Formación y concienciación para cumplir el ENS.

Al sector público, entero

El real decreto se aplica «a todo el sector público», tal como lo define el artículo 2 de la Ley 40/2015, de 1 de octubre.

Y a sus proveedores privados

También se aplica a los sistemas de las empresas privadas que, por contrato, prestan servicios o proveen soluciones a una entidad pública para que esta ejerza sus competencias. Los pliegos de esos contratos deben incluir los requisitos del ENS, como presentar la declaración o la certificación de conformidad, y la exigencia puede bajar por la cadena de suministro.

Fuente: Real Decreto 311/2022, de 3 de mayo, art. 2.

Tres categorías, la misma formación

Cada sistema se clasifica en categoría BÁSICA, MEDIA o ALTA según el impacto que tendría un incidente de seguridad, y la categoría decide qué medidas del anexo II se aplican y con qué refuerzos.

La concienciación y la formación no dependen de eso: el anexo II marca mp.per.3 y mp.per.4 como aplicables en las tres categorías. Da igual que vuestro sistema sea básico o alto: la plantilla tiene que estar concienciada y formada.

Si además os afecta NIS2 o tenéis la ISO 27001, la formación que hagáis para el ENS os sirve de base. Lo tienes en qué pide NIS2 sobre formación y en el control 6.3 de ISO 27001.

Fuente: Real Decreto 311/2022, arts. 2 y 40 y anexo II.

En la auditoría

El informe de auditoría dictamina el grado de cumplimiento e identifica los incumplimientos detectados. El responsable de la seguridad lo analiza y el responsable del sistema tiene que adoptar las medidas correctoras.

En los sistemas de categoría ALTA, si las deficiencias son graves, el responsable del sistema puede suspender temporalmente el tratamiento de información, la prestación de servicios o la operación del sistema hasta que se corrijan.

Fuente: Real Decreto 311/2022, art. 31.4, 31.5 y 31.6.

Si sois proveedor del sector público

Los pliegos de los contratos públicos deben recoger los requisitos del ENS, como presentar la declaración o la certificación de conformidad. Sin ella, no cumplís lo que pide el contrato.

Y esa conformidad se obtiene con una auditoría de certificación en los sistemas de categoría MEDIA o ALTA, o con una autoevaluación en los de categoría BÁSICA. En las dos se revisan mp.per.3 y mp.per.4.

Fuente: Real Decreto 311/2022, arts. 2.3 y 38.

Qué entregas

• Registro de formación por empleado. Quién ha completado cada píldora, cuándo y con qué nota, en tiempo real desde el panel.
• Certificado individual. A nombre de cada empleado, con el curso, la fecha y la puntuación del test. Caduca al año y se renueva con los contenidos actualizados.
• Resultados de las simulaciones. Phishing por correo, SMS y QR: quién picó y cómo evoluciona la plantilla, la medida de eficacia que pide mp.per.4.
• Informe para la auditoría. Un PDF firmado, con marca de tiempo y trazabilidad por empleado y equipo.

Las simulaciones de phishing cubren las técnicas de ingeniería social de mp.per.3.1, y la formación en píldoras con test se repite a lo largo del año, con recordatorios automáticos.

Lo que nos dicen

Nos ayudó a superar la auditoría ENS en tiempo récord. Los informes son exactamente lo que pedía el auditor.

Y en la auditoría, con vosotros

Lo gestionáis desde el panel o lo delegáis y lo llevamos nosotros. Cuando llega la auditoría ENS no estáis solos con un panel: los consultores de Legitec os acompañan. Más detalle sobre el certificado de cada empleado y sobre el informe para la auditoría.