El ENS no tiene régimen sancionador. No hay multas, ni cuantías, ni autoridad sancionadora en esta norma. Lo que sí tiene son consecuencias por vía de conformidad y de contratación: sin distintivo de conformidad puede no haber contrato, y un resultado de auditoría desfavorable obliga a un plan de acción correctora.

El ENS no fija ningún plazo numérico para notificar. Remite a la Instrucción Técnica de Seguridad correspondiente, que es norma distinta y se aprueba por otro procedimiento. Quien monte su cuadro de plazos con esta norma delante no encontrará el reloj aquí.

Entidad del sector público · incidente con impacto significativo

Plazo

Sin plazo en el real decreto

Desde cuándo corre

Remitido a la Instrucción Técnica de Seguridad de Notificación de Incidentes

Art. 33.2

Organización privada que presta servicios a entidades públicas

Plazo

Sin plazo en el real decreto

Desde cuándo corre

«los incidentes que les afecten», sin umbral expreso ni plazo

Art. 33.7

Operador con posible impacto en la Defensa Nacional

Plazo

«De inmediato»

Desde cuándo corre

Desde que se aprecia que el incidente pudiera afectar al Ministerio de Defensa o a la operatividad de las Fuerzas Armadas

Art. 33.4

CCN

Cuándo

Entidades del sector público

En España

El Centro Criptológico Nacional, adscrito al CNI. El canal operativo del sector público es el CCN-CERT y su plataforma de notificación LUCIA.

CCN-CERT ↗

Art. 33.2

INCIBE-CERT, que lo traslada inmediatamente al CCN-CERT

Cuándo

Organizaciones privadas que prestan servicios a entidades públicas

En España

El centro de respuesta a incidentes del Instituto Nacional de Ciberseguridad, para empresas y ciudadanía. En este supuesto recibe la notificación y la traslada inmediatamente al CCN-CERT.

INCIBE-CERT ↗

Art. 33.7

ESPDEF-CERT del Mando Conjunto del Ciberespacio, vía el CSIRT de referencia

Cuándo

Cuando el incidente pueda tener impacto en la Defensa Nacional

En España

El CERT del Mando Conjunto del Ciberespacio (Ministerio de Defensa). Se llega a él a través del CSIRT de referencia, no directamente.

ESPDEF-CERT · Mando Conjunto del Ciberespacio ↗

Art. 33.4

Ministerio del Interior, vía la Oficina de Coordinación de Ciberseguridad

Cuándo

Operadores esenciales designados operadores críticos

En España

La Oficina de Coordinación de Ciberseguridad de la Secretaría de Estado de Seguridad, punto de contacto para operadores críticos.

Ministerio del Interior ↗

Art. 33.3

Todo el sector público

Todo el sector público, en los términos del artículo 2 de la Ley 40/2015: el ENS remite y no lo resuelve

Privadas con contrato público

Entidades privadas que presten servicios o provean soluciones a entidades públicas en virtud de una relación contractual (art. 2.3)

Cadena de suministro

La cadena de suministro de esos contratistas, pero modulada «en la medida que sea necesario» según el análisis de riesgos (art. 2.3)

Información clasificada

Sistemas que tratan información clasificada, sin perjuicio de la Ley 9/1968 y de los compromisos internacionales (art. 2.2)

Entidades públicas con red 5G

Entidades públicas que desplieguen o exploten redes o servicios 5G, junto al RDL 7/2022 (art. 2.4)

Exclusiones

Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad

Identificador

BOE-A-2022-7191

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Es un marco de seguridad entero: 73 medidas en el Anexo II con niveles de exigibilidad, auditoría bienal, declaración y certificación de conformidad. La seguridad no es una parte del ENS; es todo el ENS.

Valoración del curador · nivel 5 de 5

Política de seguridad aprobada Ciber

Tener una política de seguridad aprobada. En una empresa privada la aprueba el órgano con las máximas competencias ejecutivas, no el departamento de TI.

Literal de la norma La política de seguridad se establecerá de acuerdo con los principios básicos señalados en el capítulo II y se desarrollará aplicando los siguientes requisitos mínimos:

Art. 12

Categorización del sistema Ciber

Categorizar cada sistema. Se valora el impacto en cinco dimensiones (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad), cada una en nivel bajo, medio o alto, y de ahí sale la categoría del sistema. De esa categoría depende qué medidas del Anexo II hay que implantar.

Anexo I

Declaración de Aplicabilidad Ciber

Publicar una Declaración de Aplicabilidad: qué medidas del Anexo II se aplican, y la justificación de las que no.

Art. 28

Organización e implantación del proceso de seguridad Ciber

Roles de seguridad definidos y diferenciados, con procedimiento de designación. En servicios externalizados, un punto de contacto obligatorio.

Art. 13

Análisis y gestión de los riesgos Ciber

Análisis de riesgos con revisión y aprobación anual, y gestión proporcionada a lo que se encuentre.

Art. 14

Gestión de personal Ciber

Deberes y obligaciones del personal, formación y concienciación.

Art. 15

Profesionalidad Ciber

Personal con la cualificación necesaria, exigible también al proveedor.

Art. 16

Autorización y control de los accesos Ciber

Acceso controlado y limitado a lo autorizado.

Art. 17

Protección de las instalaciones Ciber

Los sistemas se ubican en áreas protegidas y con control de acceso físico.

Art. 18

Adquisición de productos y contratación de servicios de seguridad Ciber

Productos y servicios de seguridad con garantías acreditadas.

Art. 19

Mínimo privilegio Ciber

Cada elemento con lo justo para su función, y nada más.

Art. 20

Integridad y actualización del sistema Ciber

Control de los cambios y de las vulnerabilidades conocidas.

Art. 21

Protección de la información almacenada y en tránsito Ciber

Protección en reposo y en tránsito, incluidos entornos inseguros como puestos móviles.

Art. 22

Prevención ante otros sistemas de información interconectados Ciber

Protección del perímetro frente a sistemas que no se controlan.

Art. 23

Registro de actividad y detección de código dañino Ciber

Registro de la actividad con retención suficiente y detección de código dañino.

Art. 24

Incidentes de seguridad Ciber

Procedimientos de gestión de incidentes, detección, clasificación, análisis, resolución y registro.

Art. 25

Continuidad de la actividad Ciber

Previsiones para seguir prestando el servicio ante una interrupción.

Art. 26

Mejora continua del proceso de seguridad Ciber

El proceso de seguridad se revisa y se mejora de forma continuada.

Art. 27

Informe anual del estado de la seguridad Ciber

La entidad pública comunica al menos una vez al año el estado de las principales variables de seguridad de sus sistemas por la herramienta INES, bajo el responsable de seguridad. El artículo 32 se dirige a la Comisión Sectorial y al CCN; lo que obliga a la entidad es la medida op.mon.2.1 (recopilar los datos para proveer ese informe) y la ITS de 2016, formalmente vigente aunque sus citas internas apunten al ENS de 2010. Alcanza a las entidades públicas, no al contratista del artículo 2.

Art. 32 · anexo II, op.mon.2.1 · ITS de Informe del Estado de la Seguridad, punto III.2

Notificación de incidentes Ciber

Notificar los incidentes con impacto significativo. El sector público al CCN; una empresa privada que presta servicios al sector público, a INCIBE-CERT.

Art. 33

Auditoría regular de la seguridad Ciber

Auditarse. Categoría media y alta exigen auditoría formal al menos cada dos años; la básica se resuelve con autoevaluación.

Art. 31

Distintivo de conformidad Ciber

Exhibir el distintivo de conformidad. Es lo que acredita la adecuación: no vale un plan ni un informe interno.

Art. 38

El ENS en la contratación Ciber

Si contratas, trasladar el ENS a los pliegos. Y si eres el contratista, asumir que sin conformidad puede no haber contrato.

Art. 2.3

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Arts. 12 y 13 · art. 32 · anexo II, op.mon.2.1 · ITS de Informe del Estado de la Seguridad, punto III.2 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Arts. 15 y 16 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 12 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 14 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 25 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Arts. 21 y 24 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 26 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 26 · anexo II, mp.info.6.r1.1 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Arts. 2.3, 13, 16 y 19 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Arts. 19 y 21 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Art. 21 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Art. 27 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 22 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Arts. 15 y 16 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Arts. 17, 20 y 24 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Art. 21 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 33 · categorización del curador, no de la norma

Clasificación y declaración de aplicabilidad Compartida

Definir contra qué se evalúa la organización: qué sistemas entran en el alcance y qué controles aplican, por escrito y de forma defendible. Este documento es la referencia contra la que se contrastan la auditoría y las obligaciones del proveedor.

Anexo I y art. 28 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 18 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Art. 23 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Arts. 31 y 38 · categorización del curador, no de la norma

Sector público

Todo el sector público, en los términos del artículo 2 de la Ley 40/2015. El ENS remite a esa ley y no resuelve por sí mismo si una sociedad mercantil estatal, una fundación pública, un consorcio o una universidad pública están dentro: hay que ir a la Ley 40/2015. No hay umbral de tamaño ni criterio sectorial. La política de seguridad la aprueba el órgano competente de cada entidad con personalidad jurídica propia, con dos válvulas potestativas: el sector público institucional puede quedar cubierto por la política de su Administración matriz, y los municipios por una política comarcal o provincial.

Literal de la norma El presente real decreto es de aplicación a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015, de 1 de octubre, y de acuerdo con lo previsto en el artículo 156.2 de la misma.

Art. 2.1

Contratista privado

La entidad privada que, en virtud de una relación contractual, presta servicios o provee soluciones a una entidad pública para el ejercicio de sus competencias y potestades administrativas. El disparador es el contrato, no el sector ni el tamaño, y proveer soluciones es más amplio que prestar un servicio gestionado: incluye suministrar producto. Su política de seguridad la aprueba el órgano que ostente las máximas competencias ejecutivas, y no tiene la válvula de acogerse a la política de nadie. La misma cautela se extiende a su cadena de suministro «en la medida que sea necesario», según el análisis de riesgos. La norma no define qué es el ejercicio de competencias y potestades administrativas, ni fija umbral de contrato: la frontera queda al análisis caso a caso.

Literal de la norma Este real decreto también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas.

Art. 2.3