El RD 311/2022 puso por escrito, con más detalle que su predecesor, lo que antes se resolvía sobre todo a golpe de pliego: el Esquema Nacional de Seguridad alcanza también a sistemas de entidades privadas que sostienen servicios públicos. Para una empresa que vende software, eso rara vez llega como una decisión estratégica. Llega como una cláusula en un pliego, con fecha de cierre.
Para entonces las preguntas difíciles ya no son de controles. Son de alcance y de categoría, y equivocarse en cualquiera de las dos deja el proyecto fuera de presupuesto o la oferta fuera de plazo.
Nivel medio o categoría media: una precisión que evita malentendidos
En el mercado casi todo el mundo habla de «ENS nivel medio», y por eso lo usamos también aquí. Conviene saber, no obstante, cómo lo nombra la norma, porque en un documento formal la diferencia se nota.
En el ENS, las cinco dimensiones de seguridad —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— se valoran en nivel bajo, medio o alto. El sistema, en cambio, tiene categoría: básica, media o alta. Es decir, «nivel medio» es la forma coloquial de referirse a un sistema de categoría media. En este artículo hablamos de «categoría» cuando describimos la norma y mantenemos «nivel medio» donde recogemos cómo lo dice el mercado. Si escribes un pliego, una declaración o un correo a un auditor, usa «categoría».
Cuándo aplica el ENS a un SaaS
Trabajar con la Administración no obliga por sí solo. El ENS entra cuando concurren a la vez los tres elementos del artículo 2.3 del RD 311/2022: existe relación contractual con una entidad del sector público, la empresa presta un servicio o provee una solución, y ese servicio se utiliza para el ejercicio de competencias y potestades administrativas. La relación contractual no es un factor que agrave el supuesto: forma parte de él.
En una plataforma SaaS eso suele traducirse en que forma parte de un servicio prestado a una Administración y trata datos relativos a ciudadanos, expedientes o actividad administrativa. El pliego que hay detrás del contrato exige entonces la conformidad con el ENS del sistema que soporta ese servicio, que es como se entera la mayoría de proveedores. El criterio completo de aplicabilidad lo desarrollamos en la guía sobre quién necesita ENS.
Un punto merece énfasis: no hace falta que toda la empresa quede sujeta. Lo habitual es definir un sistema de información concreto, asociado al servicio prestado, y aplicar sobre él las medidas del esquema.
Por qué muchos SaaS acaban en nivel medio
Cada dimensión de seguridad se valora según el impacto que tendría un incidente. La categoría del sistema la fija la dimensión peor parada: si alguna alcanza nivel medio y ninguna llega a alto, el sistema es de categoría media.
En soluciones utilizadas por la Administración suele cumplirse al menos una de estas condiciones: los datos tratados causarían un daño real si se expusieran, la integridad de procesos administrativos depende de la plataforma, o una interrupción del servicio bloquearía un trámite con plazos legales. De ahí que muchas plataformas acaben en categoría media aunque su información no sea especialmente sensible: lo que eleva la categoría suele ser la disponibilidad o la integridad del procedimiento, más que la confidencialidad.
Cómo definir correctamente el alcance del sistema
El alcance es el factor que más influye en el coste y la complejidad. El error frecuente es intentar certificar toda la organización, o toda la plataforma, sin distinguir qué parte interviene realmente en el servicio prestado.
Un enfoque disciplinado identifica el servicio concreto objeto del contrato, determina qué componentes técnicos intervienen en él, limita el alcance a esos elementos y excluye de forma explícita módulos, entornos y funcionalidades que no participan. En arquitecturas de nube este análisis debe tener en cuenta cómo se aísla a cada cliente en un entorno multicliente, lo que el sector llama multi-tenant, qué servicios son compartidos y qué componentes pertenecen a la plataforma, que es donde se cruzan el diseño de seguridad cloud y la delimitación del alcance.
Acotar el alcance no es esconderse: es hacerlo coincidir con el servicio prestado. El mismo criterio se aplica al revés cuando eres tú quien evalúa el certificado de un proveedor, como explicamos en por qué no todos los certificados ENS son iguales.
Categorizar sin sobredimensionar
La categorización debe basarse en el impacto real de un incidente sobre ese sistema, no en suposiciones conservadoras. El análisis mira la naturaleza de la información tratada, el tipo de servicio prestado y las consecuencias de una pérdida en cada dimensión de seguridad.
Cuando un sistema trata varios tipos de información o presta servicios distintos, cada dimensión toma el nivel más alto que le corresponda por cualquiera de ellos, y la categoría del sistema sigue a la dimensión más exigente. Basta con que una funcionalidad crítica eleve una dimensión para que suba la categoría de todo el sistema. Cuando la arquitectura lo permite, aislar esa funcionalidad en un alcance propio evita arrastrar al resto a una categoría superior; por eso conviene revisar la segmentación antes de cerrar la categorización, no después de haberla firmado.
Qué cambia de verdad entre categoría básica y media
El salto no es solo de cantidad de medidas. Respecto a la categoría básica, la media endurece sobre todo cinco frentes: el control de accesos y la gestión de identidades, el registro y la monitorización de la actividad, la gestión de incidentes, la protección de sistemas y comunicaciones, y la continuidad del servicio. La categoría alta añade un escalón más de exigencia sobre esas mismas áreas.
Muchas de esas medidas se alinean con ISO 27001, aunque el ENS introduce requisitos propios que se evalúan por separado.
Cómo se acredita la conformidad: declaración o certificación
La vía no se elige: la fija la categoría del sistema.
| Categoría | Cómo se acredita | Quién lo verifica |
|---|---|---|
| Básica | Declaración de conformidad | La propia organización, mediante autoevaluación |
| Media | Certificación de conformidad | Entidad de certificación acreditada por ENAC |
| Alta | Certificación de conformidad | Entidad de certificación acreditada por ENAC |
La categoría media es el «nivel medio» del que habla el mercado. La conformidad se revisa de forma periódica, al menos cada dos años.
La consecuencia para un SaaS es directa. Si tu sistema es de categoría media, que es lo habitual, no basta con una autoevaluación: necesitas auditoría de una entidad acreditada, y eso tiene coste, calendario y una fecha de renovación que conviene meter en el plan desde el principio.
Fases de un proyecto de adecuación
- Analizar los requisitos contractuales y determinar si la obligación aplica realmente.
- Delimitar el alcance: qué sistema de información será objeto de certificación.
- Categorizar: valorar el impacto por dimensión y determinar la categoría del sistema.
- Medir las diferencias entre las medidas exigidas para esa categoría y lo que la plataforma ya hace.
- Implantar las medidas técnicas y organizativas que falten.
- Documentar y registrar los controles a medida que se ejecutan, no a posteriori.
- Someterse a la auditoría de una entidad acreditada, cuando la categoría lo exige.
- Cerrar el proceso: obtener el certificado o, en categoría básica, formalizar la declaración de conformidad.
Cuatro errores que salen caros
Dar por hecho que ISO 27001 basta. Los dos marcos se solapan en gobierno y evidencias, y un sistema de gestión ya implantado ahorra muchísimo trabajo, pero el ENS tiene método de categorización y medidas propias.
Dar por hecho que el proveedor de nube lo cubre. Azure o AWS disponen de certificaciones amplias, pero la conformidad se evalúa sobre tu sistema concreto y sobre cómo lo has configurado, operado y evidenciado. Sus certificados son una entrada más de tu expediente; no lo sustituyen.
Sobredimensionar el alcance. Incluir sistemas, entornos o procesos que no forman parte del servicio prestado complica la auditoría y encarece el proyecto, a menudo sin ninguna ganancia comercial.
Dejar las evidencias para el final. Un control que funciona pero no deja registro es, ante el auditor, indistinguible de un control que no funciona.
Por dónde empezar
Si trabajas con la Administración o quieres hacerlo, el orden importa: primero alcance y categoría, después controles. Todo lo demás hereda esas dos decisiones, incluido el precio de la auditoría.
En Hard2bit ayudamos a determinar si el ENS aplica, a delimitar el alcance real y a preparar la acreditación sin inflar el proyecto, dentro de nuestro servicio de adecuación al ENS y de la consultoría de cumplimiento. Lo hemos recorrido antes en nuestro propio sistema, así que las conversaciones sobre alcance y categorización las hemos tenido ya desde el otro lado de la mesa.
Este artículo describe el marco establecido por el Real Decreto 311/2022 y tiene finalidad informativa. El alcance, la categorización y la vía de acreditación dependen de cada contrato y sistema, y conviene confirmarlos con asesoramiento cualificado.
