¡Qué pesadita está La Rueca con el ENS! 🤣 Pues sí, es posible que estemos siendo un poquito repetitivas de más, pero, como se suele decir en nuestro sector, «es por una buena causa». Y en este caso, hemos creído muy necesario dar voz a alguien que se dedica a acompañar a entidades sociales en su camino hacia la certificación en el ENS. Por ello, tenemos el placer de contar durante el mes de Marzo con Olga Martínez, founder de Applicalia, consultoría de cumplimiento normativo y ciberseguridad. Os dejamos su linkedin: https://www.linkedin.com/in/olga-maria-martinez-rodriguez-applicalia/
Olga nos habla de porqué las entidades sociales debemos subirnos a este carro del ENS y cómo es su labor de acompañamiento para ello. Applicalia, ha sido la consultora que ha ayudado a La Rueca Asociación a conseguir su certificación nivel medio.
Os dejamos con ella:
El Esquema Nacional de seguridad convierte “seguridad” en algo verificable
El ENS es, en esencia, un marco regulatorio que fija principios, requisitos mínimos y medidas de protección para garantizar la seguridad de la información y los servicios. Está regulado por el Real Decreto 311/2022, que actualiza el esquema y lo refuerza en un contexto de ciberamenazas y transformación digital. ([BOE][1])
Lo importante (y aquí Olga pone el acento) es que el ENS aplica a entidades y empresas del sector privado que presten servicios o proporcionen soluciones tecnológicas al sector público, y puede extenderse a la cadena de suministro según determine un análisis de riesgos. ([ENS][2])
Traducido a lenguaje tercer sector, si nuestra entidad gestiona un servicio con financiación pública, participa en una licitación, desarrolla o mantiene una plataforma para un ayuntamiento, trabaja con sistemas conectados a los de una administración, o presta servicios donde hay intercambio relevante de información… el ENS se convierte en algo «obligatorio»
Por qué se habla tanto del ENS (y por qué no es una moda)
Olga lo resume con tres ideas que se entienden a la perfección:
- La primera es el crecimiento del riesgo: ataques, brechas, ransomware… el escenario se ha vuelto más complejo y más frecuente. Aquí debemos asumir que, si manejamos información sensible (y en lo social se maneja), la seguridad es algo primordial.
- La segunda es la actualización normativa. El Real Decreto 311/2022 refuerza requisitos y eleva expectativas, y además el ENS está vinculado a políticas públicas de impulso de capacidades frente a ciberamenazas (incluyendo aspectos como nube, interconexión de sistemas y cadena de suministro). ([portal.mineco.gob.es][3])
- Y la tercera, que en el tercer sector se nota muchísimo, es la confianza. Cumplir el ENS funciona como una señal. Digamos que demuestra a administraciones, entidades financiadoras, alianzas y ciudadanía que te tomas en serio la protección de la información. ([ENS][2])
Y la consecuencia práctica de esto es su influencia en la contratación pública ya que cada vez es más habitual que los pliegos incluyan requisitos ENS, y en determinados casos puede ser necesario poder presentar una declaración o certificación de conformidad según la categoría del sistema. ([ENS][2])
ENS y protección de datos
En muchas entidades sociales la puerta de entrada a todo esto suele ser el RGPD que nos pregunta: “¿podemos usar tal herramienta?”, “¿podemos guardar esto aquí?”, “¿qué pasa con los consentimientos?”. Y está bien. Pero el ENS aterriza una parte clave que a veces queda difusa, las medidas de seguridad.
De hecho, la propia información institucional sobre el ENS recuerda cómo se conecta con el tratamiento de datos personales y cómo se extiende a entidades del sector público y a quienes colaboran con ellas en la prestación de servicios públicos que impliquen datos personales. ([portal.mineco.gob.es][3])
Dicho de otro modo, si vuestra entidad trata datos personales en colaboración con administraciones, hablar de ENS es poner estructura a algo que ya es exigible en la práctica, el garantizar seguridad proporcional al riesgo.
Cómo se aterriza sin morir en el intento
Una de las cosas que más nos gusta del enfoque de Olga es que no vende el ENS como una epopeya técnica, sino como un camino acompañado. En el vídeo explica el tipo de acompañamiento que hacen desde Aplicalia. A través de un diagnóstico inicial, plan adaptado, implementación y preparación para auditoría/certificación.
Y esto engancha con una realidad bastante nuestra porque en el tercer sector no solemos tener equipos de ciberseguridad internos. Tenemos equipos multipantalla (proyectos, intervención, coordinación, comunicación, gestión…) que hacen lo que pueden con lo que hay. Por eso, más que “cumplir ENS” como un eslogan, ayuda pensarlo como un proceso de orden. Empezar por saber qué sistemas y datos tenemos, qué servicios están implicados, qué dependencias hay (incluida nube y proveedores), qué nivel de criticidad manejamos. Y desde ahí, construir medidas realistas, documentadas y sostenibles.
Además, el propio CCN (a través de su portal ENS) recuerda que la certificación contra el marco del RD 311/2022 puede abordarse y que tiene una validez temporal definida, lo que refuerza la idea de ciclo y mejora continua. ([ENS][2])
El ENS en el contexto europeo
Aunque el ENS es un esquema español, no está aislado. Forma parte de una ola europea donde la ciberseguridad se entiende cada vez más como gobernanza, cadena de suministro y obligaciones verificables. Un ejemplo claro es la Directiva NIS2, que actualiza el marco europeo para elevar el nivel común de ciberseguridad, reforzar medidas de gestión de riesgos y mejorar notificación de incidentes, con atención explícita a la cadena de suministro. ([INCIBE][4])
¿Esto afecta a todas las entidades sociales? No necesariamente por tamaño o sector. Pero sí afecta al ecosistema en el que trabajamos, que son las administraciones, proveedoras, plataformas, servicios digitales con los que colaboramos… y, por arrastre, a los estándares que empiezan a pedirse en proyectos y contratos.
Confianza digital como infraestructura de lo social
En lo social hablamos mucho (con razón) de confianza. De la confianza en el vínculo, en el recurso, en la institución, en la red comunitaria. En digital ocurre lo mismo, solo que muchas veces no lo nombramos así.
La propuesta de Olga es cumplir el ENS es una forma de construir confianza digital, porque pone reglas, evidencia y garantías a la protección de la información. Y eso, en un sector que trabaja con historias de vida, itinerarios, situaciones administrativas, salud emocional y vulnerabilidades, es algo que debemos, casi, tener tatuado.
Gracias, Olga, por acercar el ENS sin humo y con mirada práctica. Y gracias a Aplicalia por asomarse a esta casa con tono de “esto se puede hacer, y no tenéis que hacerlo solas”.