Implantación técnica del ENS: medidas del Anexo II con MAGERIT y herramientas CCN

MAGERIT (Metodología de Análisis y GEstión de Riesgos de los sistemas de Información de las Administraciones públicas) es el método de análisis de riesgos de referencia para el ENS, mantenido por el Ministerio de Hacienda y Función Pública. Aunque el RD 311/2022 no obliga a usar MAGERIT en exclusiva, las guías CCN-STIC 806 y 808 lo referencian como metodología estándar, y los auditores de conformidad están familiarizados con sus informes. Usar MAGERIT con la herramienta PILAR del CCN garantiza que el análisis de riesgos sea directamente interpretable en el proceso de auditoría y que los informes generados sean válidos sin necesidad de adaptación.

Las medidas del Anexo II se organizan en tres marcos: organizativo, operacional y de protección. Entre las más exigentes desde el punto de vista técnico para categoría media y alta se encuentran: el control de acceso con mecanismos de autenticación reforzados (op.acc), la configuración de seguridad y el bastionado de los sistemas (op.exp.2), la protección de las comunicaciones (mp.com), la protección de los soportes de información (mp.si), la gestión de incidentes con registro para su análisis (op.exp.7 y op.exp.9), y la continuidad del servicio con copias de seguridad verificadas y planes de recuperación probados (op.cont). Cada medida tiene niveles de refuerzo (refuerzo 1, 2 o 3) que se aplican en función de la categoría del sistema.

El Centro Criptológico Nacional proporciona varias herramientas gratuitas: PILAR para el análisis de riesgos con metodología MAGERIT, INES (Informe Nacional del Estado de la Seguridad) para la autoevaluación de sistemas de categoría básica, AMPARO para la gestión continua del sistema de seguridad en categoría media y alta, y CLARA para las listas de verificación de auditoría. También publica herramientas de configuración segura por plataforma (guías CCN-STIC de bastionado) y el catálogo de productos y servicios de seguridad TIC cualificados (CPSTIC) para orientar la selección de soluciones.

El Anexo II del RD 311/2022 contiene 73 medidas de seguridad, agrupadas en tres marcos: marco organizativo (4 medidas), marco operacional (33 medidas en siete grupos: planificación, control de acceso, explotación, recursos externos, continuidad del servicio, monitorización del sistema y servicios en la nube) y medidas de protección (36 medidas en ocho grupos: instalaciones, personal, equipos, comunicaciones, soportes de información, aplicaciones informáticas, información y servicios). No todas son obligatorias para todas las categorías: para sistemas de categoría básica se aplica un subconjunto más reducido; a mayor categoría, mayor número de medidas y mayor nivel de refuerzo exigido en cada una. El plan de adecuación individualiza esta selección para tu sistema.

Sí. El CCN pone a disposición de cualquier organización que necesite adecuarse al ENS —tanto entidades del sector público como empresas privadas proveedoras— las herramientas PILAR, INES y AMPARO, con acceso gratuito sujeto a registro. PILAR tiene versiones de demostración y versiones completas; la versión básica es suficiente para sistemas de categoría básica. Summum Sistemas cuenta con experiencia en el uso de estas herramientas y las integra en su proceso de adecuación para producir informes directamente utilizables en la auditoría de conformidad.

Un Perfil de Cumplimiento Específico (PCE) es un documento aprobado por el CCN que define un conjunto predeterminado de medidas del Anexo II adaptado a un tipo concreto de sistema de información o sector de actividad, simplificando el proceso de adecuación para ese perfil. Cuando existe un PCE aplicable a tu tipo de sistema, puede seguirse en lugar del proceso completo de análisis de riesgos, siempre que el sistema encaje exactamente en el perfil definido. El CCN publica los PCE vigentes en su portal; Summum Sistemas evalúa en el diagnóstico inicial si tu sistema es candidato a utilizar un PCE.

Desde el punto de vista técnico, ambas vías requieren que los controles del Anexo II estén efectivamente implantados y sean verificables mediante evidencias. La diferencia está en quién verifica: en la declaración de conformidad (categoría básica), la propia organización autoevalúa sus controles con la herramienta INES y declara su conformidad —sin perjuicio de que pueda someterse igualmente a una auditoría de certificación, como prevé el propio artículo 38.1—; en la certificación (categoría media o alta), una entidad de inspección acreditada por ENAC verifica las evidencias in situ y de forma independiente. El nivel de rigor en la documentación de evidencias debe ser igualmente alto en ambos casos, ya que la Administración contratante puede requerir la revisión de la declaración en cualquier momento.

Sí, en los términos del artículo 2.3 del RD 311/2022: el ENS se aplica a las entidades del sector privado que, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. Esto afecta a proveedores de software, integradores y prestadores de servicios TIC que trabajan para ayuntamientos, diputaciones, universidades públicas u organismos autonómicos, entre otros. La obligación se traslada habitualmente al pliego del contrato, que exige acreditar la declaración o certificación de conformidad con el ENS antes de la adjudicación o durante la ejecución.

La disposición transitoria única del RD 311/2022 concede veinticuatro meses, desde la entrada en vigor de la norma, para que los sistemas de información preexistentes alcancen su plena adecuación al ENS, incluidos expresamente los sistemas de los que sean titulares los contratistas del sector privado. Los sistemas nuevos deben cumplir el ENS desde su puesta en producción, sin plazo transitorio. Iniciar el inventario de activos y el análisis de riesgos con margen suficiente evita llegar al límite del plazo sin las medidas técnicas implantadas y verificadas.

El artículo 31.1 del RD 311/2022 exige una auditoría regular ordinaria al menos cada dos años para verificar que el sistema sigue cumpliendo los requerimientos del ENS, con independencia de su categoría. A esta auditoría bienal se suman las auditorías extraordinarias obligatorias cuando el sistema sufre modificaciones sustanciales que puedan afectar a las medidas de seguridad requeridas; en ese caso, la fecha de la auditoría extraordinaria reinicia el cómputo de los dos años para la siguiente auditoría ordinaria. Summum Sistemas programa esta auditoría de renovación como parte del servicio de implantación técnica.

Las herramientas de gobernanza del CCN —PILAR, INES, AMPARO y CLARA— son gratuitas, están mantenidas por el propio Centro Criptológico Nacional y generan los informes en el formato que esperan los auditores de conformidad: cubren el análisis de riesgos, la autoevaluación, la gestión continua y las listas de verificación de auditoría. Junto a ellas existen plataformas de software GRC (Governance, Risk & Compliance) comerciales que además digitalizan el catálogo de activos, la matriz de controles del Anexo II y el calendario de revisiones en un panel único, orientadas sobre todo a organizaciones que gestionan varios sistemas o varios marcos normativos a la vez. Summum Sistemas integra siempre las herramientas del CCN en sus proyectos de implantación técnica y recomienda una plataforma GRC comercial solo cuando el volumen o la complejidad de gobierno del cliente lo justifica.