Antes de preguntar cuántas medidas del Anexo II tocan implantar, hay una pregunta previa que decide todo lo demás: qué categoría tiene tu sistema. Esa categoría no se elige a criterio ni se estima a ojo comparándote con otra empresa parecida: sale de un procedimiento reglado en el Anexo I del Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191), con una regla final que sorprende a quien la conoce por primera vez.
Se categoriza el sistema, no la organización
La categoría de seguridad se determina para cada sistema de información, no para la organización en su conjunto. Una misma empresa o entidad puede operar varios sistemas —un ERP interno, un portal de trámites, una plataforma de citas— y cada uno puede terminar en una categoría distinta, según el impacto que tendría un fallo de seguridad sobre ese sistema en particular. El artículo 40 del Real Decreto fija que la categoría se determina en función de la valoración del impacto, siguiendo el procedimiento del Anexo I.
Las cinco dimensiones de seguridad
El Anexo I valora el impacto sobre cinco dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad, identificadas en el propio Real Decreto por sus iniciales en mayúsculas [C], [I], [T], [A] y [D] y agrupadas habitualmente con la sigla CIDAT. Cada una mide un tipo de daño distinto si el sistema falla: la confidencialidad, que la información llegue a quien no debe; la integridad, que los datos se alteren sin autorización; la disponibilidad, que el servicio deje de estar accesible cuando se necesita; la autenticidad, que no se pueda garantizar quién hizo qué; y la trazabilidad, que no quede registro de lo ocurrido para poder reconstruirlo después.
Paso 1 — Valorar el impacto en cada dimensión
Para cada dimensión se valora el perjuicio que causaría sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados, y se le asigna uno de tres niveles: BAJO (perjuicio limitado), MEDIO (perjuicio grave) o ALTO (perjuicio muy grave), tal como los define el propio Anexo I. Si una dimensión concreta no se ve afectada por el sistema, sencillamente no se le adscribe ningún nivel: no participa en el paso siguiente.
Esta valoración no es un ejercicio libre: el artículo 41 del Real Decreto atribuye la facultad de valorar el impacto al responsable o responsables de la información o de los servicios afectados. Es decir, a quien conoce de primera mano qué hay dentro del sistema y qué pasaría si falla, no a quien redacta el documento.
Paso 2 — Aplicar la regla del nivel más alto
Con las cinco dimensiones valoradas, la categoría del sistema sale de una regla fijada en el apartado 4.1 del Anexo I: es ALTA si alguna dimensión alcanza el nivel ALTO; es MEDIA si alguna alcanza MEDIO y ninguna llega a ALTO; y es BÁSICA si alguna alcanza BAJO y ninguna supera ese nivel. No es la media de las cinco dimensiones ni la suma: es la más alta de todas. Basta con que una sola dimensión llegue a ALTO para que el sistema entero sea categoría ALTA, aunque las otras cuatro se queden en BAJO.
Esta es la parte que más sorprende: un sistema con datos poco sensibles pero disponibilidad crítica puede terminar en categoría ALTA solo por esa dimensión, mientras que otro con más dimensiones «tocadas» pero ninguna por encima de MEDIO se queda en MEDIA. El número de dimensiones afectadas no importa; importa el techo que alcanza la peor de ellas.
Hay un matiz que el propio Anexo I deja escrito de forma expresa, en su apartado 4.2, y que conviene no perder de vista: que una dimensión haya elevado la categoría del sistema no altera el nivel de las demás dimensiones que no influyeron en esa determinación. Es decir, subir a categoría ALTA por disponibilidad no convierte automáticamente en «alto» el resto de las dimensiones: cada una conserva el nivel que le corresponde por su propia valoración. Esta distinción entre el nivel de una dimensión concreta y la categoría global del sistema no es un detalle menor: algunas medidas del Anexo II se aplican por categoría del sistema, pero otras —como la que exige o no doble factor en el control de acceso— se aplican por el nivel de las dimensiones concretas a las que afectan, y ahí la categoría global puede no ser el dato que hace falta mirar. Lo explicamos con detalle en ¿Es obligatorio el doble factor en el ENS de categoría básica?.
Paso 3 — Que el responsable de seguridad determine la categoría
Valorar el impacto y determinar la categoría son dos facultades distintas y, según el artículo 41, recaen en perfiles distintos. La valoración corresponde, como se ha dicho, al responsable de la información o del servicio. Pero a partir de esas valoraciones, la determinación de la categoría de seguridad del sistema corresponde al responsable o responsables de la seguridad. En la práctica, esto significa que la categoría final no la fija quien conoce el negocio, sino quien tiene la visión de seguridad, apoyándose en los datos que le entrega el primero.
Un ejemplo: dos sistemas, dos categorías, una misma organización
Imagina una entidad que opera dos sistemas de información distintos. El primero es un gestor documental interno, sin datos de carácter personal ni plazos legales asociados: sus cinco dimensiones se valoran en BAJO, así que el sistema resulta categoría BÁSICA. El segundo es una plataforma de tramitación de ayudas con datos de personas físicas y plazos de resolución fijados por ley: la confidencialidad se valora en MEDIO por los datos personales que trata, y la disponibilidad también en MEDIO porque un fallo prolongado comprometería el cumplimiento de esos plazos; el resto de las dimensiones se queda en BAJO. Como ninguna dimensión llega a ALTO pero al menos una alcanza MEDIO, este segundo sistema resulta categoría MEDIA. Mismo tejado, dos sistemas, dos cargas de adecuación distintas: la categoría se calcula sistema a sistema, no de un plumazo para toda la organización.
Qué determina la categoría una vez calculada
La categoría no es un dato aislado: de ella depende directamente cuántas de las 73 medidas del Anexo II resultan exigibles y con qué nivel de refuerzo, y también el procedimiento de conformidad —autoevaluación en BÁSICA, auditoría de certificación por entidad acreditada ENAC en MEDIA y ALTA—. Ese desglose completo, medida a medida, lo tratamos en ¿Cuántas medidas de seguridad exige el ENS según tu categoría?: aquí solo hace falta quedarse con que la categoría es la puerta de entrada a todo lo demás, y que calcularla mal desplaza todo el resto del trabajo de adecuación.
Hazlo con tus propios datos, no a ojo
Los pasos anteriores son el procedimiento genérico: valen para cualquier sistema, pero no sustituyen la valoración concreta de tus cinco dimensiones. Trasladar esa valoración a una categoría final, a un número de medidas del Anexo II y al procedimiento de conformidad que corresponde exige aplicar la regla del nivel más alto sin errores de cálculo, algo que a mano es fácil de equivocar cuando hay varias dimensiones en juego. El autodiagnóstico ENS hace ese cálculo por ti: introduces el nivel que asignas a cada una de las cinco dimensiones de tu sistema y obtienes al instante la categoría que resulta, el número de medidas del Anexo II aplicables y el procedimiento de conformidad que te corresponde.
Preguntas frecuentes
¿Puedo tener varias categorías dentro de la misma organización?
Sí. La categoría se determina por sistema de información, no por organización completa. Una misma entidad puede operar varios sistemas con categorías distintas, cada una resultado de las dimensiones de seguridad de ese sistema en concreto.
¿Qué pasa si una dimensión de seguridad no se ve afectada por mi sistema?
El Anexo I contempla ese caso: si una dimensión no se ve afectada, no se le adscribe ningún nivel y esa dimensión no participa en la regla del nivel más alto. Solo cuentan para la categoría las dimensiones sobre las que el sistema tiene impacto real.
¿Quién decide la categoría dentro de la empresa?
El artículo 41 del RD 311/2022 separa las dos facultades: valorar el impacto en cada dimensión corresponde al responsable o responsables de la información o de los servicios afectados; determinar la categoría de seguridad del sistema, a partir de esas valoraciones, corresponde al responsable o responsables de la seguridad.
¿Categorizar mal un sistema tiene consecuencias?
Sí, en los dos sentidos. Infravalorar la categoría deja fuera medidas y refuerzos del Anexo II que sí eran exigibles, lo que compromete la conformidad declarada. Sobrevalorarla obliga a un esfuerzo de implantación y de auditoría mayor del que correspondía. Ambos errores suelen nacer de no aplicar bien la regla del nivel más alto entre las cinco dimensiones.
Este contenido tiene carácter divulgativo y orientativo. No constituye asesoramiento legal ni sustituye el análisis de un profesional cualificado para tu caso concreto.