En un entorno digital cada vez más complejo y regulado, garantizar la seguridad de los sistemas de información en el sector público y sus proveedores es una prioridad. En España, esa garantía tiene nombre: Esquema Nacional de Seguridad (ENS).
Este marco normativo establece los principios y requisitos que deben seguir las administraciones públicas y empresas colaboradoras para proteger los datos que gestionan.
Pero más allá de ser un conjunto de buenas prácticas, el ENS es de cumplimiento obligatorio y su desconocimiento puede significar la exclusión de licitaciones públicas, sanciones y, sobre todo, pérdida de confianza institucional y ciudadana.
El Esquema Nacional de Seguridad es un conjunto de medidas técnicas y organizativas regulado por el Real Decreto 311/2022. Su finalidad es garantizar la protección de la información tratada por los sistemas electrónicos utilizados en la administración pública.
A través de un enfoque basado en riesgos, el ENS busca asegurar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los datos. Este enfoque es coherente con marcos internacionales como la norma ISO/IEC 27001 y el NIST 800-53.
El ENS es obligatorio para:
Desde mayo de 2024, el cumplimiento del ENS es requisito legal para participar en licitaciones públicas. Esto incluye acreditar el cumplimiento mediante auditorías y certificaciones.
El Real Decreto 311/2022 establece una serie de principios fundamentales para construir entornos seguros:
Este marco normativo promueve una cultura de seguridad proactiva que va más allá de la tecnología, involucrando procesos y personas.
Los sistemas de información deben clasificarse en función de cinco dimensiones clave:
Cada dimensión se categoriza con un nivel bajo, medio o alto. Esta clasificación determinará el conjunto mínimo de medidas de seguridad aplicables. En sistemas de categoría media o alta, el ENS exige auditorías bianuales para asegurar su cumplimiento.
La implementación del ENS está directamente conectada con la legislación de protección de datos. De hecho, muchas medidas exigidas por el ENS están alineadas con el Reglamento General de Protección de Datos (GDPR). Ambas normativas coinciden en:
En este sentido, soluciones como el borrado seguro y certificado de Delete Technology son esenciales para cumplir con los principios de minimización y ciclo de vida seguro de la información.
El ENS establece que los sistemas deben contar con mecanismos para eliminar los datos de forma irrecuperable y trazable cuando dejan de ser necesarios. Esto es particularmente importante en situaciones como:
Implementar estándares como NIST 800-88 y el borrado criptográfico garantiza una destrucción efectiva conforme al ENS.
Además, soluciones certificadas como las de Delete Technology permiten emitir certificados de eliminación válidos para auditorías, como se menciona en su artículo sobre auditorías del borrado seguro.
El incumplimiento puede suponer:
Las auditorías son obligatorias y las entidades deben demostrar la trazabilidad y eficacia de sus medidas. El borrado de datos mal gestionado o no certificado puede considerarse una infracción.
El ENS se complementa con marcos normativos como:
Estas regulaciones comparten principios y muchas veces se refuerzan entre sí.
Si trabajas con organismos públicos o manejas datos por cuenta de ellos, sí estás obligado.
No es obligatorio, pero sí altamente recomendable para facilitar auditorías y participar en concursos públicos.
Sí proporcionan servicios tecnológicos o gestionan datos por cuenta del cliente, deben cumplir con el ENS también.
Aunque depende del nivel de madurez de la organización, se recomienda un plan de acción con auditoría interna en los primeros 6-12 meses.
Autor
Rafael Chust Calero
Director España y Portugal, Delete Technology Group
Cybercriminologist y miembro de Grupo Europeo Magistrados por la Mediación (GEMME).
Síguenos en nuestras redes sociales