Adecuación al ENS paso a paso: el proceso completo
Adecuarse al Esquema Nacional de Seguridad no es rellenar un formulario ni comprar un certificado. Es un proyecto con fases definidas que termina, en las categorías Media y Alta, con una auditoría independiente. Conocer el recorrido de antemano te permite planificar plazos, presupuesto y recursos internos sin sorpresas. Esta guía desglosa cada fase tal como se ejecuta en una pyme tecnológica.
¿Cuáles son las fases de la adecuación al ENS?
Organizamos el proyecto como un ciclo de mejora continua, en la línea de planificar, hacer, verificar y actuar que usan la mayoría de sistemas de gestión (ISO 27001 incluida). No es una exigencia del ENS ni del CCN en sí misma: es la forma en la que estructuramos el trabajo para que cada fase se apoye en la anterior.
Fase 1: alcance y categorización del sistema
Se identifica qué servicios y sistemas de información entran dentro del alcance, y se categoriza el sistema según las cinco dimensiones de seguridad del ENS. El resultado es el nivel (Básica, Media o Alta) que marca todo lo que viene después. Lo desarrollamos en las categorías del ENS.
Fase 2: declaración de aplicabilidad y análisis de riesgos
Con el sistema categorizado, se elabora la Declaración de Aplicabilidad: qué medidas del Anexo II aplican según la categoría. Sobre esa base se realiza el análisis de riesgos, que permite priorizar qué medidas son más urgentes y ajustar el nivel de exigencia de cada una.
El rigor de este análisis depende de la categoría: en Básica suele bastar un análisis informal, en Media un análisis semiformal. En categoría Alta, que es donde solemos trabajar, lo hacemos siempre de forma formal con MAGERIT, la metodología de referencia del CCN, y con PILAR, la herramienta oficial que la automatiza: calcula el riesgo real de cada activo y genera los informes que los auditores esperan ver, con las salvaguardas mapeadas directamente contra el Anexo II. La licencia de PILAR es independiente y debe adquirirla el cliente si quiere modificar el análisis en el futuro. Trabajar con este rigor desde el primer día evita el problema más común que vemos en proyectos que llegan a nosotros a medio hacer: un análisis de riesgos desconectado del plan de mejora, que no aguanta la primera pregunta seria del auditor.
Esta fase se cierra con la validación del perfil de cumplimiento y el Plan de Adecuación: el documento maestro que recoge, control por control, qué hay que hacer.
Fase 3: marco normativo e implantación de medidas
Se redacta el mapa normativo y las políticas y procedimientos de seguridad, empezando por la Política de Seguridad que aprueba la dirección. En paralelo se implantan las medidas técnicas del Anexo II. En categoría Alta, el marco normativo se amplía con puntos que en Básica o Media no suelen hacer falta: gestión de terceros, gestión de cambios, personal, soportes, desarrollo seguro y calificación de la información, además de un análisis de la cadena de suministro sobre los proveedores críticos. También es habitual incorporar aquí el Análisis de Impacto (BIA) y los planes de continuidad de negocio y recuperación técnica (BCP y DRP), con sus pruebas periódicas. La fase termina cuando el Comité de seguridad aprueba formalmente todo el marco.
Fase 4: auditoría interna y plan de acciones correctivas
Un equipo independiente del que ha hecho la implantación audita internamente el sistema y genera un plan de acciones correctivas (PAC) con lo que quede pendiente. Cerrado el PAC, el sistema está listo para la auditoría externa.
Auditoría de certificación: ya fuera de nuestro ciclo
En categorías Media y Alta, una entidad certificadora acreditada por ENAC realiza la auditoría externa y emite la Certificación de Conformidad. En Básica basta con una Declaración de Conformidad por autoevaluación, sin auditor externo. Esta parte no la hacemos nosotros: acompañamos al cliente durante el proceso, pero los honorarios de la certificadora corren por su cuenta y son independientes de nuestro servicio.
¿Quién participa en cada fase?
No todo el trabajo lo hace la consultora externa. La dirección tiene que aprobar la política de seguridad y asumir el compromiso formal con el proyecto desde la Fase 1; sin ese respaldo, es fácil que las medidas se queden en el papel. El responsable de sistemas o TI es quien más horas dedica en las Fases 3 a 5, porque conoce los sistemas reales y tiene que validar cómo se implementan las medidas técnicas. Los responsables de otros departamentos (recursos humanos, administración) entran sobre todo en la Fase 1 y la 4, aportando información sobre procesos que también quedan dentro del alcance, como la gestión de accesos de personal.
La consultora externa aporta la metodología, redacta la documentación y guía el proyecto, pero no puede sustituir el conocimiento interno de cómo funciona realmente la empresa. Y el auditor de certificación es siempre una entidad distinta e independiente de la consultora, algo que la norma exige expresamente.
¿Qué hay que tener listo antes de empezar?
Antes de arrancar la Fase 1, conviene tener claro el alcance que se quiere certificar: qué servicios, sistemas y ubicaciones entran dentro del proyecto. También ayuda reunir de antemano cualquier documentación de seguridad que ya exista (políticas, inventarios de activos, análisis previos), aunque esté desactualizada, porque acelera mucho el análisis diferencial.
Y conviene tener asignado, aunque sea a tiempo parcial, a la persona interna que va a ser el punto de contacto del proyecto. Los proyectos que más se alargan suelen ser los que dependen de una sola persona que también tiene que atender el día a día del negocio sin tiempo reservado para el ENS.
¿Cuánto se tarda en completar la adecuación?
Un proyecto completo suele durar entre 4 y 9 meses en una pyme con un punto de partida razonable, y hasta 12 meses partiendo de cero. El plazo lo marcan sobre todo la categoría, el alcance y tu madurez previa en seguridad.
Puedes ver cómo se traduce todo esto en inversión en cuánto cuesta el ENS, y el marco general en la guía del Esquema Nacional de Seguridad.
Planifica tu proyecto de adecuación con nosotros
Cuéntanos en qué punto está tu empresa hoy y qué categoría necesitas. Te devolvemos una hoja de ruta con fases, plazo y qué recursos internos vas a necesitar, para que puedas planificar con tu equipo desde el primer día.
Por un análisis diferencial (GAP) que mide la distancia entre tu situación actual y los requisitos del ENS. De ahí sale el alcance real del proyecto y una estimación fiable de plazo y coste.
Solo para las categorías Media y Alta, que requieren certificación por una entidad acreditada por ENAC. La categoría Básica se acredita mediante una Declaración de Conformidad por autoevaluación.
Es la metodología de análisis y gestión de riesgos de referencia en el sector público español. Se usa habitualmente en la fase de análisis de riesgos del ENS para identificar activos, amenazas y medidas prioritarias.
La certificación de conformidad ENS tiene una validez de dos años e incluye una auditoría de seguimiento anual. Al término del periodo debe renovarse con una nueva auditoría completa.
No. La norma exige que la entidad que audita y certifica sea independiente de quien ha ayudado a implantar las medidas, precisamente para garantizar que la verificación es objetiva.