Adecuación y certificación del ENS

El Esquema Nacional de Seguridad (ENS) lo exige la administración a las empresas que tratan su información o gestionan sus sistemas. Si os lo han pedido en un contrato o en un pliego, os ayudamos a preparar la documentación, a hacer los cambios técnicos que falten y a pasar la auditoría.

Cuándo hace falta

Normalmente el ENS aparece por alguna de estas vías:

Un cliente público os pide el certificado del ENS para renovar el contrato o para seguir trabajando con él.
Sale una licitación que os interesa y el pliego exige el ENS en categoría básica o media.
Os han pasado una plantilla de políticas de cien páginas y no sabéis si vale para vuestro caso.
Ya tenéis la ISO 27001 y no sabéis qué os falta para el ENS.
La parte técnica (copias, accesos, registros, cifrado) no la lleva nadie, o la lleva un proveedor que no documenta nada.
Se empezó en su día y los documentos se quedaron en una carpeta sin aplicar.

Las tres categorías del ENS

El ENS (Real Decreto 311/2022) clasifica los sistemas según el daño que causaría un incidente. De la categoría depende cuántas medidas aplicar y cómo se demuestra que se cumplen.

Categoría básica

Es la que corresponde a la mayoría de proveedores pequeños. Se puede justificar con una autoevaluación, aunque muchos organismos ya piden la certificación de una entidad acreditada.

Categoría media

Se aplica cuando un fallo tendría consecuencias graves para el organismo. Hay más medidas que cumplir y la auditoría es obligatoria al menos cada dos años.

Categoría alta

Reservada a sistemas críticos. En una pyme es poco habitual; si os corresponde, saldrá en el diagnóstico.

Qué hacemos

Estas son las fases de un proyecto de adecuación.

Diagnóstico y alcance

Vemos qué servicios entran en el alcance, qué categoría os toca y qué os falta respecto a lo que pide el ENS.

Análisis de riesgos

Identificamos qué puede fallar y qué impacto tendría. Sobre ese análisis se justifican después las medidas que se aplican y las que no.

Documentación a medida

Política de seguridad, normativa interna, procedimientos, roles y declaración de aplicabilidad, redactados para vuestra empresa y no copiados de una plantilla.

Implantación técnica

Doble factor, permisos, copias de seguridad probadas, registros de actividad, cifrado y configuración de Microsoft 365. Como también hacemos soporte IT, estos cambios los hacemos nosotros.

Formación del equipo

Sesiones cortas con el equipo sobre contraseñas, correos sospechosos, uso de los equipos y cómo avisar de un incidente.

Auditoría interna y certificación

Antes de la auditoría externa hacemos una revisión interna. Durante la auditoría estamos presentes y después resolvemos las no conformidades que salgan.

Cómo lo hacemos

Alcance ajustado. Normalmente basta con certificar los servicios que prestáis a la administración, no toda la empresa. Así el proyecto sale más barato y luego hay menos que mantener.

Documentación proporcionada. Una empresa de diez personas no necesita los mismos procedimientos que una de doscientas. Escribimos lo que exige el ENS para vuestro tamaño y nada más.

La parte técnica, incluida. Es habitual que la documentación diga una cosa y los sistemas estén configurados de otra. Al ser también consultora IT, nos encargamos de las dos partes.

Presupuesto por fases. La primera fase es el diagnóstico, con precio cerrado. Al terminarla tenéis por escrito qué falta y el precio y el plazo del resto del proyecto.

Mantenimiento opcional. El ENS hay que revisarlo periódicamente, y en categoría media se vuelve a auditar. Podemos encargarnos nosotros o dejarlo preparado para vuestro equipo.

FAQ

Preguntas frecuentes

Si prestáis servicios o suministráis soluciones a la administración pública (ayuntamientos, diputaciones, universidades, organismos, sanidad pública) y esos servicios tocan sus sistemas o su información, lo normal es que el contrato o el pliego os lo exija. En el diagnóstico inicial lo confirmamos contigo y te decimos qué categoría te corresponde.

Depende de cómo esté la empresa al empezar y del alcance. Para la categoría básica en una empresa pequeña hablamos de unos pocos meses. El plazo concreto lo damos al terminar el diagnóstico.

Una entidad de certificación acreditada por ENAC. Nosotros preparamos la empresa para la auditoría, estamos presentes durante ella y resolvemos lo que salga. Si no sabéis a qué entidad acudir, os ayudamos a pedir presupuestos.

Sí, bastante. Mucha documentación y muchos controles se aprovechan, pero el ENS tiene requisitos que la ISO no cubre. Comparamos las dos y trabajamos solo lo que falta.

Hay que mantenerlo: revisar la documentación y las medidas periódicamente y, en categoría media, volver a pasar auditoría. Podemos encargarnos nosotros o dejarlo todo preparado para vuestro equipo.

¿Os han pedido el ENS?

La primera llamada, de media hora, es gratuita: nos contáis qué organismo os lo pide, para cuándo y cómo tenéis hoy los sistemas. Con eso os enviamos una propuesta para el diagnóstico, que es la primera fase del proyecto.

Hablemos