Sí, puede afectarle. El artículo 2.3 del Real Decreto 311/2022 extiende el ENS a los sistemas de las empresas privadas que, en virtud de un contrato, prestan servicios o proveen soluciones a entidades del sector público. Los pliegos recogen qué se le exige. Si es su caso, tendrá que demostrar, entre otras cosas, que su personal está concienciado y formado.
¿Cuándo se aplica el ENS a una empresa privada?
Cuando presta servicios o provee soluciones a una entidad del sector público en virtud de una relación contractual, para que esa entidad ejerza sus competencias. La forma concreta la fijan los pliegos del contrato, que pueden pedir, por ejemplo, una declaración o una certificación de conformidad con el ENS de los sistemas con los que presta el servicio.
Si los pliegos no son claros, pregunte al órgano de contratación o consulte con un asesor especializado. Nosotros no interpretamos contratos, pero le diremos cuándo necesita a alguien que lo haga.
| Qué revisar | Dónde suele estar |
|---|---|
| Si el servicio se presta con sus propios sistemas de información | Objeto del contrato y pliego de prescripciones técnicas |
| Si se exige declaración o certificación de conformidad con el ENS | Pliegos de cláusulas administrativas y de prescripciones técnicas |
| La categoría del sistema (básica, media o alta) | Pliegos o requerimiento del órgano de contratación |
| Plazo y forma de acreditarlo | Pliegos y contrato |
¿Qué parte del ENS cubre NetSereno?
La capa humana: las medidas mp.per.3 (Concienciación) y mp.per.4 (Formación). Formamos a su personal y le dejamos un registro auditable de quién ha completado cada módulo, cuándo y con qué resultado. La política de seguridad, el análisis de riesgos, las medidas técnicas y la declaración o certificación de conformidad quedan fuera de nuestro servicio.
¿Qué evidencia puede aportar sobre su personal?
Un informe exportable en PDF con la formación asignada y completada por cada persona, sus fechas y resultados, las simulaciones de phishing realizadas y las políticas de seguridad leídas y aceptadas. Es la evidencia que un auditor o el órgano de contratación puede pedirle para las medidas relativas al personal.
Vea el detalle en Evidencia y trazabilidad.