ENS Esquema Nacional Seguridad

¿Sabías que el 76% de las administraciones públicas españolas han sufrido al menos un incidente de ciberseguridad en los últimos dos años? Y aquí viene lo mejor: la mayoría podría haberse evitado cumpliendo adecuadamente con el ENS. Pero tranquilo, que no voy a soltarte el típico rollo corporativo sobre normativas. Te voy a explicar qué es realmente el ENS esquema nacional seguridad y por qué debería importarte tanto como elegir una buena contraseña para tu Netflix.

El Esquema Nacional de Seguridad (ENS) no es una sugerencia amable del BOE para que «mejoremos un poquito» la seguridad. Es una obligación legal que marca cómo deben proteger su información y sistemas todas las administraciones públicas españolas. Y cuando digo todas, es todas: desde el Ayuntamiento de tu pueblo hasta los ministerios de Madrid.

Qué es exactamente el ENS esquema nacional seguridad

Imagínate que el ENS es como el código de circulación, pero para la ciberseguridad del sector público. Establece las reglas del juego para que todos los organismos públicos protejan adecuadamente:

• Los datos de los ciudadanos que manejan.
• Sus propios sistemas informáticos.
• Los servicios que ofrecen online.
• Las comunicaciones entre administraciones.

El ENS nació del Real Decreto 3/2010, posteriormente actualizado por el Real Decreto 951/2015. No es una norma técnica abstracta: es un marco legal que tiene dientes. Incumplirlo puede acarrear sanciones que van desde los 30.000 hasta los 600.000 euros. Y créeme, el CCN-CERT no está para bromas cuando hace sus auditorías.

Los tres pilares fundamentales del ENS

El ENS se sustenta en tres principios básicos que cualquier responsable IT debería tatuarse en el antebrazo:

1. Seguridad integral: No vale con poner un antivirus y ya está. La seguridad debe cubrir toda la organización.
2. Gestión de riesgos: Identifica qué puede fallar, evalúa el impacto y toma medidas proporcionadas.
3. Prevención, detección y respuesta: Como en Matrix, no basta con esquivar las balas; hay que ver venir al agente Smith.

Quién debe cumplir con el ENS (spoiler: más gente de la que piensas)

Aquí viene una de las partes que más sorprende. El ENS no es solo para ministerios y grandes organismos. Es obligatorio para:

• Toda la Administración General del Estado
• Administraciones autonómicas
• Entidades locales (sí, tu ayuntamiento también)
• Organismos públicos dependientes
• Empresas que prestan servicios a las administraciones públicas

Este último punto es clave. Si tu empresa trabaja con el sector público, es muy probable que tengas que demostrar que cumples con ciertos requisitos del ENS. Es como cuando Netflix te pide que actualices tu tarjeta de crédito: no es opcional.

Las tres categorías del ENS: básica, media y alta

No todos los sistemas son iguales, y el ENS lo sabe. Por eso clasifica los sistemas en tres categorías según su importancia:

Cada categoría tiene requisitos de seguridad más estrictos. Es como los videojuegos: nivel fácil, medio y «prepárate para sufrir».

Las medidas de seguridad del ENS: 75 controles que debes conocer

El ENS establece 75 medidas de seguridad organizadas en 14 familias. Antes de que te entre el pánico, no tienes que implementar todas: depende de la categoría de tu sistema. Pero sí hay algunas que son básicas para todos:

Medidas organizativas fundamentales

• Política de seguridad: Documento formal que establezca las reglas del juego.
• Normativa de seguridad: Procedimientos específicos para cada área.
• Formación y concienciación: Porque el eslabón más débil suele ser humano.
• Gestión de incidentes: Plan para cuando las cosas se tuercen (y se van a torcer).

Medidas técnicas imprescindibles

• Control de acceso: Quién puede hacer qué y cuándo.
• Protección de la información: Cifrado, clasificación, copias de seguridad.
• Seguridad de las comunicaciones: Protección en el transporte de datos.
• Monitorización del sistema: Logs, alertas y análisis continuo.

Según el último informe del CCN-CERT, el 89% de los incidentes en administraciones públicas se podrían haber evitado o mitigado significativamente con estas medidas básicas bien implementadas.

Cómo implementar el ENS sin morir en el intento

Implementar el ENS no es como montar un mueble de IKEA (aunque a veces la documentación sea igual de confusa). Requiere un enfoque sistemático:

Paso 1: Análisis y categorización

Primero, identifica todos tus sistemas y clasifícalos según su criticidad. Es como hacer inventario, pero más importante. Un sistema mal categorizado puede llevarte a implementar medidas insuficientes… o a gastar una fortuna en medidas excesivas.

Paso 2: Análisis de riesgos (obligatorio para categoría media y alta)

Aquí es donde separamos a los profesionales de los amateurs. El análisis de riesgos no es hacer una lista de «cosas malas que pueden pasar». Es un proceso metodológico que identifica:

• Amenazas específicas para tu entorno.
• Vulnerabilidades existentes.
• Impacto real de cada riesgo.
• Medidas de seguridad necesarias.

Paso 3: Plan de adecuación

Con la fotografía clara de dónde estás y dónde necesitas llegar, toca hacer el plan. Y aquí viene un consejo de oro: no intentes hacerlo todo a la vez. Prioriza las medidas según el riesgo y los recursos disponibles.

Paso 4: Implementación y certificación

Para sistemas de categoría media y alta, necesitarás una auditoría externa que certifique el cumplimiento. Es como el examen de conducir: puedes saber manejar, but el papel oficial te lo da otro.

Los errores más frecuentes (y cómo evitarlos)

En mis 25 años viendo implementaciones de seguridad, he visto los mismos errores una y otra vez:

Error 1: Pensar que es solo IT

El ENS no es un problema técnico que se resuelve comprando software. Es un cambio cultural que afecta a toda la organización. Si tu director general no entiende la importancia, estás perdido antes de empezar.

Error 2: Copiar y pegar políticas

He visto políticas de seguridad que mencionan sistemas que la organización no tiene. Es como ponerte el traje de otro: puede que te quede, pero no vas a estar cómodo.

Error 3: Implementar sin formar

Puedes tener la mejor tecnología del mundo, pero si tus usuarios no saben usarla o la ven como un obstáculo, van a encontrar formas de saltársela. Y cuando lo hagan, estarás peor que antes.

El futuro del ENS: hacia dónde vamos

El ENS no es algo estático. El CCN-CERT actualiza regularmente sus guías y requisitos para adaptarse a nuevas amenazas. Las tendencias actuales incluyen:

• Mayor énfasis en la ciberseguridad por diseño.
• Integración con marcos internacionales como ISO 27001.
• Requisitos específicos para cloud computing.
• Medidas adicionales para inteligencia artificial y IoT.

El último borrador de actualización del ENS incluye 12 medidas nuevas relacionadas específicamente con tecnologías emergentes. No es casualidad: el 34% de los incidentes en 2023 estuvieron relacionados con servicios cloud mal configurados.

Cumplir con el ENS: inversión, no gasto

Sé que implementar el ENS requiere recursos: tiempo, dinero, esfuerzo. Pero piénsalo como un seguro de vida para tu organización. El coste medio de un incidente de ciberseguridad para una administración pública española está en 1.2 millones de euros, según el último informe de IBM.

Además, cumplir con el ENS te abre puertas. Muchas licitaciones públicas ya incluyen requisitos de ciberseguridad basados en el esquema. Es tu pasaporte para competir en igualdad de condiciones.

Implementar el ENS correctamente no es tarea fácil, pero tampoco es imposible. Requiere conocimiento específico, experiencia práctica y, sobre todo, un enfoque que entienda que la seguridad es cosa de personas, no solo de tecnología. En servicios-ciberseguridad hemos acompañado a decenas de organizaciones en este proceso, desde ayuntamientos hasta organismos autonómicos.

Si algo de lo que has leído te ha llamado la atención, o si tienes dudas sobre cómo aplicar el ENS en tu organización, conversemos. Al final, la ciberseguridad pública es responsabilidad de todos, y entre todos la hacemos mejor.