Esquema Nacional de Seguridad (ENS) — RD 311/2022
El Real Decreto 311/2022 aprueba el Esquema Nacional de Seguridad, el marco de principios, requisitos mínimos y medidas que asegura la protección de la información y los servicios del sector público. En el examen dominan tres bloques: los principios básicos, las dimensiones y categorías de seguridad, y las reglas de responsables, auditoría y conformidad.
Dimensiones de la seguridad (Anexo I)
El Anexo I establece cinco dimensiones de la seguridad que sirven para determinar la categoría de un sistema: Confidencialidad [C], Integridad [I], Trazabilidad [T], Autenticidad [A] y Disponibilidad [D]. La regla mnemotécnica es ACID + T. Ojo con los distractores: la accesibilidad no es dimensión, y la conservación, aunque es una de las finalidades del ENS (art. 1.2), tampoco figura entre las cinco dimensiones; la dimensión correcta es la Disponibilidad.
Categorías de los sistemas (Anexo I)
Cada dimensión afectada se adscribe a un nivel BAJO, MEDIO o ALTO, y de ahí resulta la categoría del sistema: BÁSICA, MEDIA o ALTA. La regla es por la dimensión más exigente: un sistema es de categoría ALTA si alguna de sus dimensiones alcanza el nivel ALTO —basta con una sola, no hace falta que todas lo alcancen—. Es MEDIA si alguna llega a MEDIO y ninguna a ALTO, y BÁSICA si alguna llega a BAJO y ninguna superior. El mero tratamiento de datos personales no fija por sí solo la categoría.
Principios básicos (art. 5)
El art. 5 enumera siete principios básicos: seguridad como proceso integral, gestión de la seguridad basada en los riesgos, prevención-detección-respuesta y conservación, existencia de líneas de defensa, vigilancia continua, reevaluación periódica y diferenciación de responsabilidades. Son siete, no cinco ni ocho. No es principio básico la externalización obligatoria de la seguridad: el ENS no obliga a externalizar, solo regula el caso de servicios externalizados (art. 13.5).
Líneas de defensa (art. 9)
El sistema debe protegerse con múltiples capas de seguridad. Estas líneas de defensa han de estar constituidas por medidas de naturaleza organizativa, física y lógica (art. 9.2). No son solo técnicas o jurídicas, ni económicas o presupuestarias.
Diferenciación de responsabilidades (arts. 11 y 13)
En todo sistema deben diferenciarse cuatro responsables (art. 11.1): el responsable de la información, el responsable del servicio, el responsable de la seguridad y el responsable del sistema. La regla de oro (art. 13.3): el responsable de la seguridad será distinto del responsable del sistema, sin que exista dependencia jerárquica entre ambos. Solo excepcionalmente, por ausencia justificada de recursos, pueden coincidir, aplicando medidas compensatorias.
Política de seguridad (art. 12)
El instrumento que apruebe la política de seguridad debe incluir, como mínimo (art. 12.1): los objetivos o misión de la organización, el marco regulatorio, los roles o funciones de seguridad con sus deberes, la estructura de los comités, las directrices documentales y los riesgos derivados del tratamiento de datos personales. No se exige incluir un presupuesto anual de ciberseguridad.
Auditoría de la seguridad (art. 31)
Los sistemas se someten a una auditoría regular ordinaria al menos cada dos años, que verifica el cumplimiento del ENS. Ese plazo de dos años puede extenderse tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular. Recuérdese: dos años, extensible tres meses (no tres años ni seis meses).
Determinación de la conformidad (art. 38)
El procedimiento depende de la categoría (art. 38.1): los sistemas de categoría MEDIA o ALTA precisan una auditoría de certificación de su conformidad; los de categoría BÁSICA solo requieren una autoevaluación para su declaración de conformidad, sin perjuicio de poder someterse también, voluntariamente, a una auditoría de certificación. Los sujetos responsables deben dar publicidad a sus declaraciones y certificaciones de conformidad en sus sedes o portales.
Puntos clave
- Cinco dimensiones (Anexo I): Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad = ACID + T.
- Categoría ALTA si alguna dimensión alcanza nivel ALTO (basta una); MEDIA si alguna llega a MEDIO; BÁSICA si alguna llega a BAJO.
- Siete principios básicos (art. 5); la externalización obligatoria NO es uno de ellos.
- Líneas de defensa = medidas organizativa, física y lógica (art. 9.2).
- Cuatro responsables (art. 11.1): información, servicio, seguridad y sistema.
- Responsable de seguridad ≠ del sistema, sin dependencia jerárquica (art. 13.3).
- La política de seguridad (art. 12.1) no incluye el presupuesto anual entre sus extremos mínimos.
- Auditoría regular ordinaria cada dos años, extensible tres meses por fuerza mayor (art. 31.1).
- Conformidad (art. 38.1): MEDIA/ALTA → auditoría de certificación; BÁSICA → autoevaluación (declaración de conformidad).
