El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es de cumplimiento obligatorio para todas las administraciones publicas espanolas: ayuntamientos, diputaciones, organismos autonomos y entidades del sector publico. No es opcional ni orientativo.
Sin embargo, la realidad es que muchos ayuntamientos, especialmente los de menos de 20.000 habitantes, siguen sin tener implementadas las medidas basicas que exige la norma. Las consecuencias pueden ir desde sanciones administrativas hasta graves incidentes de seguridad con impacto real en los ciudadanos.
Que es exactamente el ENS y para que sirve
El ENS establece los principios basicos y requisitos minimos para la proteccion de la informacion que manejan las administraciones publicas. Su objetivo es garantizar que los sistemas electronicos utilizados por la administracion para tramitar procedimientos, gestionar datos de ciudadanos o prestar servicios electronicos son seguros y fiables.
El ENS clasifica los sistemas en tres categorias segun el impacto que tendria un incidente de seguridad: basica, media y alta. La gran mayoria de los sistemas de un ayuntamiento pequeno o mediano caen en categoria basica o media.
Que medidas exige el ENS en la practica
Las medidas se organizan en tres grupos: organizativas (politicas, procedimientos, responsabilidades), operacionales (gestion de activos, control de accesos, continuidad del servicio) y de proteccion (cifrado, seguridad en comunicaciones, registro de actividad).
Para sistemas de categoria basica, las medidas concretas incluyen entre otras:
- Politica de seguridad documentada y aprobada por el organo competente
- Responsable de Seguridad designado formalmente
- Inventario actualizado de activos (equipos, sistemas, datos)
- Gestion de identidades y control de accesos con principio de minimo privilegio
- Actualizaciones y parches de seguridad aplicados de forma regular
- Copias de seguridad verificadas periodicamente
- Formacion y concienciacion del personal
- Gestion y registro de incidentes de seguridad
Atencion: La Declaracion de Conformidad con el ENS debe renovarse periodicamente. No basta con haber realizado una adaptacion en el pasado si los sistemas han cambiado o no se mantienen las medidas activas.
El proceso de adaptacion paso a paso
1. Analisis de la situacion actual (GAP Analysis)
El punto de partida es saber exactamente donde esta el ayuntamiento respecto a los requisitos del ENS: que sistemas existen, que categoria les corresponde, que medidas ya estan implementadas y cuales faltan.
2. Aprobacion de la Politica de Seguridad
Es el documento marco que el Pleno del ayuntamiento debe aprobar formalmente. Define los objetivos, responsabilidades y compromisos de la organizacion en materia de seguridad.
3. Implementacion de medidas tecnicas y organizativas
La fase tecnica incluye la configuracion de sistemas, implantacion de herramientas de seguridad, configuracion de backups, gestion de accesos y registro de actividad. La organizativa incluye la elaboracion de procedimientos, la formacion del personal y la designacion formal de responsabilidades.
4. Auditoria y Declaracion de Conformidad
Una vez implementadas las medidas, se realiza una auditoria que verifica el cumplimiento. Con el resultado, el Responsable de Seguridad puede emitir la Declaracion de Conformidad y registrarla en el CCN-CERT.
En OFISUR hemos ayudado a varios ayuntamientos de la provincia de Cordoba en su proceso de adaptacion al ENS. Conocemos los procedimientos, los plazos y los recursos disponibles para administraciones locales. Contacta con nosotros para una primera evaluacion sin compromiso.