El ENS: qué es y a quién obliga

El Esquema Nacional de Seguridad determina la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos, y será aplicado por las Administraciones Públicas. Está regulado en el Real Decreto 311/2022 y en la Ley 40/2015.

Su mecánica de fondo es sencilla: obliga a valorar cada sistema de información, y esa valoración se hace sobre dos tipos de activos, la información y los servicios. Todo lo demás (niveles, categorías, medidas) cuelga de esa valoración inicial.

Su contenido tiene dos mitades que conviene separar desde el principio, porque el examen las mezcla constantemente: el ENS está constituido por los principios básicos y por los requisitos mínimos necesarios para una protección adecuada. Los principios son las ideas rectoras, la filosofía con la que se aborda la seguridad. Los requisitos son las obligaciones concretas que hay que cumplir para materializar esos principios.

La fecha completa de la norma es Real Decreto 311/2022, de 3 de mayo.

Con el ENS se pretende proteger dos cosas, y solo dos: la información y los servicios. Esa dualidad recorre todo el esquema, y explica por qué más adelante habrá un responsable de la información y otro responsable del servicio, o por qué se valoran los dos por separado al categorizar un sistema.

Sobre esos datos y servicios, el ENS quiere asegurar siete cualidades: el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación.

No confundir esa lista de siete con las cinco dimensiones de seguridad que se usan luego para categorizar un sistema. Ahí solo entran confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.

El ENS es una norma de obligado cumplimiento para todos los sistemas de información de las Administraciones Públicas, con independencia de dónde estén ubicados. Ese inciso no es decorativo: contratar la nube de un proveedor externo no saca al sistema del alcance del esquema.

Y el alcance no se detiene en el sector público. También obliga a las empresas privadas que den servicio a las Administraciones Públicas: el Real Decreto 311/2022 aplica igualmente a los sistemas de información de entidades privadas cuando presten servicios a entidades públicas.

Un proveedor privado que trata información de una Administración está dentro del ENS, aunque él no sea Administración.

Los dos esquemas nacionales son reales decretos, es decir, normas de principios y obligaciones generales. El detalle técnico que hace falta para aplicarlos vive en un segundo escalón de normas, y cada esquema tiene el suyo. Es un cruce de siglas que se pregunta tal cual.

Si el ENS obliga también a los proveedores privados, hace falta un mecanismo que traslade esa obligación al contrato. Ese mecanismo son los pliegos: los pliegos de prescripciones administrativas o técnicas de los contratos que celebren las entidades del Sector público contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS.

Entre esos requisitos figuran las declaraciones o certificaciones de conformidad con el ENS, que son la forma en que un proveedor acredita documentalmente que cumple.