Cumplimiento normativo en ciberseguridad: ENS, ISO 27001, NIS2 y DORA
Mariano Garrido – DPD
Un cliente pide una certificación, un pliego exige garantías de seguridad o un proveedor envía documentación que cuesta interpretar. Antes de iniciar un proyecto de cumplimiento normativo en ciberseguridad, conviene concretar qué requisitos afectan a la empresa, a qué sistemas y cómo deben acreditarse.
ENS, ISO 27001, NIS2 y DORA tienen objetivos relacionados, pero su ámbito y sus mecanismos de cumplimiento son diferentes. Esta guía ayuda a ordenar la revisión.
¿Qué diferencia hay entre ENS e ISO 27001?
El Esquema Nacional de Seguridad establece requisitos para los sistemas comprendidos en su ámbito. ISO 27001 es una norma internacional para implantar y mantener un sistema de gestión de la seguridad de la información. Una certificación ISO 27001 no sustituye por sí sola la conformidad con el ENS.
Al comparar ambos, conviene revisar qué servicios, sistemas y ubicaciones cubre cada alcance, qué documentación existe y qué exige el cliente o contrato.
¿Es obligatorio el ENS para trabajar con la Administración pública?
La aplicación del ENS debe comprobarse atendiendo al sistema y a su ámbito normativo. En entidades privadas, debe analizarse la relación contractual con el sector público, los servicios o soluciones prestados y las exigencias del contrato o pliego.
Por ejemplo, en servicios de alojamiento, soporte tecnológico o gestión de información para una entidad pública, conviene identificar qué sistemas sustentan el servicio y qué requisitos se trasladan a los proveedores. Manejar información sensible no determina por sí solo la aplicación del ENS.
Categorías de seguridad y conformidad con el ENS
Una vez comprobada su aplicación, debe determinarse la categoría del sistema atendiendo al impacto que un incidente tendría sobre la información y los servicios. No debe deducirse únicamente del tipo de datos personales tratados.
Con carácter general, los sistemas de categoría BÁSICA acreditan su conformidad mediante autoevaluación y declaración de conformidad. Los de categoría MEDIA o ALTA requieren auditoría para la certificación de su conformidad.
Pentesting y auditorías: qué conviene distinguir
La auditoría de cumplimiento y las pruebas técnicas tienen objetivos diferentes. Un pentesting no sustituye la auditoría exigible ni acredita por sí solo el cumplimiento de un marco.
- ENS: la auditoría comprueba los requisitos aplicables al sistema; las pruebas técnicas aportan evidencias sobre su seguridad.
- ISO 27001: la revisión del sistema de gestión y el tratamiento de riesgos deben distinguirse de una prueba técnica concreta.
- NIS2: contempla políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos. Deben identificarse las exigencias aplicables a cada entidad.
- DORA: deben distinguirse las pruebas generales de resiliencia de las pruebas avanzadas basadas en amenazas previstas para determinadas entidades.
Antes de contratar una auditoría o un pentesting, concreta su objetivo, alcance, entregables y cómo se gestionarán las deficiencias detectadas.
Relación entre ENS y RGPD
Las medidas del ENS pueden contribuir a la seguridad del tratamiento, pero no sustituyen las demás obligaciones del RGPD. La legitimación, la información a las personas, los contratos con encargados y la atención de derechos necesitan su propia revisión.
Conviene coordinar a quienes gestionan privacidad y seguridad para que los inventarios, los incidentes y las responsabilidades sean coherentes.
Diferencias entre ENS, ISO 27001, NIS2 y DORA
- ENS: revisar el ámbito del sistema, su categoría y la forma de acreditar la conformidad.
- ISO 27001: definir el alcance del sistema de gestión y valorar la certificación según las necesidades y compromisos de la organización.
- NIS2: comprobar el encaje de la entidad y la normativa nacional aplicable antes de concretar sus obligaciones.
- DORA: identificar las obligaciones de resiliencia operativa digital que correspondan a la entidad financiera y a sus relaciones con proveedores TIC.
¿Cómo saber si un proveedor cumple el ENS?
Solicita la evidencia de conformidad que corresponda y comprueba la entidad titular, el alcance, la categoría y su vigencia. Contrasta que el servicio contratado y los sistemas que lo soportan estén realmente incluidos. Un logotipo comercial o una referencia genérica al ENS no permite hacer esa comprobación.
¿Se puede coordinar su implantación?
Pueden coordinarse procesos y aprovecharse evidencias comunes, manteniendo separados los requisitos, el alcance y las formas de acreditar el cumplimiento de cada marco.
Inventarios, análisis de riesgos, gestión de proveedores, formación y respuesta ante incidentes son puntos de partida para revisar duplicidades. Conviene asignar responsables y un plan de actuaciones que permita comprobar los avances.
Cómo puede ayudarte GECCOS
Nuestro servicio de consultoría ENS, ISO 27001 y ciberseguridad permite abordar los requisitos de seguridad y coordinar su relación con la adaptación al RGPD.
Si un cliente o un pliego te exige garantías de seguridad, podemos ayudarte a concretar qué necesitas y cómo acreditarlo. Revisemos qué requisitos afectan a tu empresa.