Trabajas con una administración pública, ganas un concurso, y en el pliego aparecen tres letras que nadie te había explicado: ENS. Debajo, una exigencia: cumplir el Esquema Nacional de Seguridad en categoría media. Y una pregunta muy legítima: «¿esto va conmigo?». Vamos a responderla sin tecnicismos, para que salgas de aquí sabiendo si te afecta y por dónde empezar.
Qué es el Esquema Nacional de Seguridad
El ENS es la normativa que fija cómo hay que proteger los sistemas de información relacionados con la Administración pública en España. Dicho en corto: es una lista ordenada de medidas de seguridad que las administraciones —y quienes les prestan servicios— tienen que aplicar para tratar la información con garantías.
No es un sello comercial ni una moda: tiene respaldo legal. Su lógica es sencilla y bastante justa: que un servicio público no sea más o menos seguro según quién esté detrás, sino que todos cumplan un mínimo razonable y comprobable.
Por qué hay categorías (y qué significa «media»)
No todo necesita el mismo blindaje. Proteger una web informativa no es lo mismo que gestionar datos de salud o un servicio del que dependen miles de personas. Por eso el ENS clasifica los sistemas en tres categorías: básica, media y alta.
La categoría se decide valorando el daño que causaría un incidente en cinco frentes: confidencialidad (que no lo vea quien no debe), integridad (que no se altere), disponibilidad (que esté cuando se necesita), autenticidad (saber quién hizo qué) y trazabilidad (poder reconstruir lo ocurrido). Cuanto mayor sería el perjuicio, más alta la categoría.
La categoría media es el escalón intermedio y, con diferencia, el más habitual: aplica cuando un fallo causaría un perjuicio apreciable pero no llegaría a ser grave o crítico. Cubre buena parte de los servicios que manejan datos personales o que la ciudadanía usa a diario, sin llegar a los sistemas más sensibles que se reservan a la categoría alta.
¿A quién obliga la categoría media?
Conviene separar dos grupos.
- El sector público: administraciones y organismos están obligados a cumplir el ENS en sus sistemas, con la categoría que toque según el análisis de impacto.
- Las empresas privadas que prestan servicios a la Administración. Y aquí es donde muchas pymes se sorprenden: si desarrollas software para un ayuntamiento, alojas datos de un organismo, gestionas una plataforma para una consejería o le das soporte, es muy probable que el pliego te exija cumplir el ENS. La razón es de sentido común: si tú tratas información pública, tú también debes protegerla igual.
Ejemplo típico: una empresa de 12 personas que mantiene la sede electrónica de una diputación. Trata datos de ciudadanos, así que el contrato le pide ENS en categoría media. No es una anomalía; es el día a día del sector.
Qué implica, a grandes rasgos
Cumplir el ENS no es marcar una casilla. En líneas generales supone tres cosas:
- Analizar los riesgos y clasificar cada servicio en su categoría.
- Aplicar medidas proporcionadas: control de accesos, cifrado, registro de actividad, gestión de incidentes, copias de seguridad y continuidad del servicio.
- Documentar y demostrar que todo eso está en marcha —normalmente con una certificación o declaración de conformidad— y mantenerlo vivo en el tiempo.
Esa última parte, mantenerlo vivo, es la que más trabajo da: la seguridad no es un estado que se alcanza una vez, es un proceso que se revisa y se audita.
Cómo te lo pone más fácil un buen proveedor
La buena noticia: gran parte del esfuerzo del ENS recae en la infraestructura —dónde viven los datos, cómo se protege el correo, cómo se hacen las copias, quién accede y cómo queda registrado—. Si tu proveedor de hosting, correo y copias ya trabaja conforme al ENS en categoría media, heredas buena parte de esas garantías en lugar de construirlas desde cero.
En Solunet trabajamos con infraestructura propia en España y con la seguridad como parte del servicio, no como un extra que se factura aparte. Llevamos 29 años acompañando a pymes y a más de 500 clientes, muchos con exigencias de cumplimiento parecidas a la tuya. Si tienes un pliego sobre la mesa y no sabes por dónde empezar, escríbenos y lo miramos juntos, sin compromiso.
