Esquema Nacional de Seguridad

En el ámbito de la administración electrónica en España, el Esquema Nacional de Seguridad (ENS) es una normativa que tiene por objetivo establecer la política de seguridad en la utilización de medios electrónicos relacionados con la administración pública, y está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información.

Historia

El Esquema Nacional de Seguridad fue establecido en el artículo 42 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicio Públicos y regulado por el Real Decreto 3/2010, de 8 de enero. Posteriormente fue modificado por el Real Decreto 951/2015 para actualizarlo a la luz de la experiencia obtenida en su implantación, de la evolución de la tecnología y las ciberamenazas y del contexto regulatorio internacional y europeo.

La Ley 11/2007 fue derogada por la Ley 39/2015, de 1 de octubre. Desde entonces, la previsión legal del Esquema Nacional de Seguridad se recoge en el artículo 156 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

El Real Decreto 311/2022, de 3 de mayo, aprobó la regulación vigente del Esquema Nacional de Seguridad y derogó el Real Decreto 3/2010. Entró en vigor el 5 de mayo de 2022 y su disposición transitoria única concedió a los sistemas preexistentes un plazo de veinticuatro meses para alcanzar la plena conformidad, plazo que venció el 5 de mayo de 2024.

Ámbito de aplicación

El ámbito de aplicación del Esquema Nacional de Seguridad comprende todo el sector público, los sistemas de información de entidades del sector privado cuando presten servicios a entidades del sector público y los sistemas que traten información clasificada.

Elementos del Esquema Nacional de Seguridad

Los elementos principales del ENS, tal como queda legislado en 2022, son los siguientes:

• Las disposiciones generales, objeto, ámbito de aplicación, sistemas de información que traten datos personales y definiciones (artículos 1 a 4).
• Los principios básicos a considerar en las decisiones en materia de seguridad (artículos 5 a 11).
• Los requisitos mínimos que permitan una protección adecuada de la información (artículos 12 a 27).
• El mecanismo para lograr el cumplimiento de los principios básicos y de los requisitos mínimos mediante la adopción de medidas de seguridad proporcionadas a la naturaleza de la información y los servicios a proteger (artículos 28, 40, 41, Anexo I y Anexo II).
• El uso de productos certificados y el papel del organismo de certificación OC-CCN (artículo 19 y Anexo II).
• El uso de infraestructuras y servicios comunes (artículo 29).
• Los perfiles de cumplimiento específicos (artículo 30).
• La auditoría de seguridad que verifique el cumplimiento del ENS (artículo 31 y Anexo III).
• El informe del estado de la seguridad (artículo 32).
• La respuesta ante incidentes de seguridad (artículos 33 y 34).
• La conformidad con el ENS (artículos 35 a 38).
• La actualización permanente (artículo 39).
• La categorización de los sistemas de información (artículos 40 y 41).
• La formación (disposición adicional primera).
• Las instrucciones técnicas de seguridad (disposición adicional segunda).
• Las guías de seguridad (disposición adicional segunda).
• Respeto del principio de «no causar un perjuicio significativo» al medioambiente (disposición adicional tercera).
• Adecuación de sistemas (disposición transitoria única).

Categorización de los sistemas

Se definen cinco dimensiones de seguridad: Disponibilidad, Autenticidad, Integridad, Confidencialidad, Trazabilidad (identificadas por sus correspondientes iniciales).

A cada una de las dimensiones de seguridad se le asigna un nivel de seguridad (bajo, medio o alto) acorde a la severidad del perjuicio ocasionado en caso de incidente de seguridad. Si una dimensión de seguridad no se ve afectada, no se le asigna ningún nivel.

Finalmente, el sistema de información es categorizado de acuerdo al nivel más alto alcanzado por sus dimensiones de seguridad. Así, un sistema de información es de categoría:

• alta si alguna de sus dimensiones de seguridad alcanza el nivel alto;
• media si alguna de sus dimensiones de seguridad alcanza el nivel medio, y ninguna alcanza un nivel superior;
• básica si alguna de sus dimensiones de seguridad alcanza el nivel bajo, y ninguna alcanza un nivel superior.

Medidas de seguridad y Declaración de Aplicabilidad

Las medidas de seguridad se recogen en el Anexo II del Real Decreto 311/2022, organizadas en tres grupos: marco organizativo (org), marco operacional (op) y medidas de protección (mp). La relación de medidas aplicables a cada sistema se determina a partir de su categoría y de los niveles asignados a sus dimensiones de seguridad, y se formaliza en una Declaración de Aplicabilidad firmada por el responsable de la seguridad del sistema, conforme al artículo 28.

Las medidas del Anexo II pueden ser sustituidas por medidas compensatorias cuando se justifique documentalmente que protegen frente al riesgo de forma equivalente o superior.

Guías CCN-STIC y productos certificados

Para facilitar el cumplimiento del Esquema, el Centro Criptológico Nacional elabora y difunde las guías de seguridad CCN-STIC, en particular la serie 800, dedicada específicamente al ENS.

El artículo 19 del Real Decreto 311/2022 establece el empleo, de forma proporcionada a la categoría del sistema y al nivel de seguridad, de productos certificados. El Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC), recogido en la guía CCN-STIC 105, relaciona los productos y servicios cualificados y aprobados por el CCN.

Véase también

• Instituto Nacional de Ciberseguridad (Incibe)
• ISO/IEC 27001
• Centro Criptológico Nacional (CCN)
• Secretaría General de Administración Digital
• Organización para la Cooperación y el Desarrollo Económico (OCDE)
• Magerit (metodología)
• Entidad Nacional de Acreditación (ENAC)
• Información clasificada

Enlaces externos

• Principales cambios Real Decreto 311/2022 "ENS 2022".