- A quién obliga
- Administraciones públicas y entidades del sector público + sus proveedores tecnológicos.
- Sanción máxima
- No sancionable directamente (efectos contractuales LCSP)
- En vigor desde
- 05/05/2022 (publicado en el BOE el 04/05/2022)
- Autoridad
- CCN-CERT (Centro Criptológico Nacional)
ENS, en claro.
Marco de seguridad obligatorio para el sector público español y para los proveedores privados que le prestan servicios (art. 2.3). Categoriza los sistemas en Básica, Media y Alta. Imprescindible para vender a las administraciones. El anexo II recoge 73 medidas de seguridad: 4 del marco organizativo, 33 del marco operacional y 36 medidas de protección.
Estado en ÆGIS: activo. Flujo completo: evaluación guiada que detecta tus obligaciones, plantillas de documento que se rellenan con tus datos para que las revises, y el asistente, que cita el artículo de cada respuesta y comprueba si ese artículo está en la base normativa. Disponible en la plataforma.
Obligaciones y artículos clave
El asistente cita estos puntos por su artículo. 11 referencias cargadas en el motor — muestra de 4.
-
Art. 40 + Anexo II
Niveles BÁSICO / MEDIO / ALTO
Los sistemas se categorizan según el impacto en las dimensiones de seguridad: BÁSICO si el perjuicio causado por incidentes es limitado, MEDIO si es grave, ALTO si es muy grave. La categorización determina las medidas mínimas exigibles del Anexo II. Las medidas se distribuyen en marco organizativo, marco operacional y medidas de protección.
-
ENS Anexo I · Dimensiones
Cinco dimensiones de seguridad de la información
Las dimensiones del ENS son: CONFIDENCIALIDAD (acceso solo por autorizados), INTEGRIDAD (que no se altere), DISPONIBILIDAD (acceso y uso cuando se requiera), AUTENTICIDAD (que la identidad declarada del autor o del solicitante sea genuina), TRAZABILIDAD (que las actuaciones de una entidad puedan ser imputadas exclusivamente a dicha entidad). Cada dimensión afectada se adscribe a un nivel BAJO, MEDIO o ALTO según el impacto que un incidente tendría sobre la organización, sus activos o los individuos.
-
Art. 38
Auditoría de la seguridad
Los sistemas de categoría MEDIA y ALTA serán objeto de auditoría regular ordinaria, al menos cada dos años, con auditoría extraordinaria ante modificaciones sustanciales. Los sistemas de categoría BÁSICA podrán optar entre auditoría o autoevaluación. El resultado se incorpora al expediente de seguridad del sistema.
-
ENS Anexo I · Niveles
Determinación del nivel BAJO / MEDIO / ALTO
BAJO: el perjuicio es limitado (reducción apreciable de capacidad, daño menor en activos, incumplimiento formal subsanable de una ley). MEDIO: perjuicio grave (reducción significativa, daño significativo en activos, incumplimiento material de ley o regulación, perjuicio significativo a un individuo). ALTO: perjuicio muy grave (anulación de la capacidad, daño muy grave o irreparable, incumplimiento grave de ley o regulación, perjuicio grave a algún individuo de difícil o imposible reparación).
Qué puedes hacer con este marco en ÆGIS
EVALUACIÓN INTERACTIVA
Árbol de decisión guiadoUn cuestionario adaptativo determina qué obligaciones de ENS aplican a cada cliente y detecta sus brechas. El resultado alimenta los documentos y el universo de controles.
Solicita una demoDOCUMENTOS QUE GENERA · 3
Borradores con tus datos, para que los revises- Análisis de Riesgos (ENS)
- Declaración de Aplicabilidad de Medidas (ENS)
- Política de Seguridad de la Información (ENS)
Cruces con otros marcos
Estos marcos comparten obligaciones convergentes con ENS. El agente las razona como un sistema, no como silos.
¿Qué más te exige la ley? Míralo con el artículo al lado.
Responde unas preguntas y te decimos qué te aplica, con el artículo concreto. Gratis y sin registro.
¿Una duda concreta sobre ENS? Pregúntale a Atlas: responde citando el artículo.