Implantación técnica del ENS en Burgos

Sí. El artículo 2 del RD 311/2022 establece que el ENS aplica a los sistemas de información de las entidades del sector público y a los de las entidades privadas que les presten servicios o suministren soluciones. El Ayuntamiento de Burgos y la Universidad de Burgos (UBU) son entidades del sector público sujetas al ENS. Si tu empresa gestiona datos de esos organismos, opera software en sus infraestructuras o presta servicios en los que sus sistemas interactúan con los tuyos, el ENS te aplica con independencia del tamaño de tu empresa o del importe del contrato.

PILAR es la herramienta de análisis de riesgos desarrollada por el Centro Criptológico Nacional (CCN) específicamente para el ENS. Implementa la metodología MAGERIT de forma estructurada, con catálogos de activos, amenazas y salvaguardas alineados con el Anexo II del RD 311/2022, y genera informes en el formato que esperan los auditores de conformidad. Un análisis en hoja de cálculo no es rechazado por la norma, pero aumenta el riesgo de inconsistencias metodológicas y dificulta la trazabilidad entre amenazas, riesgos y medidas aplicadas, lo que puede generar observaciones durante la auditoría de conformidad ENAC.

INES (Instrumento Nacional de Evaluación de la Seguridad) es la herramienta del CCN que permite registrar y verificar el estado de implantación de las medidas del Anexo II del ENS. Genera un informe de estado que refleja el grado de cumplimiento de cada medida, diferenciado por nivel (básico, medio o alto), y sirve de base documental para la declaración de conformidad autoevaluada en sistemas de categoría básica. Para sistemas de categoría media o alta, el informe INES es parte del expediente que se presenta a la entidad auditora acreditada por ENAC.

La exigencia varía según el tipo de servicio y el pliego de condiciones de cada licitación. La Diputación de Burgos, como administración sujeta al ENS, debe velar por que sus proveedores tecnológicos también cumplan el marco. En la práctica, los contratos de servicios TIC, desarrollo de software, alojamiento de sistemas y tratamiento de datos para la Diputación incluyen cada vez con mayor frecuencia cláusulas que exigen la acreditación ENS del proveedor. No disponer de esa acreditación puede inhabilitar la oferta en la fase de solvencia técnica o generar incumplimientos contractuales durante la ejecución del servicio.

El Anexo II del RD 311/2022 organiza 75 medidas en 16 familias y tres marcos (organizativo, operacional y de protección). Para sistemas de categoría básica, no todas las medidas son obligatorias en su nivel máximo: cada medida tiene un nivel de exigencia diferenciado según la categoría del sistema (B/M/A o n.a. cuando no aplica). En la práctica, un sistema de categoría básica tiene que aplicar el nivel básico de las medidas marcadas como exigibles en ese nivel, lo que supone entre 40 y 50 medidas activas según el alcance del sistema. El análisis de riesgos con PILAR determina cuáles aplican en cada caso concreto.

Summum Sistemas no es una entidad de inspección acreditada por ENAC y no emite certificados de conformidad ENS. Nuestro trabajo es técnico y preparatorio: analizamos riesgos con MAGERIT/PILAR, implantamos las medidas del Anexo II, generamos las evidencias con INES y preparamos el sistema para que supere la auditoría de conformidad. El certificado lo emite el tercero acreditado por ENAC (ISO/IEC 17065) que la empresa contrate. La diferencia práctica es que llegar a esa auditoría con los sistemas técnicamente implantados y el paquete de evidencias preparado reduce notablemente el riesgo de no conformidades y el coste total del proceso.