Servicio 09.1
Certificación ENS
La certificación ENS no se obtiene dentro del plazo de una licitación. Se obtiene antes de que la licitación se convoque.
Qué es
La certificación en el Esquema Nacional de Seguridad acredita la conformidad de un sistema con las medidas que corresponden a su categoría. Economía y Diplomacia realiza el análisis de brecha, dirige la adecuación y compone el expediente que la entidad de certificación acreditada examina.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
El artículo 28 del Real Decreto 311/2022 sujeta a los operadores del sector privado que prestan servicios o proveen soluciones a entidades del sector público. La exigencia se traslada por vía contractual con la categoría del sistema afectado: el pliego pedirá acreditar conformidad antes de adjudicar y, sin ella, la oferta queda excluida. La certificación la emite una entidad acreditada independiente y no se obtiene en el plazo de una licitación.
Qué recibe
Análisis de brecha y expediente de certificación: categorización justificada, declaración de aplicabilidad, plan de adecuación y evidencia documental de la operación de cada medida.
Fases del encargo
- 01
Alcance
Se delimita el sistema de información que se somete a certificación.
- 02
Categorización
Se determina la categoría valorando el impacto sobre las cinco dimensiones.
- 03
Brecha
Se compara lo implantado con las medidas exigibles según categoría y dimensiones afectadas.
- 04
Adecuación
Se ejecuta el plan y se produce la evidencia documental de la operación de cada medida.
- 05
Certificación
Se compone el expediente y se acompaña la auditoría de la entidad acreditada.
La categoría se determina, no se elige
El anexo I del Real Decreto 311/2022 categoriza cada sistema como básico, medio o alto valorando el impacto de un incidente sobre cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. La categoría del sistema es la más alta de las que resulten de sus dimensiones. Categorizar a la baja para reducir esfuerzo invalida la adecuación cuando la auditoría revisa las dimensiones, y obliga a rehacer el plan completo.
La declaración de aplicabilidad copiada
El anexo II agrupa las medidas en marco organizativo, marco operacional y medidas de protección, y su exigibilidad depende de la categoría y de las dimensiones afectadas. La declaración de aplicabilidad debe justificar la inclusión o exclusión de cada medida. Una declaración copiada de plantilla es el hallazgo más común en auditoría.
Medida sin evidencia es medida no implantada
Una medida implantada sin evidencia documental de su operación se considera no implantada. Esa es la diferencia entre un proyecto de adecuación que termina en certificación y uno que termina en no conformidades.
Lo que preguntan antes de contratar
¿Cuánto cuesta certificarse en el ENS?
Depende de la categoría, del alcance del sistema y de la distancia entre la situación actual y la exigible. A ello se añade el coste de la entidad de certificación acreditada, que es independiente. Economía y Diplomacia presupuesta la adecuación tras el análisis de brecha.
¿Cuánto tarda la certificación?
No se obtiene en el plazo de una licitación. El calendario lo componen la adecuación —que depende de la brecha— y la auditoría de certificación, que la realiza una entidad acreditada con su propia agenda.
¿A quién obliga el ENS?
A las entidades del sector público y, por el artículo 28 del Real Decreto 311/2022, a los operadores del sector privado que les presten servicios o provean soluciones, con el nivel de categoría del sistema afectado.
¿Quién emite la certificación?
Una entidad de certificación acreditada e independiente. Quien acompaña la adecuación no puede ser quien certifica: son papeles incompatibles.