Implantación técnica del ENS en Barcelona para proveedores de la Administración

El artículo 2 del RD 311/2022 extiende la obligación del ENS a los sistemas de información de las entidades privadas que presten servicios a entidades del sector público sujetas al propio ENS. La Generalitat de Catalunya, el Ajuntament de Barcelona, la Diputació de Barcelona y l'Àrea Metropolitana de Barcelona están todas ellas sujetas al ENS como Administraciones Públicas. Si tus sistemas de información entran en contacto con los de cualquiera de estas entidades —porque les prestas un servicio, les suministras software o procesas datos por su cuenta—, la adecuación al ENS es obligatoria y constituye un requisito que puede ser exigido en los pliegos de contratación pública.

MAGERIT es la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información elaborada por el CCN. El ENS exige que la selección y aplicación de las medidas del Anexo II se base en un análisis formal de riesgos proporcional a la categoría del sistema. MAGERIT es la metodología de referencia del CCN para ese análisis en el contexto de la Administración española: permite identificar activos, modelar amenazas y calcular el riesgo residual de forma estructurada y trazable. Los auditores de conformidad ENS conocen y esperan encontrar este enfoque metodológico en la documentación del análisis de riesgos.

PILAR es la herramienta de análisis de riesgos desarrollada por el CCN que implementa la metodología MAGERIT. Permite modelar los activos del sistema, sus dependencias, las amenazas aplicables del catálogo MAGERIT y las salvaguardas implantadas, y genera informes estructurados de riesgos y madurez. Su uso en el proceso de adecuación ENS es muy valorado por los auditores de conformidad porque aporta trazabilidad y objetividad al análisis: los resultados son reproducibles, comparables entre periodos y directamente presentables como evidencia técnica en la auditoría.

El Anexo II del RD 311/2022 recoge 73 medidas organizadas en tres marcos y dieciséis familias: el marco organizativo (4 medidas), el marco operacional —con 7 familias y 33 medidas, incluyendo la familia op.nub para servicios en la nube— y las medidas de protección —con 8 familias y 36 medidas—. Qué medidas son obligatorias para tu empresa depende de la categoría del sistema (básica, media o alta) que resulte del análisis de impacto sobre las cinco dimensiones CIDAT. Para cada medida, el Anexo II especifica si aplica a nivel básico, medio o alto. Summum Sistemas realiza el diagnóstico para determinar exactamente el subconjunto aplicable a tu caso.

La familia op.nub (operación en la nube) del marco operacional del Anexo II regula los requisitos de seguridad específicos para los servicios de computación en la nube. Aplica cuando el sistema en alcance usa servicios IaaS, PaaS o SaaS como parte de su arquitectura. Las medidas de op.nub cubren la evaluación de los proveedores cloud, la segregación de entornos, la gestión de accesos en el entorno de la nube y la cadena de suministro de servicios cloud. En el contexto de proveedores TIC de la Generalitat de Catalunya, del Ajuntament de Barcelona o de las universidades públicas catalanas que usan infraestructura cloud pública, esta familia es especialmente relevante y debe quedar explícitamente tratada en el análisis de riesgos y en el plan de adecuación.

No. Para sistemas de categoría básica, la declaración de conformidad la emite la propia organización de forma autoevaluada, conforme al procedimiento de la CCN-STIC 809. Para sistemas de categoría media o alta, la certificación de conformidad la emite una entidad de inspección acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Sistemas no emite ningún certificado de conformidad —eso es competencia exclusiva de las entidades acreditadas por ENAC—. Lo que hacemos es implantar las medidas técnicas del Anexo II, generar el paquete de evidencias y preparar tus sistemas para que superen ese proceso de conformidad con las mayores garantías.