ENS e ISO 27001: dos marcos, un solo sistema de seguridad

Claves para integrar el Esquema Nacional de Seguridad y la norma ISO/IEC 27001 sin duplicar esfuerzos

Hace no tanto, el Esquema Nacional de Seguridad era una cuestión casi exclusiva de ministerios, ayuntamientos y universidades. Hoy esa imagen ya no se corresponde con la realidad.

Según los datos que publica el Centro Criptológico Nacional en el portal del ENS, el número de entidades privadas certificadas (más de 1.800) supera ya al de organismos públicos (en torno a 1.450).

El ENS se ha convertido, de hecho, en un requisito de mercado para cualquier empresa que quiera trabajar con la Administración.

Muchas de esas empresas llegan al ENS con un certificado ISO/IEC 27001 bajo el brazo, o se plantean obtener ambos a la vez. Y casi todas se hacen la misma pregunta: ¿estamos hablando de dos proyectos distintos o de uno solo?

La respuesta corta es que, bien planteados, pueden y deben ser un único sistema de seguridad. La respuesta larga exige entender en qué se parecen y, sobre todo, en qué se diferencian.

Dos marcos con una lógica distinta

Aunque persiguen el mismo fin, proteger la información y los servicios, ENS e ISO 27001 parten de lugares diferentes. La ISO/IEC 27001 es una norma internacional de adopción voluntaria que define los requisitos de un sistema de gestión de seguridad de la información (SGSI). Su núcleo es la gestión del riesgo: la organización identifica sus riesgos y selecciona los controles del Anexo A que necesita para tratarlos, justificándolo en la Declaración de Aplicabilidad.

El ENS, regulado por el Real Decreto 311/2022, es una norma jurídica de obligado cumplimiento. Se aplica a todo el sector público y, según su artículo 2, también a las entidades privadas que presten servicios o provean soluciones a entidades públicas para el ejercicio de sus competencias. Además, los pliegos de contratación deben exigir la conformidad con el ENS, exigencia que puede extenderse a la cadena de suministro.

La diferencia de enfoque es relevante. En ISO 27001 la organización decide qué controles aplicar a partir de su análisis de riesgos. En el ENS, en cambio, la categoría del sistema (BÁSICA, MEDIA o ALTA) determina un conjunto mínimo de medidas del Anexo II. El análisis de riesgos sirve para reforzarlas o complementarlas, y solo pueden sustituirse por medidas compensatorias que protejan igual o mejor, justificándolo en la Declaración de Aplicabilidad (artículo 28).

Lo que el certificado ISO 27001 no cubre

Uno de los errores más frecuentes es suponer que una empresa certificada en ISO 27001 ya cumple con el ENS, o que bastará con un trámite documental para obtenerlo. La correspondencia entre ambos marcos es amplia, pero no total. Hay requisitos propios del ENS que un SGSI convencional no suele contemplar:

• Categorización de los sistemas. El ENS exige valorar el impacto de un incidente sobre cinco dimensiones (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad) para determinar la categoría, conforme a los artículos 40 y 41 y al Anexo I. La trazabilidad y la autenticidad, en particular, suelen quedar en un segundo plano en los SGSI.
• Roles definidos por la norma. El ENS identifica responsables de la información, del servicio, de la seguridad y del sistema, y exige diferenciar la responsabilidad de la seguridad de la de la explotación del sistema. ISO 27001 deja más libertad en la asignación de funciones.
• Medidas con nivel de detalle técnico. El Anexo II del ENS concreta medidas y refuerzos (autenticación, registro de actividad, protección de las comunicaciones, etc.) que van más allá de la formulación más genérica de muchos controles del Anexo A.
• Notificación de incidentes. El ENS obliga a notificar los incidentes con impacto significativo (artículo 33): las entidades públicas, al CCN-CERT, y las empresas privadas que les prestan servicios, al INCIBE-CERT.
• Publicidad de la conformidad. El artículo 38 obliga a publicar las declaraciones y certificaciones de conformidad en los portales o sedes electrónicas, algo que la certificación ISO no exige.

También cambian los ritmos. El ENS exige una auditoría ordinaria al menos cada dos años (artículo 31), además de auditorías extraordinarias ante cambios sustanciales, mientras que ISO 27001 se rige por un ciclo de certificación de tres años con auditorías de seguimiento anuales. Y el objeto de la certificación también varía: ISO certifica un sistema de gestión; el ENS certifica sistemas de información y los servicios que soportan.

La siguiente tabla resume las principales diferencias entre ambos marcos:

Tabla 1. ENS e ISO 27001: comparativa de los dos marcos

Integrar, no duplicar

Que existan diferencias no significa que haya que construir dos sistemas paralelos. La experiencia demuestra que la vía más eficiente es diseñar un único sistema de gestión que satisfaga ambos marcos. En la práctica, esto se traduce en varias decisiones concretas:

• Un único análisis de riesgos, con una metodología válida para ambos marcos (MAGERIT y la herramienta PILAR encajan de forma natural en el ENS y son plenamente admisibles para ISO 27001).
• Una Declaración de Aplicabilidad integrada, que relacione cada medida del Anexo II del ENS con los controles equivalentes del Anexo A de ISO 27001. La guía CCN-STIC 825 es un buen punto de partida para esta correspondencia.
• Una sola política de seguridad, aprobada por la dirección, que cumpla a la vez los contenidos mínimos que exige el ENS y los requisitos del apartado 5.2 de la norma ISO.
• Alcances coherentes. Conviene que el alcance del SGSI y los sistemas sujetos al ENS coincidan o, como mínimo, que la relación entre ellos esté documentada. Un alcance ISO más amplio o más reducido que el ENS es fuente habitual de no conformidades.
• Auditorías internas y revisión por la dirección conjuntas, planificadas para cubrir los requisitos de ambos marcos en un mismo ciclo.
• Auditoría de certificación combinada, siempre que la entidad de certificación esté acreditada para ambos esquemas, lo que reduce costes y la carga sobre los equipos.

Un contexto regulatorio que empuja en la misma dirección

La integración no responde solo a una cuestión de eficiencia. El marco europeo de ciberseguridad avanza hacia un modelo en el que la seguridad de la información deja de ser una buena práctica para convertirse en una obligación de gobernanza. La Directiva NIS2 amplía significativamente el número de entidades obligadas, refuerza la responsabilidad de los órganos de dirección y pone el foco en la seguridad de la cadena de suministro.

En ese escenario, las organizaciones que ya cuentan con un sistema integrado ENS–ISO 27001 parten con ventaja: disponen de un análisis de riesgos vivo, de roles definidos, de procedimientos de gestión de incidentes y de evidencias auditadas. No se trata de acumular sellos, sino de demostrar, con un único sistema, que la seguridad está gobernada.

Conclusión

ENS e ISO 27001 no compiten entre sí; se complementan. La norma internacional aporta la lógica de sistema de gestión y la mejora continua; el ENS añade el rigor de un conjunto de medidas mínimas, una categorización precisa y el encaje con los requisitos de la Administración. Abordarlos por separado multiplica la documentación, las auditorías y el riesgo de incoherencias. Integrarlos desde el diseño permite cumplir más con menos.

Para la empresa que trabaja, o aspira a trabajar, con el sector público, la pregunta ya no es si necesita el ENS, sino cómo incorporarlo a lo que ya tiene. Y la respuesta pasa por entender que, en el fondo, se trata de un único sistema de seguridad con dos formas de demostrarlo.

Recorrer este camino con el acompañamiento adecuado marca la diferencia. En Prodat somos el aliado perfecto para afrontar este reto: disponemos de consultores senior con amplia experiencia tanto en el ENS como en la norma ISO/IEC 27001, capaces de diseñar un sistema integrado adaptado a la realidad de cada organización, acompañarla durante toda la implantación y prepararla para superar con garantías las auditorías de ambos esquemas.