Implantación técnica del ENS en Sevilla para proveedores de la Administración

El artículo 2 del RD 311/2022 extiende la obligación del ENS a los sistemas de información de las entidades privadas que prestan servicios o suministran soluciones a entidades del sector público sujetas al Esquema. La Diputación de Sevilla y el Ayuntamiento de Sevilla están sujetos al ENS como Administraciones Públicas. Si tus sistemas gestionan datos de cualquiera de ellos, alojan software que usan o intercambian información con los suyos, la adecuación al ENS es obligatoria y puede ser requisito de solvencia técnica en los pliegos de contratación.

Sí. Ambas son universidades públicas y, por tanto, entidades del sector público sujetas al ENS. Sus contratos de servicios digitales —desarrollo de software, alojamiento de sistemas, tratamiento de datos de estudiantes o investigación, servicios en la nube— trasladan la obligación de adecuación al ENS a los proveedores privados que participan en ellos. Cada vez con más frecuencia, sus pliegos de licitación incluyen cláusulas específicas que exigen acreditar el cumplimiento del Esquema.

PILAR es la herramienta de análisis de riesgos desarrollada por el CCN que implementa la metodología MAGERIT de forma estructurada, con catálogos de activos, amenazas y salvaguardas alineados con el Anexo II del RD 311/2022. Genera informes en el formato que esperan los auditores de conformidad, con resultados reproducibles y comparables entre revisiones. Un análisis artesanal en hoja de cálculo no está prohibido, pero dificulta la trazabilidad entre amenazas, riesgos y medidas aplicadas, lo que suele generar observaciones durante la auditoría ENAC.

El Anexo II del RD 311/2022 recoge 73 medidas organizadas en tres marcos y 16 familias: el marco organizativo (4 medidas), el marco operacional —7 familias y 33 medidas, incluida la familia op.nub para servicios en la nube— y las medidas de protección —8 familias y 36 medidas—. Qué medidas son obligatorias depende de la categoría de tu sistema (básica, media o alta), que resulta del análisis de impacto sobre las cinco dimensiones CIDAT. Summum Sistemas realiza ese diagnóstico para determinar el subconjunto exacto aplicable a tu empresa.

La familia op.nub del marco operacional del Anexo II regula los requisitos de seguridad específicos de los servicios de computación en la nube: evaluación del proveedor cloud, segregación de entornos, gestión de accesos y cadena de suministro de servicios cloud. Aplica siempre que el sistema en alcance use infraestructura IaaS, PaaS o SaaS. Para proveedores TIC de la Junta de Andalucía o de otros organismos sevillanos que operan sobre infraestructura cloud pública, esta familia debe quedar explícitamente tratada en el análisis de riesgos y en el plan de implantación.

No. Para sistemas de categoría básica, la declaración de conformidad la emite la propia organización de forma autoevaluada, conforme al procedimiento de la CCN-STIC 809. Para categoría media o alta, la certificación la emite una entidad de inspección acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065. Summum Sistemas no emite ningún certificado —es competencia exclusiva de las entidades acreditadas por ENAC—; implantamos las medidas técnicas del Anexo II, generamos el paquete de evidencias y preparamos tus sistemas para superar ese proceso con garantías.