Inventariamos
Quién está obligado y por qué te lo piden a ti
El Esquema Nacional de Seguridad (ENS) lo regula el Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). Su artículo 2 lo aplica a todo el sector público y lo extiende a las empresas privadas que, por contrato, prestan servicios o proveen soluciones a una entidad pública. Si eres una gestoría que lleva la contabilidad de un ayuntamiento, una clínica con concierto con un servicio de salud, una academia que imparte formación subvencionada o una empresa que mantiene el software de una mancomunidad, entras en ese segundo grupo.
La obligación llega por el pliego, no por una carta del Gobierno. La entidad pública debe exigir conformidad con el ENS a sus proveedores, y esa exigencia puede alcanzar también a tus subcontratistas según el riesgo del servicio. Por eso lo habitual es enterarse al leer las condiciones de una licitación o al renovar un contrato que llevaba años funcionando sin que nadie preguntara nada.
El alcance es el sistema de información con el que prestas el servicio, no toda la empresa. Si atiendes al ayuntamiento desde cuatro equipos (PC-FISCAL-01 a PC-FISCAL-04), un servidor de ficheros y una cuenta de Microsoft 365, eso es lo que hay que inventariar, proteger y poder demostrar. El resto de la oficina queda fuera si está bien separado, y de ahí la importancia de definir el alcance por escrito antes de nada.
Categorías BÁSICA, MEDIA y ALTA y cómo se determinan
La categoría no la elige el proveedor a su gusto ni la impone un tamaño de empresa. Se calcula valorando qué pasaría si un incidente afectara al servicio en cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cada una se puntúa con nivel bajo, medio o alto según el procedimiento del anexo I del real decreto, y la categoría del sistema sale del nivel más alto de las cinco. Las valoraciones las hacen los responsables de la información y del servicio (normalmente la entidad pública contratante) y la determinación final corresponde al responsable de la seguridad.
En la práctica, el pliego suele decirte directamente la categoría que debes cumplir. Si no lo dice, pregunta por escrito a quien lo licita antes de presentar la oferta. Pulsa cada categoría para ver qué cambia para una oficina de 5 a 40 puestos:
- Cómo se acredita
- Autoevaluación y declaración de conformidad. Se puede hacer también una auditoría de certificación, pero no es obligatoria.
- Quién lo valida
- Tú mismo, con un responsable de seguridad designado y evidencias que puedas enseñar si te las piden.
- Qué se nota en la oficina
- Inventario, cuentas personales con contraseña, antivirus gestionado, copias y un procedimiento para avisar de incidentes. Lo que ya hace una oficina ordenada, pero escrito.
- Qué sube respecto a la anterior
- Es el punto de partida.
Una cuestión práctica: la categoría la fija el servicio, así que dos clientes públicos distintos pueden pedirte categorías distintas por el mismo equipo de trabajo. Documenta el alcance de cada contrato por separado.
Declaración de conformidad o certificación
El artículo 38 del real decreto distingue dos vías según la categoría. Los sistemas de categoría MEDIA o ALTA requieren una auditoría para obtener la certificación de conformidad. Los de categoría BÁSICA solo requieren una autoevaluación para emitir la declaración de conformidad, aunque pueden someterse también a una auditoría de certificación si lo prefieres o el cliente lo valora.
La certificación la emite una entidad acreditada por ENAC, nunca el consultor que te ayuda a prepararla. La auditoría ordinaria se repite al menos cada dos años (artículo 31), y hay una auditoría extraordinaria si el sistema cambia de forma sustancial, por ejemplo al migrar el servidor de ficheros a la nube. Esa fecha reinicia el plazo de dos años.
Si vas a por la certificación, pide presupuesto a más de una entidad y pregunta qué incluye la fase de revisión de documentación y la visita. La preparación suele costar más tiempo que la auditoría en sí.
Perfiles de cumplimiento específicos y herramientas del CCN
El artículo 30 prevé perfiles de cumplimiento específicos (PCE) para tipos de entidad o sectores concretos. Cada perfil recoge las medidas que, tras el análisis de riesgos, resultan idóneas para una categoría y aplica el principio de proporcionalidad. Los valida y publica el Centro Criptológico Nacional (CCN), y la auditoría se hace según la categoría y, en su caso, según el perfil aplicable (artículo 31.2).
Hay perfiles de requisitos esenciales para sistemas de categoría BÁSICA y otros para sectores como las entidades locales o las universidades. Si tu cliente público es de uno de esos ámbitos, pregúntale si ha adoptado un perfil, porque cambia qué medidas te tocan.
Sobre las herramientas del CCN conviene no confundirlas. PILAR es una herramienta de análisis y gestión de riesgos que sirve para valorar activos y amenazas, y existe una variante simplificada para organizaciones pequeñas. INES (Informe Nacional del Estado de la Seguridad) es la plataforma con la que las administraciones públicas informan de su situación; está pensada para ellas y no es algo que normalmente tengas que rellenar tú como proveedor. Si el pliego te pide usar alguna, el propio pliego dirá cuál y con qué datos. Las guías de la serie CCN-STIC, publicadas en el portal del CCN, son la referencia para saber cómo interpretar cada medida.
Qué suelen decir los pliegos
Lo habitual es encontrar tres tipos de cláusula. La primera exige acreditar conformidad con el ENS en la categoría del servicio, con la forma de acreditación que corresponda: declaración o certificado vigente. La segunda obliga a notificar incidentes de seguridad a la entidad en un plazo concreto, que fija cada pliego. La tercera impone condiciones sobre subcontratación, de modo que lo que exiges tú a tu proveedor de hosting o de soporte lo exigen a ti.
Lee también si piden que el certificado esté vigente en la fecha de la oferta o solo en la de adjudicación, porque cambia mucho el calendario. Si ves la palabra «tratamiento de datos personales», suma el RGPD (art. 32 sobre seguridad del tratamiento y art. 33 sobre notificación de brechas a la AEPD en 72 horas) y la LOPDGDD (Ley Orgánica 3/2018): el ENS no sustituye ese marco, convive con él. Las guías sobre medidas técnicas del RGPD y cómo preparar una auditoría ayudan a ordenar la documentación.
Y hay una pregunta que ahorra disgustos: si estás certificado en ISO/IEC 27001:2022, ¿te sirve? Ayuda mucho, porque muchos controles coinciden, pero no sustituye la conformidad con el ENS salvo que el pliego lo diga expresamente. Tienes más detalle en la guía de certificación ISO 27001 para pymes.
Qué medidas pesan más en una oficina pequeña
El ENS tiene decenas de medidas, pero en una oficina sin informático propio la mayor parte de la carga cae en un puñado de ellas. Estas son las que más evidencias te van a pedir, con el equivalente en ISO 27001:2022 por si ya trabajas con ese marco:
| Medida ENS | Qué evidencia guardar en la oficina | ISO 27001:2022 |
|---|---|---|
| op.exp.1 inventario de activos | Lista de equipos, servidores y licencias del alcance, con responsable, ubicación y fecha de revisión. Ver cómo hacer el inventario. | 5.9 |
| op.acc.4 gestión de derechos de acceso · op.acc.6 autenticación | Quién tiene acceso a qué, quién lo aprobó y cuándo se retiró al causar baja. Cuentas personales, contraseñas largas y segundo factor. | 5.15 · 5.18 · 8.5 |
| op.exp.4 mantenimiento y actualizaciones · op.exp.6 código dañino | Informe de parches pendientes por equipo y estado del antivirus o EDR. Una captura mensual de PC-FISCAL-02 no sirve, hace falta un informe de todos. |
8.7 · 8.8 |
| op.exp.7 gestión de incidentes | Registro con fecha, qué pasó, cómo se resolvió y a quién se avisó. Si hay datos personales afectados, el reloj de las 72 horas del RGPD corre desde que se detecta. | 5.24 a 5.28 |
| mp.info.6 copias de seguridad · op.cont continuidad | Política de copias, resultado de las últimas ejecuciones y una prueba de restauración con fecha. Ver copias de seguridad para pymes. | 8.13 · 5.29 · 5.30 |
| mp.eq.3 portátiles · mp.si.5 borrado y destrucción | Portátiles autorizados con disco cifrado y acta de borrado antes de reutilizar o retirar un equipo. Ver borrado seguro. | 6.7 · 7.14 · 8.1 |
| mp.com.1 perímetro seguro · mp.com.4 separación de flujos | Esquema de red con el wifi de invitados separado del de trabajo y reglas del cortafuegos documentadas. | 8.20 · 8.22 |
| mp.per.3 concienciación | Registro de la formación o aviso a la plantilla (fecha, asistentes, contenido). | 6.3 |
Si tuvieras que empezar por algo, empieza por el inventario y los accesos. Con esos dos tienes la base para decir qué sistema hay que proteger y quién puede tocarlo, y el resto de medidas se apoyan en ellos. Para ordenar el resto, la guía de política de seguridad de la información te da el documento que suele pedir el auditor al principio.
Por último, un aviso sobre la regulación vecina: si tu empresa también está en el ámbito de NIS2 o, siendo proveedor TIC de una entidad financiera, de DORA, las obligaciones se suman. Mira a quién afecta NIS2 antes de dar nada por hecho.
Fuentes oficiales
Cómo lo hacemos en Inventariamos
No certificamos ni auditamos: la certificación la emite una entidad acreditada por ENAC. Lo que hacemos, según el alcance acordado, es ayudarte a preparar y mantener las evidencias técnicas que te van a pedir, y que salen del día a día de la oficina: el inventario vivo de equipos y licencias en la app Inventariamos, el estado de parches y antivirus, las copias y su prueba de restauración, las altas y bajas de accesos y el registro de incidencias. Si el pliego ya está sobre la mesa, cuéntanos desde Contacto qué categoría pide y a qué sistemas afecta, y revisamos contigo qué evidencias tienes ya y cuáles faltan. Para el lado de parches, accesos y red, puedes ver el servicio de ciberseguridad.