ENS nivel Básico: guía práctica para proveedores públicos

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es el marco de referencia obligatorio para todas las administraciones públicas españolas y, por extensión, para las empresas que colaboran con ellas. Si vendes al sector público o quieres hacerlo, el ENS te afecta directamente.

En esta guía nos centramos en el nivel Básico, el más habitual para pymes y proveedores pequeños, y el que menos carga documental conlleva.

1. Qué es el ENS y a quién obliga

El ENS establece los principios básicos y los requisitos mínimos de seguridad que deben cumplir los sistemas de información del sector público y de sus proveedores tecnológicos.

Obliga a:

• Todas las administraciones públicas (estatal, autonómica, local).
• Los proveedores que presten servicios a esas administraciones.
• Las entidades del sector público institucional.

2. Los tres niveles de seguridad

El ENS define tres niveles según el impacto que tendría un incidente de seguridad:

La mayoría de pymes proveedoras del sector público se encuentran en nivel Básico.

3. La Declaración de Conformidad

En nivel Básico, el ENS no exige una auditoría externa acreditada. Lo que exige es una Declaración de Conformidad: un documento en el que la propia entidad declara que cumple con las medidas del Anexo II del RD 311/2022.

La declaración:

• La firma el responsable de seguridad de la entidad.
• Debe estar fechada y disponible para la administración contratante.
• Puede ser requerida en el pliego o durante la ejecución del contrato.

Ojo: la Declaración de Conformidad no es un simple papel. Detrás debe haber evidencia real de que las medidas están implantadas y funcionan. La administración puede pedir documentación de soporte.

4. Medidas técnicas del Anexo II

El Anexo II del ENS detalla las medidas a implantar. Muchas de ellas tienen una traducción técnica directa en la seguridad de tu web y de tu correo. Estas son las más relevantes para un proveedor que opera online:

4.1. Protección de las comunicaciones

• Cifrado en tránsito: HTTPS con TLS 1.2 o superior.
• Certificado SSL válido y renovación automática.
• HSTS activo para forzar HTTPS.

4.2. Protección perimetral

• Sin ficheros sensibles expuestos (ficheros .env, .git, backups, dumps SQL).
• Sin puertos peligrosos abiertos (SSH, RDP, bases de datos accesibles desde Internet).
• WAF o cortafuegos que filtre tráfico malicioso.

4.3. Protección de la información

• Cabeceras HTTP de seguridad: CSP, X-Frame-Options, X-Content-Type-Options.
• Cookies seguras: flags Secure, HttpOnly y SameSite.
• Sin versiones expuestas de software, CMS o servidor web.

4.4. Autenticidad del correo

• SPF configurado.
• DKIM firmando los mensajes.
• DMARC con política de rechazo o cuarentena.

4.5. Protección del DNS

• DNSSEC activo para proteger la integridad de las respuestas DNS.
• Registros DNS bien configurados.

5. Cómo preparar tu ENS Básico

Un plan de trabajo realista para una pyme proveedora del sector público:

1. Diagnóstico inicial: mide tu postura técnica actual. Empieza por lo visible desde fuera.
2. Inventario de activos: qué sistemas, aplicaciones, datos y servicios tienes.
3. Análisis de riesgos: identifica amenazas y valora el impacto.
4. Plan de adecuación: aplica las medidas del Anexo II por orden de impacto.
5. Documentación: políticas, procedimientos, registro de incidentes.
6. Declaración de Conformidad: redacta y firma el documento.
7. Mantener y mejorar: re-evaluar periódicamente, adaptarse a cambios.

6. Conclusión

El ENS nivel Básico no es tan exigente como los niveles Medio y Alto, pero sí obliga. Y aunque la Declaración de Conformidad es una autoevaluación, requiere evidencia real de que las medidas están implantadas.

El mejor punto de partida sigue siendo el mismo: medir. Un diagnóstico externo objetivo te dice dónde estás y qué te falta para alinearte con las medidas del Anexo II.