ENS y proveedores SaaS: qué debe exigir un ayuntamiento

Un ayuntamiento que contrata un software en la nube (SaaS) debe exigir al proveedor que los sistemas con los que presta el servicio sean conformes con el Esquema Nacional de Seguridad (ENS). El criterio que propone el Centro Criptológico Nacional (CCN) es pedir la categoría que el ayuntamiento ha asignado a ese servicio, o una superior. Si la categoría es MEDIA o ALTA, la prueba es un certificado de conformidad emitido por una entidad de certificación. Se comprueba en dos listados públicos del CCN: el de entidades de certificación y el de entidades certificadas. También hay que revisar que el alcance del certificado cubra el servicio contratado y que esté en vigor.

Por qué el ENS obliga también al proveedor privado

El ENS está regulado por el Real Decreto 311/2022. Su artículo 2.3 lo aplica a los sistemas de información de las empresas privadas que, por contrato, presten servicios o provean soluciones a entidades del sector público para el ejercicio de sus competencias. Esa empresa debe tener además una política de seguridad aprobada por su máximo órgano ejecutivo.

El mismo artículo dice qué tiene que hacer el ayuntamiento: los pliegos de prescripciones administrativas o técnicas deben recoger los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en los que se apoya el servicio, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS». Pedirlo, por tanto, es una obligación que impone el propio real decreto.

La cadena de suministro

El artículo 2.3 extiende esa cautela a la cadena de suministro del contratista, «en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Un SaaS casi siempre corre sobre la infraestructura de otro: un centro de datos o un proveedor de nube. Pregunta quién es y qué conformidad acredita.

El anexo II añade una medida específica para servicios en la nube, la [op.nub.1]. Los sistemas que dan un servicio en la nube al sector público deben cumplir las medidas que fijen las guías CCN-STIC según el modelo de servicio (SaaS, PaaS o IaaS). Cuando se usan servicios en la nube de terceros, esos sistemas deben ser conformes con el ENS o cumplir las medidas de una guía CCN-STIC. En categoría MEDIA y ALTA se suma un refuerzo: el servicio de terceros debe estar certificado con una metodología que reconozca el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información.

Las categorías BÁSICA, MEDIA y ALTA

La categoría mide cuánto daño haría un incidente de seguridad. Según el artículo 40, se determina valorando el impacto de un incidente que afectase a cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. El procedimiento está en el anexo I.

Cada dimensión afectada recibe un nivel:

Nivel	Perjuicio que causaría un incidente	Ejemplos del anexo I
BAJO	Limitado	Incumplimiento formal y subsanable de una norma; perjuicio menor y fácil de reparar a una persona.
MEDIO	Grave	Incumplimiento material de una norma; perjuicio significativo y de difícil reparación a una persona.
ALTO	Muy grave	Anulación efectiva de la capacidad de la organización; perjuicio grave y de difícil o imposible reparación a una persona.

La categoría del sistema es la del nivel más alto que alcance cualquiera de sus dimensiones. Basta con que una sea MEDIO para que el sistema sea de categoría MEDIA, y con que una sea ALTO para que sea ALTA. Si el sistema maneja varias informaciones o servicios, cada dimensión toma el nivel mayor de todos ellos. La categoría se revisa cada año o cuando cambien los criterios que la determinaron.

Quién decide también está regulado. Según el artículo 41, valoran el impacto los responsables de la información y del servicio afectados, y fija la categoría el responsable de la seguridad. Es decir, la categoría la determina el ayuntamiento para su propio servicio, no el proveedor. El real decreto no dice con esas palabras qué categoría debe acreditar el contratista. El CCN, en las preguntas frecuentes del ENS, propone una cláusula de pliego que pide la conformidad «para la categoría de seguridad [indicar la CATEGORÍA], o superior», a partir del análisis de los riesgos del servicio que se licita.

Declaración de conformidad y certificación de conformidad

El artículo 38 distingue dos procedimientos según la categoría:

• Declaración de conformidad, para sistemas de categoría BÁSICA. Basta una autoevaluación. La expide la propia entidad responsable del sistema.
• Certificación de conformidad, obligatoria para sistemas de categoría MEDIA o ALTA. Exige una auditoría y la expide una entidad de certificación. Un sistema BÁSICO puede someterse a ella de forma voluntaria.

Los dos se completan con un distintivo que enlaza al documento. Los detalles están en la Instrucción Técnica de Seguridad de conformidad con el ENS (Resolución de 13 de octubre de 2016) y en la guía CCN-STIC 809, «Declaración y certificación de conformidad con el ENS y distintivos de cumplimiento», con sus anexos de modelos. La instrucción técnica dice expresamente que las empresas privadas que prestan servicios a entidades públicas deben poder exhibir la declaración o la certificación que corresponda, con los mismos procedimientos que se exigen a la administración.

Esa instrucción técnica es anterior al Real Decreto 311/2022 y sus modelos todavía citan el Real Decreto 3/2010. El CCN la sigue publicando como referencia, junto con la guía CCN-STIC 809, y en sus preguntas frecuentes indica que está en proceso de actualización. En la práctica, en un certificado actual la norma de referencia debe ser el Real Decreto 311/2022.

Para el ayuntamiento, la consecuencia es directa. Si el servicio que contrata es de categoría MEDIA, una declaración de conformidad de categoría BÁSICA no le sirve: necesita un certificado.

Perfiles de cumplimiento específicos

El artículo 30 permite definir perfiles de cumplimiento específicos: un conjunto de medidas de seguridad, derivado del análisis de riesgos, adecuado para una categoría concreta en determinadas entidades o sectores. Los valida y publica el CCN. Un certificado puede emitirse según uno de esos perfiles. Si el certificado del proveedor se basa en un perfil, pide que indique cuál y comprueba que el perfil corresponde a la categoría y al tipo de servicio que contratas.

Cómo comprobar que un certificado es válido

El artículo 38.2 obliga a dar publicidad a las declaraciones y certificaciones en el portal de internet o la sede electrónica de quien es responsable del sistema. Lo primero es encontrarlo en la web del proveedor. Después:

1. Comprueba la entidad que lo emite en la relación de entidades de certificación que publica el CCN. Para cada una indica si está acreditada por la Entidad Nacional de Acreditación (ENAC) o si es un órgano de auditoría técnica del sector público reconocido.
2. Busca al proveedor en el listado de certificados del portal de gobernanza del CCN, que agrupa las entidades certificadas por categoría y por tipo, con un apartado para empresas.
3. Lee el certificado. Según la instrucción técnica, debe identificar a la entidad certificadora, indicar la categoría máxima de los sistemas, enumerar los sistemas de información y los servicios certificados, y llevar número, fecha de certificación inicial y, en su caso, de renovación.
4. Comprueba que la norma de referencia es el Real Decreto 311/2022. La disposición transitoria única dio veinticuatro meses a los sistemas preexistentes para adecuarse, y durante ese tiempo permitió mantener los distintivos obtenidos con el Real Decreto 3/2010. El real decreto entró en vigor el 5 de mayo de 2022, así que ese plazo terminó en mayo de 2024; el CCN tomó como referencia el 5 de mayo de 2024. Un certificado basado solo en el Real Decreto 3/2010 ya no acredita la conformidad.
5. Comprueba la vigencia. El artículo 31 exige una auditoría ordinaria al menos cada dos años, y otra extraordinaria cuando hay cambios sustanciales en los sistemas. Si la fecha de fin vence durante el contrato, pide el compromiso de renovarla.

Un ejemplo: Gesgocom publica su certificación ENS y su política de seguridad. El certificado es de categoría MEDIA, tiene el número 626264 y está vigente del 31/07/2026 al 31/07/2028. Según esa página, su alcance son los sistemas de información que soportan el desarrollo, la implantación, la explotación, el alojamiento y el mantenimiento de sus soluciones de software para administraciones públicas. Esos son los datos que hay que contrastar en cualquier certificado.

Qué pedir en el pliego

• La categoría exigida, fijada por el ayuntamiento según el anexo I y coherente con la información y los servicios del sistema. No copies «categoría ALTA» por precaución ni «BÁSICA» por inercia: de la categoría dependen las medidas de seguridad que se exigen.
• Declaración de conformidad (BÁSICA) o certificación de conformidad (MEDIA o ALTA) en vigor, conforme al Real Decreto 311/2022.
• Un alcance que cubra expresamente el servicio contratado. Un certificado de los sistemas internos de la empresa no acredita la plataforma que vas a usar.
• Vigencia durante todo el contrato, con obligación de comunicar la renovación, la suspensión o la retirada del certificado.
• Si el certificado se basa en un perfil de cumplimiento específico, cuál es.
• Información sobre la cadena de suministro, en especial el proveedor de infraestructura en la nube y su conformidad.
• Acreditación de que el proveedor tiene una política de seguridad aprobada por su máximo órgano ejecutivo, como exige el artículo 2.3. El real decreto no obliga a publicarla; si la quieres ver, pídela en el pliego.

Relación con la protección de datos

Si el servicio trata datos personales por cuenta del ayuntamiento, el proveedor es encargado del tratamiento. El artículo 28 del RGPD obliga a elegir solo encargados que ofrezcan garantías suficientes y a firmar un contrato o acto jurídico con el contenido que fija ese artículo. Entre otras cosas, el encargado debe aplicar las medidas de seguridad del artículo 32 y no puede recurrir a otro encargado sin autorización previa por escrito del ayuntamiento. Esa autorización puede ser específica, para un subencargado concreto, o general. Si es general, el proveedor debe informar de cualquier alta o cambio de subencargado para que el ayuntamiento pueda oponerse. En un SaaS esto afecta, sobre todo, al proveedor de infraestructura en la nube.

En el sector público, la disposición adicional primera de la Ley Orgánica 3/2018 conecta las dos normas: cuando un tercero presta el servicio por contrato, sus medidas de seguridad se corresponden con las de la administración de origen y se ajustan al ENS. El certificado ENS no sustituye al contrato de encargo, pero ayuda a acreditar las garantías suficientes que pide el RGPD.

Lista de comprobación para el técnico

1. ¿Ha determinado el ayuntamiento la categoría del servicio (BÁSICA, MEDIA o ALTA) según el anexo I del Real Decreto 311/2022?
2. ¿Recoge el pliego esa categoría y exige la declaración o la certificación de conformidad que le corresponde?
3. ¿Es la categoría del certificado del proveedor igual o superior a la del servicio?
4. ¿El certificado cita el Real Decreto 311/2022?
5. ¿La entidad que lo emite aparece en la relación de entidades de certificación del CCN?
6. ¿Aparece el proveedor en el listado de certificados del portal de gobernanza del CCN?
7. ¿El alcance certificado incluye exactamente este servicio, su explotación y su alojamiento?
8. ¿Está vigente y cubre toda la duración del contrato, o hay compromiso de renovación?
9. Si se basa en un perfil de cumplimiento específico, ¿se sabe cuál y encaja con el servicio?
10. ¿Se conoce el proveedor de infraestructura en la nube y su conformidad con el ENS?
11. ¿Tiene el proveedor una política de seguridad formalmente aprobada y puede acreditar su aprobación?
12. Si hay datos personales, ¿está firmado el contrato de encargo del artículo 28 del RGPD?