Nearius inicia su certificación ENS en categoría ALTA

Estamos en proceso de certificación en el Esquema Nacional de Seguridad, categoría ALTA —la máxima que contempla la norma, por encima de MEDIA y BÁSICA— con una entidad de certificación acreditada por ENAC. Para una administración que se plantee contratarnos, esto no es un distintivo comercial: es el requisito que el Real Decreto 311/2022 impone a todo proveedor del sector público.

El ENS no obliga solo a la Administración

Es una confusión frecuente. El Esquema Nacional de Seguridad se percibe como una norma interna de las administraciones, y no lo es del todo.

El artículo 2.3 del Real Decreto 311/2022 lo extiende a los sistemas de información de las entidades privadas cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones al sector público. De ahí se siguen tres consecuencias para cualquier proveedor de software jurídico:

• Una política de seguridad aprobada por el órgano con las máximas competencias ejecutivas de la empresa.
• Pliegos que recogen los requisitos de conformidad, incluida la presentación de declaraciones o certificaciones.
• La extensión de esa exigencia a la cadena de suministro del contratista.

Y una cuarta, que es la que marca la diferencia. El artículo 38 establece que los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad, mientras que la autoevaluación solo basta para la categoría BÁSICA. Decir «cumplimos el ENS» y tener un certificado no son la misma afirmación.

En qué punto estamos, sin adornos

Estamos en fase de adecuación. Lo decimos con esas palabras antes que insinuar que ya estamos certificados.

Está hecho el alcance del sistema que se somete a auditoría, la propuesta de categorización razonada conforme al Anexo I, la identificación de los responsables de la información, del servicio, del sistema y de la seguridad, y la solicitud de certificación dirigida a una entidad acreditada por ENAC.

No está hecho todavía el análisis de riesgos formal, la declaración de aplicabilidad definitiva, la auditoría interna ni las pruebas de intrusión. Todo eso debe completarse antes de la auditoría de certificación.

Si un proveedor le dice que tiene el ENS «en trámite» y no precisa nada más, no le está diciendo gran cosa. Pregúntele por el alcance, por la categoría y por la entidad certificadora. Son tres preguntas que distinguen un proceso real de una intención.

Por qué categoría ALTA: lo que hay que proteger no es la sentencia, es su consulta

El ENS obliga a valorar cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— y la categoría del sistema la marca la más exigente de ellas.

Nuestro corpus procede íntegramente de fuentes públicas oficiales: CENDOJ, TEDH, TJUE, BOE, BORME, Catastro y boletines oficiales. Es información pública y, por sí sola, no justificaría una categoría elevada.

Lo que eleva el nivel es otra cosa: la secuencia de consultas de un usuario revela su línea de trabajo. Cuando quien consulta es la asesoría jurídica de un ayuntamiento, lo que busca y en qué orden deja ver qué argumentos está explorando y en qué asuntos está trabajando. Si eso llegara a un tercero —y en un litigio el tercero relevante es la parte contraria— el perjuicio no sería para nosotros, sino para quien confió en el servicio.

Por eso valoramos en nivel ALTO la confidencialidad, la integridad, la trazabilidad y la autenticidad, y por eso el sistema se somete a auditoría en categoría ALTA.

La integridad merece una nota aparte. Alterar sin que se note el sentido de una resolución, o de su ratio decidendi, podría llevar a fundar un acto administrativo en jurisprudencia que dice lo contrario de lo que parece decir. Tratamos la veracidad de lo que entregamos como un objetivo de seguridad, no solo de calidad del producto.

Decisiones que puede comprobar usted mismo

Las afirmaciones de seguridad valen poco si no se pueden verificar. Estas sí:

Decisión	Qué significa	Cómo comprobarlo
Corpus solo de fuentes públicas oficiales	No incorporamos documentación ajena al dominio público	Cada resolución servida enlaza a su fuente oficial
Datos alojados en España	El servicio para entidades públicas se presta desde centros de datos en territorio español	Consta en el alcance de la certificación
HSTS con precarga	El navegador se niega a conectar sin cifrado, incluso en el primer acceso	Cabecera strict-transport-security
Política de contenidos restrictiva	La página solo carga recursos propios, sin objetos embebidos ni enmarcado por terceros	Cabecera content-security-policy
Sin permisos de dispositivo	Cámara, micrófono, geolocalización y pago deshabilitados por cabecera	Cabecera permissions-policy
Trazabilidad de las consultas	Cada consulta queda registrada y el propio usuario puede consultarla	Panel de usuario, apartado de búsquedas

Las cuatro últimas se comprueban desde las herramientas de desarrollo de cualquier navegador o con un analizador de cabeceras. No hace falta creernos.

Qué queda por delante

El camino hasta el certificado pasa por el análisis de riesgos, la declaración de aplicabilidad de las 73 medidas del Anexo II, la implantación de las que correspondan a nuestra categoría, un periodo de operación que genere evidencias, la auditoría interna, las pruebas de intrusión y, por último, la auditoría de certificación.

No publicaremos distintivo alguno de conformidad hasta que exista certificado. Cuando lo haya, el artículo 38.2 obliga a darle publicidad en el portal de internet del titular, y aquí estará: con su número, su entidad emisora, su alcance y su fecha de caducidad, para que cualquiera pueda contrastarlo.

Iremos contando el proceso, también lo que se tuerza, porque a un comprador público le sirve más ver cómo trabaja un proveedor que leer un adjetivo.

Si está valorando contratarnos

Puede pedirnos hoy mismo la descripción del sistema y su alcance, la propuesta de categorización con el razonamiento de cada dimensión y la identificación de los responsables de seguridad. Son los documentos que acompañan a nuestra solicitud.

Y si su pliego exige certificación ENS en vigor, díganoslo: le diremos con franqueza en qué fecha estimamos tenerla y si llegamos o no a su plazo.

Preguntas frecuentes

¿El Esquema Nacional de Seguridad obliga también a las empresas privadas?

Sí, cuando prestan servicios o proveen soluciones al sector público. El artículo 2.3 del Real Decreto 311/2022 extiende el ENS a los sistemas de información de las entidades privadas que contratan con la Administración, les exige una política de seguridad aprobada por su órgano con máximas competencias ejecutivas y extiende la cautela a su cadena de suministro.

¿Qué diferencia hay entre declaración y certificación de conformidad con el ENS?

La declaración se apoya en una autoevaluación y solo basta para la categoría BÁSICA. Las categorías MEDIA y ALTA exigen auditoría y certificación por una entidad independiente, según el artículo 38 del Real Decreto 311/2022. Un proveedor que afirma cumplir el ENS sin certificado, en una categoría que lo exige, no está acreditando lo mismo.

¿Qué significa que un sistema tenga categoría ALTA en el ENS?

Significa que al menos una de las cinco dimensiones de seguridad se ha valorado en nivel ALTO. Las dimensiones son confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad, y la categoría la marca siempre la más exigente de ellas. ALTA es la categoría máxima que contempla la norma, por encima de MEDIA y de BÁSICA.

¿Cómo se comprueba que un proveedor tiene de verdad la certificación ENS?

Pidiéndole tres datos: el alcance exacto que cubre el certificado, la categoría y la entidad certificadora que lo emitió. El artículo 38.2 obliga a dar publicidad a las certificaciones en el portal de internet del titular. Un certificado cubre un sistema concreto, no toda una empresa: si el alcance no incluye el servicio contratado, no lo acredita.