¿Tiene que cumplir tu empresa de transporte el Esquema Nacional de Seguridad?
Cada vez más empresas de transporte que trabajan con Administraciones Públicas se encuentran con referencias al Esquema Nacional de Seguridad (ENS) en pliegos, contratos o requerimientos.
Esta situación puede afectar a distintas actividades: transporte escolar, urbano e interurbano, transporte adaptado, servicios discrecionales contratados por organismos públicos, transporte a demanda o concesiones de transporte de viajeros.
Las dudas suelen ser parecidas: ¿estoy obligado?, ¿por dónde empiezo?, ¿cuánto me va a costar?, ¿me sirve mi informático actual?
La primera cuestión que conviene aclarar es que trabajar con una Administración Pública no significa automáticamente que toda la empresa tenga que certificarse en el ENS.
Veamos qué conviene saber antes de tomar decisiones.
¿Cómo sé si mi empresa está obligada a cumplir el ENS?
El ENS, regulado por el Real Decreto 311/2022, de 3 de mayo, establece requisitos para proteger los sistemas de información utilizados en determinados servicios públicos.
Su artículo 2.3 contempla expresamente su aplicación a los sistemas de información de empresas privadas que, conforme a la normativa aplicable y mediante una relación contractual, prestan servicios o proporcionan soluciones a entidades del sector público para el ejercicio de sus competencias y potestades administrativas.
Para saber si afecta a tu empresa de transporte es necesario revisar:
- Qué servicios prestas a Administraciones Públicas.
- Qué obligaciones aparecen en los contratos y pliegos.
- Qué sistemas informáticos intervienen en esos servicios.
- Qué información gestionan y qué dependencias tecnológicas tienen.
Por ejemplo, una empresa que realiza transporte escolar para una comunidad autónoma puede utilizar una plataforma para gestionar rutas, alumnos, acompañantes e incidencias.
Será necesario analizar si ese sistema está comprendido en el ámbito del ENS y qué requisitos le corresponden.
Importante: que un contrato no mencione expresamente el ENS no permite descartar automáticamente su aplicación. Si existen dudas, conviene revisar el supuesto y, cuando corresponda, solicitar una aclaración a la entidad contratante.
¿Tengo que adaptar toda mi empresa?
No necesariamente.
El ENS se aplica a sistemas de información concretos. Una empresa puede utilizar diferentes programas y equipos para gestionar servicios públicos y actividades privadas.
La primera tarea consiste en delimitar qué sistemas están afectados y cuáles son sus dependencias.
Por ejemplo, si una aplicación de gestión de rutas utiliza los mismos servidores, usuarios o redes que otras aplicaciones de la compañía, habrá que analizar esas conexiones.
Definir correctamente el alcance evita tanto gastos innecesarios como dejar sistemas importantes fuera de la adecuación.
¿Debo empezar cuanto antes o puedo esperar?
Depende de tu situación, pero no es recomendable esperar a recibir un requerimiento urgente para empezar a informarte.
Si ya tienes contratos sujetos al ENS, debes analizar las obligaciones aplicables y actuar conforme a los plazos que correspondan.
Si todavía no te lo exigen expresamente, pero participas habitualmente en licitaciones públicas, puede ser conveniente anticiparte.
Eso no significa que debas iniciar inmediatamente una implantación completa.
Lo razonable es comenzar con una evaluación preliminar para conocer:
- Si el ENS resulta aplicable a tus servicios.
- Qué categoría y requisitos podrían corresponder.
- Cuál es tu situación de seguridad actual.
- Qué actuaciones serían necesarias.
- Cuánto esfuerzo y presupuesto podrían suponer.
Una revisión a tiempo puede evitar inversiones precipitadas y problemas al presentar una oferta o ejecutar un contrato.
¿Me conviene quedarme en categoría BÁSICA?
El ENS establece tres categorías de seguridad para los sistemas de información: BÁSICA, MEDIA y ALTA.
La categoría se determina según la valoración del impacto de posibles incidentes sobre las dimensiones de seguridad establecidas en la normativa. No se elige libremente por motivos comerciales.
Ahora bien, si los sistemas de tu empresa están correctamente categorizados como BÁSICOS, puede que no necesites realizar inversiones para implantar medidas propias de categorías superiores.
También conviene mirar al futuro.
Si participas habitualmente en contratación pública, podría interesarte conocer qué mejoras adicionales facilitarían abordar servicios con mayores exigencias.
La cuestión no es obtener una categoría superior sin justificación, sino valorar si conviene limitar las inversiones a las necesidades actuales o aprovechar el proyecto para mejorar la preparación de la empresa.
Además, hay una diferencia importante en la acreditación:
- Los sistemas de categoría BÁSICA requieren, con carácter general, una autoevaluación documentada para declarar su conformidad, sin perjuicio de que puedan certificarse voluntariamente.
- Los sistemas de categoría MEDIA o ALTA requieren una auditoría para obtener la correspondiente certificación de conformidad.
Por eso es importante determinar correctamente la categoría y revisar las exigencias contractuales antes de presupuestar un proyecto.
¿Necesito contratar otro informático o cambiar mis equipos?
No necesariamente.
El ENS no obliga, por sí mismo, a sustituir al informático actual ni a renovar todos los ordenadores, servidores o programas de la empresa.
Lo primero es conocer qué medidas de seguridad tienes implantadas.
Es posible que tu empresa ya disponga de sistemas de copias de seguridad, protección frente a amenazas, controles de acceso y otras medidas aprovechables.
También puede suceder que necesites mejorar determinados procedimientos, configuraciones o herramientas.
Pero estas necesidades deben identificarse mediante un análisis, no presumirse antes de conocer la situación real.
La adecuación al ENS incluye aspectos jurídicos, organizativos y técnicos. No consiste únicamente en adquirir herramientas de ciberseguridad.
Mi informático es externo, ¿me sirve para cumplir el ENS?
Sí. No es necesario disponer de un departamento informático propio.
Muchas empresas de transporte trabajan con proveedores tecnológicos externos que administran sus equipos, redes, aplicaciones y servicios.
Ese mismo proveedor puede participar en el proyecto de adecuación al ENS.
Lo importante es comprobar si dispone de los conocimientos, recursos y disponibilidad necesarios para implantar o mantener las medidas que resulten exigibles.
También habrá que definir correctamente las responsabilidades, el acceso a los sistemas, las obligaciones contractuales y las evidencias que debe proporcionar.
El informático puede encargarse de las actuaciones técnicas correspondientes, mientras que el asesoramiento especializado en ENS ayuda a determinar las obligaciones, organizar las responsabilidades, coordinar el proyecto y verificar las medidas implantadas.
En algunos casos puede ser necesario contar con apoyo técnico adicional para actuaciones específicas, pero eso no significa que haya que sustituir al proveedor habitual.
La colaboración entre la empresa, su informático y el consultor ENS suele ser la forma más práctica de abordar la adecuación.
¿Qué tengo que hacer y cuánto esfuerzo puede suponer?
No todas las empresas parten de la misma situación y, por tanto, no existe un presupuesto único para cumplir el ENS.
El esfuerzo depende, entre otras cuestiones, del alcance de los sistemas, su categoría, la infraestructura utilizada, las medidas de seguridad existentes y las mejoras necesarias.
Antes de iniciar la adecuación conviene revisar:
- Organización y responsabilidades de seguridad.
- Política de seguridad y procedimientos.
- Riesgos asociados a los sistemas.
- Usuarios, permisos y autenticación.
- Redes, equipos, servidores y aplicaciones.
- Actualizaciones y vulnerabilidades.
- Copias de seguridad y recuperación.
- Gestión de incidentes y continuidad.
- Proveedores y servicios externalizados.
- Formación y evidencias de cumplimiento.
Con esta información puede elaborarse una hoja de ruta que distinga las medidas ya implantadas, las mejoras imprescindibles y las actuaciones adicionales recomendables.
También permite estimar los costes de implantación, los posibles servicios externos y el mantenimiento posterior.
¿Por dónde debería empezar?
Antes de contratar una certificación, cambiar de proveedor informático o realizar inversiones importantes, conviene responder a tres cuestiones:
¿Estoy realmente obligado y qué me exigen?
¿Qué sistemas de mi empresa están afectados?
¿Qué necesito hacer para cumplir y cuánto esfuerzo supondrá?
Responderlas permite tomar decisiones fundamentadas y planificar una adecuación proporcionada a las necesidades reales de la empresa.
¿Tienes dudas sobre el ENS en tu empresa de transporte?
En GECCOS ayudamos a las empresas de transporte a identificar las obligaciones aplicables, delimitar el alcance de sus sistemas y conocer su situación antes de comenzar un proyecto de adecuación o certificación ENS.
Trabajamos de forma coordinada con los responsables de la empresa y sus proveedores informáticos, para aprovechar los recursos disponibles y determinar las actuaciones realmente necesarias.
Si has recibido un requerimiento ENS o quieres saber si deberías prepararte, podemos revisar tu situación y orientarte sobre los siguientes pasos.
Solicitar información a GECCOS
Consulta también nuestros servicios de consultoría ENS e ISO 27001.
Referencia normativa: Real Decreto 311/2022, de 3 de mayo.
Mariano Garrido – GECCOS. Consultoría especializada en protección de datos, seguridad y cumplimiento normativo.