Pasar de categoría básica a media en el ENS no consiste solo en añadir las 16 medidas del Anexo II que en básica eran «no aplica»: varias medidas que ya tenías implantadas en básica exigen en media un refuerzo adicional. Basta con sumar las 16 medidas nuevas y creer que ya está: es el mito que este artículo corrige, medida a medida.
Pasar de categoría BÁSICA a MEDIA en el ENS no consiste solo en añadir las 16 medidas del Anexo II que en básica eran "no aplica". Hay una segunda capa de esfuerzo que se olvida con frecuencia: varias medidas que ya tenías implantadas en básica exigen en media un refuerzo adicional, es decir, más rigor en cómo se ejecutan. Basta con añadir las 16 medidas nuevas y creer que ya está: es exactamente el mito que este artículo corrige.
Dos formas de subir de nivel: medidas enteramente nuevas y refuerzos sobre medidas que ya tenías
Antes de plantear el salto de categoría, confirma cómo se calcula la tuya: el procedimiento paso a paso está aquí, con base en el Anexo I del Real Decreto 311/2022. Y si tu sistema es hoy categoría básica, este es el listado completo de lo que ya tienes implantado: las 52 medidas de básica, una a una.
Para resolver dudas puntuales sobre cualquier medida concreta, el ENS navegable del CCN las organiza ficha a ficha, sin tener que releer el Real Decreto completo. Ya contamos cuántas medidas hay por categoría y dejamos abierta la pregunta —¿bastan las 16 medidas nuevas para subir de básica a media?—; aquí la respondemos con el detalle medida a medida que esa pieza, por formato, no podía dar. El concepto de refuerzo y la estructura completa del Anexo II —organizativo, operacional, protección— ya los explicamos aquí.
Las 16 medidas que solo empiezan a aplicar en MEDIA
Por familia, esto es lo que se activa exactamente al pasar a categoría media:
- op.pl.5 Componentes certificados: exige que los productos utilizados cuenten con certificación de seguridad.
- op.acc.3 Segregación de funciones y tareas: separación formal de responsabilidades que en básica no era obligatoria.
- op.exp.5 Gestión de cambios: procedimiento formal de control de cambios sobre el sistema.
- op.ext.1 Contratación y acuerdos de nivel de servicio: exige un SLA formal con proveedores externos.
- op.ext.2 Gestión diaria: medición rutinaria del cumplimiento del SLA y coordinación del mantenimiento con el proveedor.
- op.ext.4 Interconexión de sistemas: control reforzado del punto de conexión con otros sistemas.
- op.cont.1 Análisis de impacto: primer peldaño formal de continuidad de negocio.
- mp.if.6 Protección frente a inundaciones: medida física de las instalaciones.
- mp.per.1 Caracterización del puesto de trabajo: requisitos de seguridad definidos por puesto.
- mp.eq.2 Bloqueo de puesto de trabajo: el bloqueo automático de pantalla, que muchos asumen obligatorio desde básica, en realidad no es exigible por Anexo II hasta media.
- mp.com.4 Separación de flujos de información en la red: segmentación de red exigida desde media.
- mp.si.1 Marcado de soportes: clasificación y etiquetado de soportes de información.
- mp.si.2 Criptografía de soportes: el cifrado de soportes no es exigible por Anexo II hasta media, no desde básica.
- mp.sw.1 Desarrollo de aplicaciones: requisitos de seguridad en el ciclo de desarrollo software, con hasta cuatro refuerzos ya desde media.
- mp.info.2 Calificación de la información: clasificación formal de la información tratada.
- mp.s.4 Protección frente a denegación de servicio: medida específica anti-DoS/DDoS.
Por qué "recursos externos" (op.ext) se activa casi entero en media
De las cuatro medidas de la familia op.ext, tres se activan en media (op.ext.1, op.ext.2 y op.ext.4), y solo una queda para alta: op.ext.3, protección de la cadena de suministro. Es un matiz importante para no prometer de más: la familia se activa casi entera en media, pero precisamente la medida que lleva el nombre "cadena de suministro" en el título sigue sin ser obligatoria hasta alta. Eso no significa que la cadena de suministro sea irrelevante en media o incluso en básica: el artículo 2.3 del Real Decreto puede exigir cautelas contractuales sobre proveedores desde antes si el análisis de riesgos lo justifica, con independencia de si la medida formal del Anexo II está activa. Tratamos esta relación completa, con las cláusulas concretas que se derivan de cada obligación, en esta guía sobre ENS y proveedores.
Si el recurso externo que estás contratando es infraestructura cloud —lo más habitual al hablar de op.ext.1 y op.ext.2 en la práctica—, esto conecta directamente con nuestra infraestructura y migración a la nube, y conviene revisar además qué exige específicamente el ENS a ese proveedor: lo tratamos en esta guía sobre ENS en la nube. Y para entender qué tipo de proveedor cloud estás contratando, esta guía de AWS, Azure y Google Cloud ayuda a situarlo antes de negociar el SLA que op.ext.1 exige por escrito.
Un ejemplo práctico: dos medidas nuevas con esfuerzo muy distinto
No todas las 16 medidas nuevas cuestan lo mismo de implantar, y confundir "medida nueva" con "esfuerzo homogéneo" es otro error habitual al planificar el salto. Compara dos casos: mp.eq.2, bloqueo de puesto de trabajo, se resuelve casi siempre con una política de grupo o una configuración centralizada que bloquea la pantalla tras un tiempo de inactividad; es una medida técnica, rápida de desplegar y con bajo coste. op.ext.1, en cambio, exige negociar y firmar un Acuerdo de Nivel de Servicio formal con cada proveedor externo relevante, lo que implica revisar contratos ya existentes, negociar cláusulas que quizá el proveedor no ofrecía hasta ahora, y establecer un procedimiento de medición continua del cumplimiento de ese SLA. Son dos medidas del mismo escalón de categoría, pero una se resuelve en una tarde de configuración y la otra puede llevar semanas de negociación contractual con varios proveedores a la vez.
Esta asimetría es la razón por la que conviene planificar el salto de básica a media con margen de tiempo suficiente para las medidas de naturaleza contractual u organizativa, y no solo para las técnicas: un proyecto que solo presupuesta tiempo de configuración de sistemas se encuentra, a mitad de camino, con que la negociación de SLA con tres o cuatro proveedores todavía no ha empezado.
Los refuerzos que se añaden a medidas que ya aplicaban en básica
Esta es la parte que el simple recuento de "16 medidas nuevas" no captura. No es una lista exhaustiva —sería redundante con el Anexo II completo—, sino los ejemplos con más impacto práctico:
- op.pl.1 Análisis de riesgos: pasa de "aplica" a "+R1" en media.
- op.acc.5 / op.acc.6 Mecanismos de autenticación: ya llevaban refuerzo obligatorio en básica; en media se añade el refuerzo R5. El matiz de cuándo se exige cada refuerzo ya lo resolvimos para básica en esta guía, y el mismo tipo de condición aplica al refuerzo adicional de media.
- mp.com.2 / mp.com.3 Comunicaciones: pasan de "aplica" a "+R1" y "+R1+R2" respectivamente. Los refuerzos de cifrado en tránsito que exige esta familia se apoyan en los mismos fundamentos de TLS que ya explicamos aquí.
- op.mon.2 / op.mon.3 Monitorización: pasan a "+R1+R2" en media. Estos refuerzos exigen una base de monitorización más madura que en básica, no solo más alertas configuradas.
Lo que NO cambia entre básica y media
No todo sube de exigencia. Un ejemplo claro: mp.eq.3, protección de dispositivos portátiles, aplica en básica sin refuerzo y sigue aplicando en media sin refuerzo nuevo. Confirmar qué medidas se quedan igual es tan importante como saber cuáles suben, porque evita duplicar esfuerzo donde no hace falta: es habitual que un plan de adecuación mal planificado revise "por si acaso" medidas que ya estaban correctamente implantadas en básica y que el Anexo II no exige reforzar en media, mientras deja sin revisar otras que sí lo necesitan.
La forma más fiable de no confundir ambos grupos es trabajar con la tabla completa del Anexo II delante, columna por columna —básica, media, alta—, en vez de fiarse de la memoria de qué se implantó la primera vez. Un cambio de responsable de seguridad entre el proyecto de básica y el de media es, en la práctica, el momento en el que más se pierde esta trazabilidad: quien planifica el salto no siempre es quien documentó la implantación original.
Cómo planificar el salto sin perder lo que ya está implantado
El orden recomendado es: primero confirmar con el análisis de riesgos que el sistema efectivamente pasa a categoría media (la categoría la determina el responsable de seguridad según la valoración de impacto, no una preferencia de la organización); después revisar, medida por medida, cuáles de las que ya tienes implantadas en básica necesitan un refuerzo adicional; y por último implantar las 16 medidas que hasta ahora eran "no aplica". Hacerlo en el orden inverso —implantar primero lo nuevo y revisar los refuerzos al final— es la forma más habitual de dejar huecos en una Declaración de Aplicabilidad. Antes de planificar el salto, confirma con el autodiagnóstico ENS si tu sistema sigue siendo básica o ya debería ser media.
Planificar este salto sin dejar huecos —ni en medidas nuevas ni en refuerzos sobre las que ya tenías— es el trabajo que hacemos en nuestro servicio de implantación técnica del ENS.
Preguntas frecuentes
¿Basta con añadir las 16 medidas nuevas para pasar de básica a media?
No. Además de las 16 medidas que pasan de "no aplica" a exigibles, hay refuerzos adicionales sobre varias medidas que ya aplicaban en básica —autenticación, comunicaciones, monitorización, análisis de riesgos, entre otras—. El salto de esfuerzo real es mayor que el simple recuento de medidas nuevas.
¿Por qué la protección de la cadena de suministro (op.ext.3) no aplica todavía en media?
Porque así lo fija la tabla de aplicabilidad del Anexo II: op.ext.3 es "no aplica" en básica y en media, y solo se activa como medida formal en categoría alta. Eso no exime de cautelas contractuales sobre proveedores antes de alta si el análisis de riesgos del artículo 2.3 del Real Decreto lo justifica.
¿Quién decide que un sistema pasa de básica a media?
La categoría no es una decisión comercial de la empresa: la determina el responsable de seguridad en función de la valoración de impacto en las cinco dimensiones de seguridad, conforme a los artículos 40 y 41 y al Anexo I del Real Decreto 311/2022.
Este contenido tiene carácter divulgativo y orientativo. No constituye asesoramiento legal ni sustituye el análisis de un profesional cualificado para tu caso concreto.