El Esquema Nacional de Seguridad y su proveedor externo: declaración no es lo mismo que certificación
Equipo editorial de Corpshore España · · 7 min de lectura
En resumen: el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, obliga al sector público español y a los proveedores que le prestan servicios, incluidos los extranjeros. Los sistemas de categoría básica se acreditan con una declaración de conformidad; los de categoría media y alta requieren certificación por entidad acreditada, con auditoría cada dos años.
Si presta o quiere prestar servicios a una administración española, el Esquema Nacional de Seguridad va a aparecer en el pliego. Es una de las primeras cláusulas que filtra proveedores, y la que con más frecuencia se lee mal.
La confusión habitual es tratar declaración de conformidad y certificación como sinónimos. No lo son, y de esa diferencia depende que una oferta sea admisible.
¿A quién obliga el Esquema Nacional de Seguridad?
El Real Decreto 311/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y se aplica al sector público español y también a los proveedores que prestan servicios a ese sector público y que manejan información suya.
Esto último es lo que sorprende a muchas empresas privadas: el ENS no es solo una obligación de la administración, alcanza a quien opera sus sistemas o trata su información. Y alcanza también a proveedores extranjeros, de modo que ubicar el servicio fuera de España no elude la obligación.
En la práctica, el pliego traslada la exigencia: las licitaciones del sector público deben incluir los requisitos necesarios para asegurar el cumplimiento del ENS por parte de los sistemas que soportan el servicio contratado.
¿Cómo se determina la categoría de un sistema?
Hay tres categorías: básica, media y alta. Se determinan según el impacto que tendría un incidente sobre la confidencialidad, la integridad, la disponibilidad, la autenticidad y la trazabilidad de la información y los servicios.
El punto que conviene retener es que la categoría no se elige, se deduce. No es una decisión comercial del proveedor ni una preferencia del órgano de contratación: resulta del análisis de la información tratada y del servicio prestado.
Para un servicio de atención al ciudadano que trata datos identificativos y de tramitación, la categoría suele ser media. Para un servicio que maneja información con impacto alto en caso de incidente, sube. Y la categoría determina el resto de las obligaciones.
¿Qué diferencia hay entre declaración de conformidad y certificación?
Para los sistemas de categoría básica basta una declaración de conformidad, que es una autodeclaración de la propia organización.
Para los sistemas de categoría media y alta hace falta una certificación de conformidad emitida por una entidad de certificación acreditada, y una auditoría de cumplimiento con periodicidad bienal.
La consecuencia comercial es directa. Un proveedor que dice estar alineado con el Esquema Nacional de Seguridad, sin certificación acreditada, puede concurrir a lo que exija categoría básica y no puede concurrir a lo que exija media o alta. Cuando un pliego pide certificación, la declaración propia no la sustituye.
¿Qué debería preguntar a un proveedor?
Pida el documento, no la afirmación. Si el proveedor está certificado, existe un certificado con una entidad emisora, un alcance y una fecha, y puede enseñarlo.
Pregunte por el alcance, que es donde se esconden las sorpresas. Una certificación puede cubrir una parte de la organización o un servicio concreto y no cubrir el servicio que usted va a contratar.
Y pregunte por la fecha de la última auditoría, dado que para categorías media y alta la auditoría es bienal. Un certificado sin auditoría vigente es un problema pendiente de aparecer.
Nosotros aplicamos controles alineados con los requisitos del Esquema Nacional de Seguridad y no disponemos hoy de certificación acreditada, de modo que para un pliego que exija categoría media o alta no seríamos un proveedor admisible por esa vía. Lo decimos aquí porque es mejor saberlo antes de invertir tiempo en una conversación comercial.
¿Y si el servicio se presta desde fuera de España?
La obligación sigue. El Esquema Nacional de Seguridad se aplica a todo proveedor que maneje información del sector público español, con independencia de dónde esté ubicado.
A eso se suma la capa de protección de datos, que es independiente: un pliego puede exigir cumplimiento del ENS y además restringir el tratamiento fuera del Espacio Económico Europeo. Son dos requisitos distintos y hay que cumplir ambos.
Por eso, para trabajo de sector público, el modelo onshore dentro de España o un centro dentro de la Unión Europea simplifican notablemente la conversación, incluso antes de entrar en la certificación.
Este artículo es información general, no asesoramiento jurídico. Trabajamos junto a sus asesores legales, no en su lugar.