Implantación técnica del ENS en Burgos

Sí. El artículo 2 del RD 311/2022 establece que el ENS aplica a los sistemas de información de las entidades del sector público y a los de las entidades privadas que, en virtud de una relación contractual, les presten servicios o provean soluciones para el ejercicio por estas de sus competencias y potestades administrativas (artículo 2.3). El Ayuntamiento de Burgos y la Universidad de Burgos (UBU) son entidades del sector público sujetas al ENS. Si tu empresa gestiona datos de esos organismos, opera software en sus infraestructuras o presta servicios en los que sus sistemas interactúan con los tuyos, el ENS te aplica con independencia del tamaño de tu empresa o del importe del contrato.

PILAR es la herramienta de análisis de riesgos desarrollada por el Centro Criptológico Nacional (CCN) específicamente para el ENS. Implementa la metodología MAGERIT de forma estructurada, con catálogos de activos, amenazas y salvaguardas alineados con el Anexo II del RD 311/2022, y genera informes en el formato que esperan los auditores de conformidad. Un análisis en hoja de cálculo no es rechazado por la norma, pero aumenta el riesgo de inconsistencias metodológicas y dificulta la trazabilidad entre amenazas, riesgos y medidas aplicadas, lo que puede generar observaciones durante la auditoría de conformidad ENAC.

INES (Informe Nacional del Estado de Seguridad) es la plataforma del CCN para comunicar, al menos una vez al año, el estado de la seguridad de los sistemas, en cualquier categoría. No es la declaración ni la autoevaluación de conformidad, que siguen el artículo 38 y el Anexo III del RD 311/2022 con la guía CCN-STIC 809.

La exigencia varía según el tipo de servicio y el pliego de condiciones de cada licitación. La Diputación de Burgos, como administración sujeta al ENS, debe velar por que sus proveedores tecnológicos también cumplan el marco. En la práctica, los contratos de servicios TIC, desarrollo de software, alojamiento de sistemas y tratamiento de datos para la Diputación incluyen cada vez con mayor frecuencia cláusulas que exigen la acreditación ENS del proveedor. No disponer de esa acreditación puede inhabilitar la oferta en la fase de solvencia técnica o generar incumplimientos contractuales durante la ejecución del servicio.

El Anexo II del RD 311/2022 organiza 73 medidas en 16 familias y tres marcos (organizativo, operacional y de protección). Para sistemas de categoría básica, no todas las medidas son obligatorias en su nivel máximo: cada medida tiene un nivel de exigencia diferenciado según la categoría del sistema (B/M/A o n.a. cuando no aplica). En la práctica, un sistema de categoría básica tiene que aplicar el nivel básico de las medidas marcadas como exigibles en ese nivel, lo que supone 52 medidas aplicables en categoría BÁSICA (anexo II del RD 311/2022). El análisis de riesgos con PILAR determina cuáles aplican en cada caso concreto.

Summum Sistemas no es una entidad de certificación acreditada por ENAC y no emite certificados de conformidad ENS. Nuestro trabajo es técnico y preparatorio: analizamos riesgos con MAGERIT/PILAR, implantamos las medidas del Anexo II, generamos las evidencias técnicas y preparamos el sistema para que supere la auditoría de conformidad. El certificado lo emite el tercero acreditado por ENAC (ISO/IEC 17065) que la empresa contrate. La diferencia práctica es que llegar a esa auditoría con los sistemas técnicamente implantados y el paquete de evidencias preparado reduce notablemente el riesgo de no conformidades y el coste total del proceso.