¿Qué es el Esquema Nacional de Seguridad (ENS) y por qué es crucial para la ciberseguridad pública en España?
Esquema Nacional de Seguridad (ENS) se posiciona como el marco legal y técnico fundamental para proteger la información manejada por las administraciones públicas en España.
En el contexto actual, donde los ciberataques a entidades públicas son cada vez más frecuentes y sofisticados, el Esquema Nacional de Seguridad (ENS) se posiciona como el marco legal y técnico fundamental para proteger la información manejada por las administraciones públicas en España.
¿Qué es el ENS?
El ENS es un conjunto de principios, requisitos y medidas de seguridad obligatorias que deben cumplir todas las entidades del sector público —y también empresas que colaboren con ellas— para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y los servicios digitales.
Fue creado mediante el Real Decreto 3/2010, modificado posteriormente en el Real Decreto 311/2022, para adaptarlo a las nuevas amenazas y al Reglamento General de Protección de Datos (RGPD).
Estructura del ENS: cómo se organiza
El Esquema se articula en torno a tres pilares fundamentales:
- Principios básicos: alineados con los estándares ISO/IEC 27001 e ISO/IEC 27002.
- Requisitos mínimos de seguridad: aplicables a todos los sistemas de información.
- Medidas de seguridad organizativas, operacionales y técnicas, organizadas en tres niveles: básico, medio y alto, según el grado de criticidad del sistema evaluado.
Además, exige la existencia de un responsable de la seguridad y un Plan de Adecuación al ENS, con revisión y auditoría externa obligatoria cada dos años.
¿Qué implica cumplir con el ENS?
Implementar el ENS no es un trámite simbólico, sino un proceso que implica:
- Evaluación del riesgo de los sistemas de información.
- Clasificación de activos y servicios.
- Aplicación de controles técnicos como el cifrado, autenticación fuerte, backups, segmentación de red, etc.
- Formación y concienciación del personal.
- Registro de incidentes y respuesta ante brechas de seguridad.
- Auditorías periódicas por un tercero independiente.
¿Por qué tantos ayuntamientos no lo cumplen?
El principal obstáculo es el coste económico y operativo: entre 2 y 3 millones de euros para ayuntamientos grandes, sin contar el gasto de mantenimiento y renovación de certificados. Pero el mayor problema es la falta de conciencia y voluntad política: en muchos municipios, la ciberseguridad no se percibe como prioritaria.
¿Qué riesgos supone ignorar el ENS?
- Filtraciones de datos personales de ciudadanos.
- Ataques ransomware que paralizan servicios municipales.
- Sanciones económicas (en el futuro cercano).
- Pérdida de subvenciones europeas por incumplimiento de normativa digital.
- Daño reputacional e institucional.
¿Qué se puede hacer?
- Impulsar la concienciación desde las alcaldías y los responsables TIC.
- Buscar soluciones escalables y ajustadas a los recursos del municipio.
- Colaborar con proveedores especializados en cumplimiento ENS.
- Fomentar la formación en ciberseguridad en el sector público.