ENS 2022: ¿cómo convertir un requisito contractual en un sistema demostrable?

Una empresa tecnológica recibe un pliego que exige conformidad con el Esquema Nacional de Seguridad. Ventas responde que la plataforma «está en la nube y cumple ISO 27001»; operaciones enumera controles; el cliente pregunta qué sistema, categoría y servicios quedan cubiertos. La brecha no suele empezar en una herramienta, sino en un perímetro que nadie ha aprobado. El Real Decreto 311/2022 regula el ENS y alcanza a los sistemas de información de las entidades del sector público, así como a los sistemas de proveedores cuando prestan servicios o soluciones comprendidos en su ámbito. Aplicarlo exige delimitar servicio y activos, identificar responsables, valorar el impacto, categorizar el sistema, seleccionar medidas, gestionar riesgos y conservar evidencias. Una certificación distinta puede aportar piezas, pero no demuestra por sí sola conformidad ENS. La primera compra razonable es un diagnóstico de brechas de un sistema concreto. Entrega alcance, categoría de trabajo, matriz de medidas y pruebas faltantes; no promete certificación, adjudicación ni ausencia de incidentes.

Un proveedor debe analizar el ENS cuando sus sistemas sustentan servicios o soluciones prestados al sector público dentro del ámbito previsto. El contrato, los pliegos, el papel de cada parte y los datos tratados delimitan la exigencia; ser proveedor de una Administración no convierte automáticamente toda la empresa en un único sistema ENS.

La revisión identifica entidad contratante, servicio público apoyado, componentes propios, subcontratistas, ubicaciones e interfaces. También separa compromisos comerciales de obligaciones normativas. Si el cliente impone un perfil o requisito adicional, se registra con su fuente. El resultado es una frase de alcance comprensible y una lista explícita de exclusiones y dependencias que el responsable del sistema debe aceptar.

El perímetro debe incluir procesos, aplicaciones, infraestructura, identidades, redes, ubicaciones, personal, datos, interfaces y servicios externos necesarios para prestar la función. Cada dependencia tiene propietario y condición de operación; un diagrama sin inventario ni flujos no permite asignar medidas ni probarlas.

Se parte del servicio que recibe el usuario, no del organigrama del área IT. El mapa sigue autenticación, almacenamiento, administración, monitorización, copias y soporte. Los entornos de desarrollo y las herramientas corporativas entran cuando pueden afectar al sistema. Para cada frontera se documenta qué control ejerce la organización y qué evidencia debe aportar un tercero.

La categoría se deriva del impacto que un incidente tendría sobre las dimensiones de seguridad previstas, tomando el nivel más alto resultante. Debe justificarse para el servicio y la información concretos; reutilizar una categoría por similitud técnica oculta diferencias de disponibilidad, integridad, confidencialidad, autenticidad o trazabilidad.

El responsable reúne a negocio, seguridad, protección de datos y operación para describir consecuencias verificables. La valoración distingue molestias internas, interrupción del servicio, incumplimiento legal y daño a personas o interés público. Cada nivel conserva escenario, fuente y aprobador. Cuando falta información del organismo cliente, la hipótesis se marca provisional y se solicita confirmación antes de cerrar la declaración de aplicabilidad.

La categoría orienta el conjunto de medidas del anexo del ENS, mientras el análisis de riesgos ayuda a adaptar y reforzar su aplicación. Una medida no desaparece solo porque el riesgo parezca bajo: cualquier no aplicación, compensación o adaptación debe tener fundamento, aprobación y evidencia.

La declaración de aplicabilidad conecta requisito, estado, responsable, sistema afectado, prueba y tratamiento de brecha. Las guías CCN-STIC pueden ayudar a interpretar e implantar, pero el Real Decreto y las instrucciones vigentes conservan la jerarquía normativa. El diagnóstico evita convertir una herramienta comprada en respuesta universal: un producto puede apoyar varias medidas sin cubrir procesos, gobierno o supervisión.

Una política aprobada demuestra intención; para probar funcionamiento se necesitan configuraciones, registros, muestras, revisiones, incidencias y decisiones dentro del periodo evaluado. La evidencia debe estar fechada, vinculada al alcance, ser reproducible y tener un propietario capaz de explicarla.

Para accesos, por ejemplo, se enlazan norma, altas y bajas, permisos, revisión periódica y tratamiento de excepciones. Para copias, no basta una captura de programación: se requieren resultados y pruebas de restauración. El repositorio evita datos sensibles innecesarios y controla versiones. Una evidencia caducada se registra como brecha aunque el procedimiento esté bien redactado.

La organización mantiene responsabilidad sobre el sistema aunque delegue infraestructura o soporte. Debe conocer subproveedores, localización y acceso a datos, responsabilidades compartidas, notificación de incidentes, continuidad, derecho de comprobación y condiciones de salida, y relacionarlos con sus medidas ENS.

El equipo no solicita certificados genéricos sin leer su alcance. Compara servicios contratados con anexos, regiones, opciones activadas y controles que siguen siendo del cliente. Un cambio de proveedor, arquitectura o subencargado activa revisión. La ficha de dependencia incorpora contacto operativo y evidencia periódica, para que compras no archive documentos que seguridad desconoce.

La vía de conformidad y la periodicidad de evaluación dependen de la categoría y del marco vigente. Declarar conformidad, obtener una certificación o superar una auditoría no son expresiones equivalentes; antes de comunicar un estado deben comprobarse alcance, categoría, órgano o entidad competente y evidencia requerida.

El diagnóstico prepara, pero no emite por sí mismo una conformidad. La instrucción técnica correspondiente y el portal oficial del ENS orientan los mecanismos y distintivos aplicables. Una auditoría examina el sistema definido y puede producir hallazgos; no garantiza que ningún incidente vaya a ocurrir. Marketing utiliza exactamente el alcance verificado y evita afirmar que toda la organización está certificada si solo lo está un servicio.

Recibe una definición de alcance, inventario de dependencias, categoría provisional justificada, matriz de medidas, mapa de evidencias, brechas priorizadas y hoja de ruta con propietarios. La conclusión explica qué puede afirmarse hoy y qué validación humana o externa falta.

Para empezar se aportan pliego y contrato, descripción del servicio, arquitectura, inventario, análisis de riesgos, políticas, proveedores, incidentes y auditorías previas. El equipo contrasta el Real Decreto 311/2022, el portal oficial del ENS y las instrucciones técnicas vigentes mediante fuentes privadas. Se acuerda una muestra que permita observar controles en funcionamiento, no solo documentos. El encargo reduce la incertidumbre de alcance y preparación; cualquier certificación o declaración posterior se contrata y decide por separado.

La hoja de ruta distingue acciones inmediatas, dependencias del cliente y mejoras estructurales, con criterio de cierre verificable para cada una.