El Esquema Nacional de Seguridad fija medidas para proteger los sistemas y la información del sector público

Qué dice, en claro

Resumen generado con IA. Puede contener errores: el texto que vale es el publicado en el BOE. Cómo se hacen los resúmenes.

La norma es muy larga: esta explicación se hizo con su parte principal, sin anexos ni tablas.

La norma establece principios y requisitos de seguridad para proteger la información y los servicios digitales de las entidades públicas. También se aplica a empresas privadas que prestan servicios o suministran soluciones a estas entidades.

A quién afecta

• Entidades de todo el sector público
• Entidades privadas que, mediante una relación contractual, prestan servicios o proveen soluciones a entidades del sector público
• Responsables y personal que intervienen en los sistemas de información incluidos en el ámbito de la norma

Qué cambia

• Actualiza los principios y requisitos mínimos para proteger la información y los servicios digitales.
• Exige gestionar los riesgos de forma continua y aplicar medidas proporcionadas a esos riesgos.
• Establece medidas para controlar accesos, proteger instalaciones e información, gestionar incidentes y mantener la continuidad de la actividad.
• Prevé auditorías regulares de seguridad al menos cada dos años y auditorías extraordinarias ante modificaciones sustanciales que puedan afectar a las medidas de seguridad.
• Los sistemas de categoría MEDIA o ALTA necesitan una auditoría para certificar su conformidad; los de categoría BÁSICA requieren una autoevaluación.
• Permite perfiles de cumplimiento específicos y sustituir medidas por otras compensatorias si se justifica documentalmente que protegen igual o mejor.
• Los sistemas existentes deben alcanzar su plena adecuación en veinticuatro meses; los nuevos aplican la norma desde su concepción.

Qué hay que hacer

• Las entidades afectadas deben adoptar las medidas de seguridad que correspondan a los riesgos y a la categoría de sus sistemas.
• Las entidades privadas afectadas deben contar con una política de seguridad y cumplir los requisitos del ENS para los servicios o soluciones que proporcionan.
• Los sistemas existentes deben alcanzar la plena adecuación al ENS en veinticuatro meses y exhibir el distintivo de conformidad correspondiente.
• Los sistemas de categoría MEDIA o ALTA deben someterse a una auditoría para certificar su conformidad; los de categoría BÁSICA deben realizar una autoevaluación.

Plazos

• Veinticuatro meses para que los sistemas existentes alcancen su plena adecuación al ENS.
• Auditoría regular ordinaria al menos cada dos años; el plazo puede extenderse durante tres meses si concurren impedimentos de fuerza mayor no imputables a la entidad.
• Los sistemas nuevos aplican lo establecido en el real decreto desde su concepción.