En el contexto actual, donde los ciberataques a entidades públicas son cada vez más frecuentes y sofisticados, el Esquema Nacional de Seguridad (ENS) se posiciona como el marco legal y técnico fundamental para proteger la información manejada por las administraciones públicas en España.

¿Qué es el ENS?

El ENS es un conjunto de principios, requisitos y medidas de seguridad obligatorias que deben cumplir todas las entidades del sector público —y también empresas que colaboren con ellas— para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y los servicios digitales.

Fue creado mediante el Real Decreto 3/2010, modificado posteriormente en el Real Decreto 311/2022, para adaptarlo a las nuevas amenazas y al Reglamento General de Protección de Datos (RGPD).

Estructura del ENS: cómo se organiza

El Esquema se articula en torno a tres pilares fundamentales:

1. Principios básicos: alineados con los estándares ISO/IEC 27001 e ISO/IEC 27002.
2. Requisitos mínimos de seguridad: aplicables a todos los sistemas de información.
3. Medidas de seguridad organizativas, operacionales y técnicas, organizadas en tres niveles: básico, medio y alto, según el grado de criticidad del sistema evaluado.

Además, exige la existencia de un responsable de la seguridad y un Plan de Adecuación al ENS, con revisión y auditoría externa obligatoria cada dos años.

¿Qué implica cumplir con el ENS?

Implementar el ENS no es un trámite simbólico, sino un proceso que implica:

• Evaluación del riesgo de los sistemas de información.
• Clasificación de activos y servicios.
• Aplicación de controles técnicos como el cifrado, autenticación fuerte, backups, segmentación de red, etc.
• Formación y concienciación del personal.
• Registro de incidentes y respuesta ante brechas de seguridad.
• Auditorías periódicas por un tercero independiente.

¿Por qué tantos ayuntamientos no lo cumplen?

El principal obstáculo es el coste económico y operativo: entre 2 y 3 millones de euros para ayuntamientos grandes, sin contar el gasto de mantenimiento y renovación de certificados. Pero el mayor problema es la falta de conciencia y voluntad política: en muchos municipios, la ciberseguridad no se percibe como prioritaria.

¿Qué riesgos supone ignorar el ENS?

• Filtraciones de datos personales de ciudadanos.
• Ataques ransomware que paralizan servicios municipales.
• Sanciones económicas (en el futuro cercano).
• Pérdida de subvenciones europeas por incumplimiento de normativa digital.
• Daño reputacional e institucional.

¿Qué se puede hacer?

• Impulsar la concienciación desde las alcaldías y los responsables TIC.
• Buscar soluciones escalables y ajustadas a los recursos del municipio.
• Colaborar con proveedores especializados en cumplimiento ENS.
• Fomentar la formación en ciberseguridad en el sector público.