Diagnóstico y categorización
Analizamos qué información tratas para la Administración y qué impacto tendría un incidente. Con eso fijamos tu categoría (básica, media o alta), que determina cuántas medidas tienes que aplicar.
Plan de adecuación
Comparamos tu situación actual con lo que exige el ENS y te entregamos un plan con prioridades, plazos y responsables. Si ya trabajas con la ISO 27001, aprovechamos todo lo que tienes hecho. Si necesitas apoyo continuado, te asignamos un consultor experto en el ENS.
Implantación de medidas
Ponemos en marcha los controles técnicos y organizativos: políticas, gestión de accesos, copias de seguridad, registro de actividad y respuesta a incidentes, con vigilancia continua si tu categoría lo requiere.
Preparación de la auditoría
Revisamos la documentación, hacemos una auditoría interna previa y te acompañamos en la auditoría de certificación, para que los hallazgos se resuelvan antes y no después.
El método Apen: cómo funciona
- Diagnóstico: revisamos tus sistemas y los servicios que prestas a la Administración.
- Categorización: determinamos si te corresponde la categoría básica, media o alta.
- Plan de adecuación: te entregamos las medidas pendientes, ordenadas por prioridad.
- Implantación: aplicamos los controles y redactamos la documentación exigida.
- Auditoría y seguimiento: te acompañamos en la auditoría y en las revisiones periódicas.
Nuestro equipo técnico lleva más de 35 años resolviendo la seguridad de pymes del Vallès y de Barcelona, así que conocemos los plazos y los recursos reales de una empresa de tu tamaño.
Qué es el Esquema Nacional de Seguridad y a quién obliga
El ENS está regulado por el Real Decreto 311/2022, de 3 de mayo, publicado en el BOE el 4 de mayo de 2022. Obliga a todo el sector público y a las empresas privadas que le prestan servicios o le suministran soluciones. Si licitas o gestionas sistemas o datos para un organismo público, ya forma parte de tus requisitos de contratación.
La norma clasifica los sistemas en tres categorías: básica, media y alta. En la categoría básica basta con una autoevaluación y una declaración de conformidad. En las categorías media y alta hace falta superar una auditoría y obtener la certificación de conformidad, y esa auditoría se repite como mínimo cada dos años. Los sistemas que ya existían antes del real decreto tenían 24 meses para adaptarse, un plazo que terminó en mayo de 2024. Las medidas concretas están en el anexo II del real decreto y se agrupan en tres bloques: marco organizativo, marco operacional y medidas de protección.
La obligación no se queda en quien firma el contrato. El artículo 2.3 del real decreto establece que los pliegos incluyan los requisitos para asegurar la conformidad de los sistemas del contratista, como la declaración o la certificación, y extiende esa cautela a su cadena de suministro cuando sea necesario. Si trabajas como subcontratista de una empresa que da servicio a un organismo público, también te lo pueden pedir. Conviene saberlo con tiempo: la categoría básica se resuelve con una autoevaluación, pero la media y la alta exigen una auditoría externa y necesitan más margen.
Adaptarse al ENS no es solo un trámite para poder licitar. Las medidas que exige protegen frente a los incidentes más habituales, como el ransomware o el robo de credenciales, y refuerzan la ciberseguridad de tu empresa ante clientes públicos y privados. Además, muchas de ellas coinciden con las que pide la directiva NIS2 a los sectores clave. Si quieres saber en qué punto estás, llámanos al 938 606 220 o pide tu diagnóstico gratuito y te diremos qué categoría te corresponde y qué te falta para cumplir.
