Una entidad pública nos pide cumplir con el ENS: ¿qué es y cómo se acredita en España?

Si el pliego no especifica el nivel, pide una aclaración formal inmediatamente por el portal de contratación. Si dicen que es básico, puedes rellenar el checklist estándar de la plataforma del CCN y registrar tu sistema sin pagar ni un euro a auditores externos. Manda la pregunta ya mismo para no perder tiempo.

El año pasado nos presentamos a un contrato público de 110.000 EUR en Valencia. Peditan ENS Medio. Ya teníamos la ISO 27001 montada, pero cubrir las brechas y pasar la auditoría nos llevó 3 meses enteros. Pagamos 8.500 EUR a la certificadora acreditada y unos 4.000 EUR en consultoría.

En la parte técnica, la gran diferencia respecto a la ISO son las guías CCN-STIC. Tienes que usar exclusivamente algoritmos de cifrado aprobados por el Centro Criptológico Nacional, integrar la notificación de incidentes con la plataforma pública de respuesta y exigir autenticación multifactor a todos los administradores del sistema.

Ni se te ocurra caer en el error de pensar "tenemos la ISO, la metemos en la carpeta y la administración la da por buena". En licitaciones públicas, las ofertas sin certificación o declaración de conformidad con el ENS se excluyen directamente en la mesa administrativa, ni abren el sobre técnico.

Esta es la hoja de ruta que deberías seguir: 1) Aclara por escrito la categoría del ENS con el órgano de contratación. 2) Descárgate las guías de la serie CCN-STIC 800 y haz un análisis de brechas sobre tu ISO actual. 3) Si es básico, prepara la autodeclaración; si es medio, pide presupuestos urgentes a entidades acreditadas por ENAC.

la burocracia española es super estricta con esto por desgracia... bueno nosotros en un ayuntamiento nos salvamos por los pelos presentando la declaración del nivel básico la auditoría externa no llegaba a tiempo ni de coña.

Cabe señalar que con el Real Decreto actualizado en 2022 se reajustaron los requisitos del ENS para proveedores cloud. Comprobar que el proveedor de nube donde alojas tu infraestructura también cuenta con certificación ENS te facilitará enormemente la auditoría.

La discusión se ha dispersado, voy a ordenarla. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. El error cometido por esquema nacional de seguridad suele ser reversible, pero caro.

Espero que le sea útil.

Estoy de acuerdo.

Hay tres cosas que revisar al hacer esto. El error cometido por esquema nacional de seguridad suele ser reversible, pero caro.

También me gustaría saber si alguien lo hace de otra manera.

Estoy siguiendo esto. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Lo probaré. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Si no lo pones por escrito desde el principio, luego surgen discusiones. También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias.

rara vez se encuentra un texto que lo explique tan claro... si intentas cambiarlo todo a la vez, nada termina de asentarse.

tmabién me gustaría saber si alguien lo hace de otra manera.

Llevé mucho tiempo con este asunto. El tiempo que tardas en detectar un problema determina directamente su coste.

Si tenéis dudas, escribid os responderé en la medida de lo posible.

Este enfoque tiene un coste y no se habla de ello. El error cometido por esquema nacional de seguridad suele ser reversible, pero caro.

Si no lo pones por escrito desde el principio luego surgen discusiones. Ánimo.

Lo que voy a preguntar sonará un poco novato, perdonadme. Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

Esta es mi opinión no lo escribo como una verdad absoluta.