El Esquema Nacional de Seguridad (ENS) es un conjunto de políticas y normativas establecidas por el gobierno para garantizar la seguridad de la información en el ámbito digital. Estas políticas están diseñadas para proteger los sistemas de información y los datos sensibles tanto del gobierno como de las organizaciones privadas que prestan servicios públicos.

A través del Real Decreto 311/2022, de 3 de mayo, se pretende regular el Esquema Nacional de Seguridad (en adelante, ENS), establecido en el artículo 156.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

El ENS está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias.

Objetivos y Metas del ENS:

Reforzar la protección de los servicios y de los datos, como activo esencial para la Administración Digital frente a atacantes y/o amenazas.

• Proteger la Información Sensible: Garantizar la confidencialidad, integridad y disponibilidad de la información clasificada como sensible.
• Prevenir Ciberataques: Establecer medidas de seguridad para prevenir y mitigar ciberataques, asegurando la continuidad de las operaciones.
• Promover la Confianza: Mejorar la confianza de los ciudadanos, las empresas y otras entidades en las transacciones electrónicas y los servicios digitales.

Para ello debemos contar con una evaluación permanente del estado de la seguridad de los activos, para detectar vulnerabilidades e identificar deficiencias de configuración.

Ámbito de aplicación

Todo el sector público
Sistemas que tratan información clasificada
Sistemas de información de las entidades del sector privado cuando presten servicios o provean soluciones a las entidades del sector público
Cuando las entidades del sector público lleven a cabo la instalación, despliegue y explotación de redes 5G o la prestación de servicios 5G
Debemos exigir el cumplimiento del ENS no sólo a los Sistemas de Información que estén operados por personal de las AA.PP. y/o en dependencias de las AA.PP., sino también a aquellos otros que, estando operados por terceros –e, incluso, en dependencias de terceros desarrollan funciones, misiones, cometidos o servicios para las AA.PP.

Qué tipo de servicios/aplicaciones o sistemas estarían afectados por el ENS?

• Sedes electrónicas.
• Registros electrónicos.
• Sistemas de Información accesibles electrónicamente por los ciudadanos.
• Sistemas de Información para el ejercicio de derechos.
• Sistemas de Información para el cumplimiento de deberes.
• Sistemas de Información para recabar información y estado del procedimiento administrativo.

Requisitos mínimos

Los requisitos mínimos para permitir una protección adecuada de la información y los servicios son

1. Organización e implantación del proceso de seguridad.
2. Análisis y gestión de los riesgos.
3. Gestión de personal.
4. Profesionalidad.
5. Autorización y control de los accesos.
6. Protección de las instalaciones.
7. Adquisición de productos de seguridad y contratación de servicios de seguridad.
8. Otorgar el mínimo privilegio.
9. Integridad y actualización del sistema.
10. Protección de la información almacenada y en tránsito.
11. Prevención ante otros sistemas de información interconectados.
12. Registro de la actividad y detección de código dañino.
13. Incidentes de seguridad.
14. Continuidad de la actividad.
15. Mejora continua del proceso de seguridad.

Los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del ENS.

Plazo de adecuación al nuevo ENS

A partir del 05.05.2024 dejarán de tener la condición de acreditados los certificados emitidos rente al RD 3/2010.

Las entidades certificadoras deberán estar acreditadas por la Entidad Nacional de Acreditación (ENAC) para la certificación de sistemas del ámbito de aplicación del Esquema Nacional de Seguridad conforme a la norma UNE-EN ISO/IEC 17065:2012 Evaluación de la conformidad. Requisitos para organismos que certifican productos, procesos y servicios.

eXpert Witness Forensic & Compliance, a través de sus servicios de consultoría de ENS os ayudará a conseguir la declaración de conformidad o certificación. Nosotros te ayudamos con la obtención del certificado.

Pídenos ppto sin compromiso