Certificarse en el Esquema Nacional de Seguridad es cada vez más habitual para las empresas que quieren acceder a licitaciones públicas. El proceso es largo, pero se puede ordenar en fases claras. Este es el camino, paso a paso.

1. Define el alcance y categoriza tus sistemas

Lo primero es decidir qué sistemas y servicios entran en el alcance: los que prestan servicio a la Administración. Después se determina qué información tratas y qué impacto tendría un incidente. De ahí sale el nivel (Básico, Medio o Alto).

2. Análisis de riesgos y política de seguridad

Se identifican las amenazas sobre tus activos y se valoran los riesgos. En paralelo, la dirección aprueba la Política de Seguridad de la Información y se designan las responsabilidades: responsable de la información, del servicio, de la seguridad y del sistema.

3. Análisis de brechas

Se compara la situación actual con las medidas del Anexo II que corresponden a tu nivel. El resultado es un plan de acción priorizado que indica qué falta, quién lo hace y en qué plazo.

4. Implanta las medidas de seguridad

Las medidas se agrupan en tres bloques: marco organizativo, marco operacional y medidas de protección. Dependen del nivel obtenido y se apoyan en las guías CCN-STIC del Centro Criptológico Nacional para su interpretación.

5. Documenta y reúne evidencias

Procedimientos, registros de actividad, actas de revisión y evidencias de cumplimiento son lo que revisará el auditor. Si una medida no está documentada o no se puede demostrar, a efectos de auditoría es como si no existiera.

6. Auditoría interna y revisión

Antes de pedir la auditoría externa conviene hacer una revisión interna que detecte desviaciones y permita corregirlas con calma.

7. Auditoría de certificación

Es obligatoria para los niveles Medio y Alto y debe realizarla una entidad certificadora acreditada por ENAC. El auditor revisa la documentación y comprueba en campo que las medidas funcionan. Si detecta no conformidades, hay que cerrarlas antes de recibir el certificado.

8. Certificación y mantenimiento

La certificación tiene una validez de dos años, con auditorías de seguimiento para mantenerla. El sistema debe seguir vivo: revisión de riesgos, gestión de incidentes, formación y mejora continua.

Cuánto tiempo reservar

No es un trámite de una semana. El plazo depende de tu punto de partida: si ya tienes un sistema de gestión o una ISO 27001, el camino será más corto; si partes de cero, cuenta con varios meses. Precipitarse suele traducirse en no conformidades el día de la auditoría.

Consejo final

Empieza cuanto antes y no esperes a que salga el pliego: muchas licitaciones exigen el certificado en el momento de presentar la oferta. Toda la información está en nuestra página de certificación ENS.

Preguntas frecuentes

¿Cuáles son los pasos para certificarse en el ENS?

Definir el alcance y categorizar los sistemas, analizar riesgos y aprobar la política de seguridad, hacer un análisis de brechas, implantar las medidas, documentar evidencias, realizar auditoría interna, pasar la auditoría de certificación y mantener el sistema.

¿Cuánto se tarda en certificarse en el ENS?

Depende del punto de partida. Si ya hay un sistema de gestión o una ISO 27001 es más corto; desde cero conviene contar con varios meses.

¿Cuánto dura la certificación ENS?

Dos años, con auditorías de seguimiento para mantenerla vigente.

¿Es obligatoria la auditoría externa?

Para los niveles Medio y Alto, y debe realizarla una entidad certificadora acreditada por ENAC.

¿Necesitas ayuda con tu certificación? En MBV Calidad te acompañamos desde el diagnóstico hasta la auditoría. Solicita presupuesto sin compromiso.