Hay una respuesta que circula sin cuestionarse cuando se habla del Esquema Nacional de Seguridad: «en categoría básica no hace falta doble factor». Es una lectura rápida de la tabla del Anexo II, y es incorrecta. La contraria —«hay que poner doble factor en todo, da igual la categoría»— también lo es. El Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191) no dice ninguna de las dos cosas: dice algo más concreto, y solo se ve leyendo la medida entera, no su título.
Qué exige op.acc.6, y por qué su tabla no se lee por categoría
La medida en cuestión es op.acc.6 — Mecanismo de autenticación (usuarios de la organización), dentro de la familia de control de acceso del marco operacional del Anexo II. Su ficha marca las dimensiones a las que afecta —confidencialidad, integridad, trazabilidad y autenticidad (C·I·T·A)— y, a diferencia de otras medidas del Anexo II que se leen directamente por la categoría del sistema (BÁSICA/MEDIA/ALTA), la tabla de «Aplicación de la medida» de op.acc.6 está organizada por el nivel (BAJO/MEDIO/ALTO) de esas cuatro dimensiones concretas, no por la categoría global del sistema:
| Nivel de C·I·T·A | Se exige |
|---|---|
| BAJO | + [R1 o R2 o R3 o R4] + R8 + R9 |
| MEDIO | + [R1 o R2 o R3 o R4] + R5 + R8 + R9 |
| ALTO | + [R1 o R2 o R3 o R4] + R5 + R6 + R7 + R8 + R9 |
La distinción importa porque la categoría de un sistema es el nivel más alto entre sus cinco dimensiones (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad) —el procedimiento completo lo explicamos en Cómo categorizar un sistema en el ENS, paso a paso—, pero eso no reescribe el nivel individual de las dimensiones que no fueron las que empujaron la categoría hacia arriba: el propio Anexo I lo dice de forma expresa —«la determinación de la categoría de seguridad de un sistema de información [...] no implicará que se altere, por este hecho, el nivel de seguridad de las dimensiones de seguridad que no han influido en la determinación de la categoría de seguridad del mismo»—. Por eso un sistema de categoría MEDIA o ALTA, si esa categoría la marcó la disponibilidad y las otras cuatro dimensiones siguen en BAJO, aplica op.acc.6 por la fila de nivel BAJO, no por su categoría global.
Para un sistema cuya categoría global es básica, esta distinción no cambia el resultado práctico: la categoría básica solo se alcanza cuando ninguna dimensión supera el nivel BAJO, así que las dimensiones de op.acc.6 que estén valoradas lo estarán en BAJO. En un sistema básico, la fila que aplica siempre es la de nivel BAJO, y esa fila lleva R8 y R9 desde el primer escalón.
Los nueve refuerzos que puede llevar op.acc.6, tal como los nombra el Real Decreto, son: R1 contraseñas · R2 contraseña más otro factor de autenticación · R3 certificados · R4 certificados en dispositivo físico · R5 registro · R6 limitación de la ventana de acceso · R7 suspensión por no utilización · R8 doble factor para acceso desde o a través de zonas no controladas · R9 acceso remoto (todos los niveles). La selección de estas medidas y refuerzos se hace conforme al artículo 28 del Real Decreto («Cumplimiento de los requisitos mínimos»), que remite expresamente al Anexo II y a la categoría fijada según el artículo 40 y el Anexo I.
El refuerzo que rompe el mito: R8
En la fila de nivel BAJO —la que aplica a cualquier sistema básico— hay dos refuerzos que aparecen desde el primer escalón: R8 y R9. Es decir, op.acc.6 exige doble factor también en básica, aunque acotado. El enunciado literal de R8 es «doble factor para acceso desde o a través de zonas no controladas». No dice «para todos los accesos». Y no añade un control aparte sobre los cuatro anteriores: restringe cuál de ellos se puede usar. El propio texto del refuerzo R1 lo dice de forma expresa: «se empleará una contraseña como mecanismo de autenticación cuando el acceso se realiza desde zonas controladas y sin atravesar zonas no controladas (véase refuerzo R8)». Y R8 cierra el círculo: «para el acceso desde o a través de zonas no controladas se requerirá un doble factor de autenticación: R2, R3 o R4». Dicho de otro modo: la contraseña sola (R1) solo vale para accesos que ni empiezan ni pasan por una zona no controlada; en cuanto el acceso toca una, hay que subir a R2 (contraseña más otro factor), R3 (certificado cualificado) o R4 (certificado en dispositivo físico).
El propio Anexo II define qué cuenta como zona no controlada, y no lo deja a criterio de cada organización: llama zona controlada a la que no es de acceso público y exige que el usuario se haya autenticado antes por control de acceso físico a las instalaciones, aparte de la autenticación lógica del sistema. Y pone el ejemplo contrario de forma expresa: «un ejemplo de zona no controlada es Internet». El criterio depende del control de acceso físico a las instalaciones, no de qué tramo de red gestiona la organización: un puesto dentro de la LAN corporativa pero situado en un vestíbulo de acceso público puede no calificar como zona controlada si no hay ese control físico previo.
Esto tiene una consecuencia práctica que rara vez se explica: para un sistema con empleados que acceden solo desde equipos dentro de una zona controlada, sin salir de ella, R8 no obliga a nada por sí mismo y la contraseña sola (R1) basta. Pero en cuanto ese mismo sistema admite acceso desde fuera —teletrabajo, una aplicación web pública, un proveedor externo, un móvil corporativo fuera de la oficina—, ese acceso concreto queda dentro del supuesto de R8, y la contraseña sola deja de bastar. En la práctica, casi ningún sistema real de una pyme queda completamente al margen: basta con que exista un solo camino de acceso que atraviese una zona no controlada para que ese camino tenga que subir a doble factor, sea cual sea la categoría del sistema.
R9 añade una segunda capa al mismo razonamiento: el refuerzo «acceso remoto» se exige, según el propio Real Decreto, en todos los niveles por igual, sin escalón. El ENS trata el acceso remoto como un riesgo que no depende de cuánto valga la información del sistema, sino del hecho mismo de acceder desde fuera.
La trampa de método: dos ejes que no son intercambiables
El error de origen de la lectura rápida tiene dos capas. La primera es confundir el enunciado de los refuerzos —que el Anexo II lista uno tras otro y en abstracto— con la tabla «Aplicación de la medida», que es la que de verdad dice cuáles son exigibles. Los «Requisitos» que encabezan cada medida son otra cosa: el cuerpo base, exigible siempre que la medida aplique. La segunda, más fina, es asumir que todas las medidas del Anexo II se leen por categoría del sistema: algunas, como mp.s.2, sí; otras, como op.acc.6, se leen por el nivel de las dimensiones concretas a las que afectan, que solo coincide con la categoría global cuando esas dimensiones fueron las que la determinaron. Confundir un eje con otro es la misma clase de error en las dos capas: mirar el redactado general en vez de la tabla que de verdad aplica a tu caso.
Esto no es una singularidad de op.acc.6. El mismo patrón de fondo —básica no es sinónimo de «sin exigencias»— se repite en mp.s.2 — Protección de servicios y aplicaciones web, aunque esta sí se lee directamente por categoría del sistema, porque afecta a todas las dimensiones por igual.
El mismo patrón en mp.s.2
| Categoría | Se exige |
|---|---|
| BÁSICA | + [R1 o R2] |
| MEDIA | + [R1 o R2] |
| ALTA | + R2 + R3 |
Los refuerzos de mp.s.2 son: R1 auditorías de seguridad · R2 auditorías de seguridad avanzada · R3 protección de las cachés. En categoría básica ya se exige al menos una auditoría de seguridad del servicio o aplicación web (R1 o R2), no cero. Es el mismo patrón de fondo que en op.acc.6: la idea de que «básica» equivale a «sin exigencias reales» no aguanta la lectura de la tabla de aplicación.
Conviene no confundir esta auditoría con la auditoría de certificación del ENS. Los refuerzos R1/R2 de mp.s.2 son auditorías de seguridad sobre la propia aplicación web, de caja negra (R1) o de caja blanca (R2) —pruebas sobre ese activo concreto—, mientras que la auditoría de certificación es el procedimiento de conformidad del sistema completo frente al ENS, obligatorio solo en categoría MEDIA y ALTA (en BÁSICA basta con autoevaluación). Son dos controles distintos, con objetos distintos, y uno no sustituye al otro.
Qué significa esto, en la práctica, para un sistema de categoría básica
Resumiendo lo exigible para un sistema cuya categoría global es básica —y que, por tanto, no tiene ninguna dimensión por encima de BAJO: las que estén valoradas lo estarán en ese nivel—: sí hace falta doble factor en op.acc.6 en cuanto haya un acceso que pase por una zona no controlada, y sí hace falta acceso remoto reforzado (R9) si ese acceso remoto existe. Sí hace falta al menos una auditoría de seguridad del servicio web en mp.s.2. Lo que no se exige todavía en ese nivel, y sí a partir de MEDIO, es el registro de accesos (R5 de op.acc.6), que entra en el escalón medio. La limitación de la ventana de acceso (R6) y la suspensión por no utilización (R7) no aparecen hasta el nivel ALTO.
Preguntas frecuentes
¿El refuerzo R8 obliga a poner doble factor a todos los empleados en categoría básica?
No de forma incondicional: R8 exige doble factor cuando el acceso se produce desde una zona no controlada por la organización o la atraviesa. Si el acceso se origina y permanece dentro de una zona controlada, R8 no lo exige por sí solo y la contraseña sola (R1) basta, aunque nada impide implantar doble factor igualmente por criterio propio.
¿Qué es una «zona no controlada» en términos del ENS?
El propio Anexo II la define: zona controlada es la que no es de acceso público y exige que el usuario se haya autenticado antes por control de acceso físico a las instalaciones, aparte de la autenticación lógica del sistema. El Real Decreto pone el ejemplo contrario de forma expresa: «un ejemplo de zona no controlada es Internet». El criterio depende del control de acceso físico, no de qué tramo de red administra la organización.
¿Las auditorías de seguridad de mp.s.2 son la misma auditoría de certificación del ENS?
No. Los refuerzos R1 y R2 de mp.s.2 son auditorías de seguridad sobre la propia aplicación web, de caja negra (R1) o de caja blanca (R2). La auditoría de certificación es el procedimiento de conformidad frente al ENS y solo es obligatoria en categoría MEDIA y ALTA. Son dos controles distintos que no se sustituyen entre sí.
¿Si mi sistema es de categoría básica y no tiene acceso remoto, quedo libre de R8 y R9?
R9 (acceso remoto) se exige en todos los niveles siempre que exista acceso remoto; si no existe, no aplica por definición, no por el nivel o la categoría. R8 depende de si hay acceso desde o a través de zonas no controladas, algo que ocurre en la práctica totalidad de los sistemas con acceso desde fuera de la sede: teletrabajo, proveedores o aplicaciones móviles. Solo un sistema completamente aislado, sin ningún acceso externo, quedaría al margen de ambos refuerzos.
Este contenido tiene carácter divulgativo y orientativo. No constituye asesoramiento legal ni sustituye el análisis de un profesional cualificado para tu caso concreto.