría estar incumpliendo una obligación contractual. Revise qué dice exactamente su contrato.
Sobre el compromiso posterior, la Junta Consultiva de Contratación Pública de Cataluña (Informe 12/2020) admite que el pliego acepte un compromiso de certificarse tras la adjudicación, en el plazo que el propio pliego fije.
¿Qué medidas concretas hay que implantar?
El Anexo II del ENS recoge 73 medidas de seguridad, pero no todas se aplican a todos los sistemas ni con el mismo nivel de exigencia. La declaración de aplicabilidad es el documento donde se justifica qué medidas se implantan y cuáles no, en función de la categoría del sistema y del análisis de riesgos.
Entre las medidas que se aplican en todas las categorías están las de gestión del personal, como la concienciación (mp.per.3) y la formación (mp.per.4). Las explicamos en ¿Qué exigen las medidas mp.per.3 y mp.per.4 del ENS?
Resumen: el ENS para una empresa privada con contrato público
| Aspecto | Qué dice el ENS |
|---|---|
| ¿A quién se aplica? | A los sistemas de información de la empresa privada que sustentan servicios prestados a una entidad pública en virtud de un contrato |
| ¿A toda la empresa? | No. Solo a los sistemas concretos incluidos en el alcance del contrato |
| ¿Qué determina la categoría? | El impacto de un incidente sobre cinco dimensiones, no la preferencia del contratista |
| Categoría Básica | Declaración de conformidad por autoevaluación |
| Categorías Media y Alta | Auditoría formal y certificación por entidad acreditada por ENAC |
| ¿Es criterio de solvencia? | No. Puede exigirse como condición de ejecución o prescripción técnica |
| ¿Qué pasa si no se cumple? | Puede quedar fuera de las licitaciones que lo exijan o incumplir el contrato que lo imponga |
| Plazo de adecuación | 5 de mayo de 2024, para los sistemas existentes cuando entró en vigor el Real Decreto |
Dónde encaja NetSereno
NetSereno no es una consultora ni una entidad certificadora. Nuestros servicios de formación en riesgo humano, simulación de phishing, vigilancia de la Dark Web y análisis de vulnerabilidades de la superficie expuesta (web) dejan registros que demuestran que las medidas del ENS no están solo en el papel, sino que funcionan en la práctica.
El ENS exige evidencia. Nosotros la generamos, y la aportan usted, su consultora o su auditor en el proceso de certificación.