{"id":6965,"date":"2022-05-05T17:24:00","date_gmt":"2022-05-05T17:24:00","guid":{"rendered":"https:\/\/www.pkf-attest.es\/?post_type=noticias&p=6965"},"modified":"2024-10-23T14:02:46","modified_gmt":"2024-10-23T14:02:46","slug":"real-decreto-por-el-que-se-regula-el-esquema-nacional-de-seguridad","status":"publish","type":"noticias","link":"https:\/\/www.pkf-attest.es\/noticias\/real-decreto-por-el-que-se-regula-el-esquema-nacional-de-seguridad\/","title":{"rendered":"Real Decreto por el que se regula el Esquema Nacional de Seguridad"},"content":{"rendered":"
4 de mayo de 2022<\/p>\n
El Real Decreto 3\/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el \u00e1mbito de la Administraci\u00f3n Electr\u00f3nica (en adelante, ENS) ten\u00eda por objeto determinar la pol\u00edtica de seguridad en la utilizaci\u00f3n de medios electr\u00f3nicos de las entidades de su \u00e1mbito de aplicaci\u00f3n, estando constituido por los principios b\u00e1sicos y requisitos m\u00ednimos que han venido garantizando adecuadamente la seguridad de la informaci\u00f3n tratada y los servicios prestados por dichas entidades.<\/p>\n
Por su parte la Ley 40\/2015, de 1 de octubre, de R\u00e9gimen Jur\u00eddico del Sector P\u00fablico, ampli\u00f3 el \u00e1mbito de aplicaci\u00f3n del ENS a todo el sector p\u00fablico, estableciendo en su art\u00edculo 3, que regula los principios generales, la necesidad de que las administraciones p\u00fablicas se relacionen entre s\u00ed y con sus \u00f3rganos, organismos p\u00fablicos y entidades vinculados o dependientes a trav\u00e9s de medios electr\u00f3nicos, que garantizaran la interoperabilidad y seguridad de los sistemas y soluciones adoptadas por cada una de ellas y la protecci\u00f3n de los datos personales, y facilitaran la prestaci\u00f3n de servicios a los interesados preferentemente por dichos medios, se\u00f1alando al ENS como instrumento fundamental para el logro de los objetivos de su art\u00edculo 156.<\/p>\n
El ENS est\u00e1 constituido por los principios b\u00e1sicos y requisitos m\u00ednimos necesarios para una protecci\u00f3n adecuada de la informaci\u00f3n tratada y los servicios prestados por las entidades de su \u00e1mbito de aplicaci\u00f3n, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservaci\u00f3n de los datos, la informaci\u00f3n y los servicios utilizados por medios electr\u00f3nicos que gestionen en el ejercicio de sus competencias. Este real decreto tiene por objeto regular el ENS, establecido en el art\u00edculo 156.2 de la Ley 40\/2015, de 1 de octubre, de R\u00e9gimen Jur\u00eddico del Sector P\u00fablico.<\/strong><\/p>\n El real decreto se estructura en cuarenta y un art\u00edculos distribuidos en siete cap\u00edtulos, tres disposiciones adicionales, una disposici\u00f3n transitoria, una disposici\u00f3n derogatoria, tres disposiciones finales y cuatro anexos.<\/p>\n En cuanto a las tres disposiciones adicionales<\/strong>:<\/p>\n La disposici\u00f3n transitoria \u00fanica <\/strong>fija un plazo de veinticuatro meses para que los sistemas de informaci\u00f3n del \u00e1mbito de aplicaci\u00f3n de este real decreto, preexistentes a su entrada en vigor, alcancen su plena adecuaci\u00f3n al ENS.<\/p>\n La disposici\u00f3n derogatoria <\/strong>suprime el Real Decreto 3\/2010, de 8 de enero, as\u00ed como cuantas disposiciones de igual o inferior rango se opongan a lo dispuesto en este real decreto.<\/p>\n Por \u00faltimo, la norma cuenta con tres disposiciones finales<\/strong>:<\/p>\n El real decreto se complementa con cuatro anexos: el anexo I regula las categor\u00edas de seguridad de los sistemas de informaci\u00f3n, detallando la secuencia de actuaciones para determinar la categor\u00eda de seguridad de un sistema; el anexo II detalla las medidas de seguridad; el anexo III se ocupa del objeto, niveles e interpretaci\u00f3n de la Auditor\u00eda de la seguridad <\/strong>y, por \u00faltimo, el anexo IV incluye el glosario de t\u00e9rminos y definiciones.<\/p>\n","protected":false},"featured_media":6861,"template":"noticias-corporativa-single-post.php","categories":[],"tags":[161],"novedades_corporativa":[56],"acf":[],"yoast_head":"\n\n
\nAsimismo, los requisitos del ENS ser\u00e1n de aplicaci\u00f3n a los sistemas de informaci\u00f3n de las entidades del sector privado, cuando de acuerdo con la normativa aplicable y en virtud de una relaci\u00f3n contractual presten servicios a las entidades del sector p\u00fablico para el ejercicio por estas de sus competencias y potestades administrativas. Como se ha se\u00f1alado anteriormente, considerando que la transformaci\u00f3n digital ha supuesto un incremento de los riesgos asociados a los sistemas de informaci\u00f3n que sustentan los servicios p\u00fablicos y que el sector privado se encuentra igualmente inmerso en la transformaci\u00f3n digital de sus procesos de negocio, ambos tipos de sistemas de informaci\u00f3n se encuentran expuestos al mismo tipo de amenazas y riesgos. Por ello, los operadores del sector privado que prestan servicios a las entidades del sector p\u00fablico, por raz\u00f3n de la alta imbricaci\u00f3n de unos y otras, han de garantizar el mismo nivel de seguridad que se aplica a los sistemas y a la informaci\u00f3n en el \u00e1mbito del sector p\u00fablico, todo ello de conformidad, adem\u00e1s, con los especiales requerimientos establecidos tanto en la Ley Org\u00e1nica 3\/2018, de 5 de diciembre, como en la Ley Org\u00e1nica 7\/2021, de 26 de mayo.
\nPor otra parte, cuando las entidades del sector p\u00fablico lleven a cabo la instalaci\u00f3n, despliegue y explotaci\u00f3n de redes 5G o la prestaci\u00f3n de servicios 5G, adem\u00e1s de las previsiones de este real decreto ser\u00e1 de aplicaci\u00f3n lo establecido en el Real Decreto-ley 7\/2022, de 29 de marzo, sobre requisitos para garantizar la seguridad de las redes y servicios de comunicaciones electr\u00f3nicas de quinta generaci\u00f3n, en particular, lo dispuesto en su art\u00edculo 17 relativo a la gesti\u00f3n de seguridad por las administraciones p\u00fablicas, as\u00ed como su normativa de desarrollo.<\/li>\n
\nEn los art\u00edculos 12 a 27 se definen tales requisitos: organizaci\u00f3n e implantaci\u00f3n del proceso de seguridad; gesti\u00f3n de riesgos, consistente en un proceso de identificaci\u00f3n, an\u00e1lisis, evaluaci\u00f3n y tratamiento de los mismos; gesti\u00f3n de personal; profesionalidad; autorizaci\u00f3n y control de los accesos; protecci\u00f3n de las instalaciones; adquisici\u00f3n de productos de seguridad y contrataci\u00f3n de servicios de seguridad; m\u00ednimo privilegio; integridad y actualizaci\u00f3n del sistema; protecci\u00f3n de la informaci\u00f3n almacenada y en tr\u00e1nsito; prevenci\u00f3n ante otros sistemas de informaci\u00f3n interconectados; registro de la actividad y detecci\u00f3n de c\u00f3digo da\u00f1ino; incidentes de seguridad; continuidad de la actividad; y mejora continua del proceso de seguridad.
\nSeguidamente, el art\u00edculo 28 indica que para el cumplimiento de tales requisitos m\u00ednimos deber\u00e1n adoptarse las medidas recogidas en el anexo II, conforme a una serie de consideraciones al efecto. No obstante, tales medidas de seguridad podr\u00e1n ser reemplazadas por otras compensatorias, siempre y cuando se justifique documentalmente que la protecci\u00f3n que aportan es, al menos, equivalente, y satisfacen los principios b\u00e1sicos y requisitos m\u00ednimos indicados previamente.
\nEn el art\u00edculo 29 se hace un llamamiento a la utilizaci\u00f3n de infraestructuras y servicios comunes de las administraciones p\u00fablicas en aras de lograr una mayor eficiencia y retroalimentaci\u00f3n de las sinergias de cada colectivo.
\nPor \u00faltimo, el art\u00edculo 30 establece la posibilidad de implementar perfiles de cumplimiento espec\u00edficos, as\u00ed como esquemas de acreditaci\u00f3n de entidades de implementaci\u00f3n de configuraciones seguras.<\/li>\n
\nLa auditor\u00eda de la seguridad <\/strong>se desarrolla \u00edntegramente en el art\u00edculo 31, detallando las caracter\u00edsticas del procedimiento de auditor\u00eda, as\u00ed como de los correspondientes informes. Con car\u00e1cter extraordinario, deber\u00e1 realizarse dicha auditor\u00eda siempre que se produzcan modificaciones sustanciales en los sistemas de informaci\u00f3n, que puedan repercutir en las medidas de seguridad requeridas. La auditor\u00eda se realizar\u00e1 en funci\u00f3n de la categor\u00eda del sistema y, en su caso, del perfil de cumplimiento espec\u00edfico que corresponda, seg\u00fan lo dispuesto en los anexos I y III y de conformidad con lo regulado en la Instrucci\u00f3n T\u00e9cnica de Seguridad de Auditor\u00eda de la Seguridad de los Sistemas de Informaci\u00f3n. En la realizaci\u00f3n de las auditor\u00edas de la seguridad se utilizar\u00e1n los criterios, m\u00e9todos de trabajo y de conducta generalmente reconocidos, as\u00ed como la normalizaci\u00f3n nacional e internacional aplicables a este tipo de actividades. El informe de auditor\u00eda deber\u00e1 dictaminar sobre el grado de cumplimiento de este real decreto identificando los hallazgos de cumplimiento e incumplimiento detectados. Deber\u00e1, igualmente, incluir los criterios metodol\u00f3gicos de auditor\u00eda utilizados, el alcance y el objetivo de la auditor\u00eda, y los datos, hechos y observaciones en que se basen las conclusiones formuladas, todo ello de conformidad con la citada Instrucci\u00f3n T\u00e9cnica de Seguridad de Auditor\u00eda de la Seguridad de los Sistemas de Informaci\u00f3n. Los informes de auditor\u00eda ser\u00e1n presentados al responsable del sistema y al responsable de la seguridad. Estos informes ser\u00e1n analizados por este \u00faltimo que presentar\u00e1 sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas. En el caso de los sistemas de categor\u00eda ALTA, visto el dictamen de auditor\u00eda y atendiendo a una eventual gravedad de las deficiencias encontradas, el responsable del sistema podr\u00e1 suspender temporalmente el tratamiento de informaciones, la prestaci\u00f3n de servicios o la total operaci\u00f3n del sistema, hasta su adecuada subsanaci\u00f3n o mitigaci\u00f3n. Los informes de auditor\u00eda podr\u00e1n ser requeridos por los responsables de cada organizaci\u00f3n, con competencias sobre seguridad de las tecnolog\u00edas de la informaci\u00f3n, y por el CCN.
\nPor su parte, el art\u00edculo 32, relativo al informe del estado de la seguridad, destaca el papel de la Comisi\u00f3n Sectorial de Administraci\u00f3n Electr\u00f3nica en este \u00e1mbito, as\u00ed como del CCN y los \u00f3rganos colegiados competentes en el \u00e1mbito de la administraci\u00f3n digital en la Administraci\u00f3n General del Estado.
\nLa prevenci\u00f3n, detecci\u00f3n y respuesta a incidentes de seguridad se regula en los art\u00edculos 33 y 34, separando, por un lado, los aspectos relativos a la capacidad de respuesta y, por otro, los relativo a la prestaci\u00f3n de los servicios de respuesta a incidentes de seguridad, tanto a las entidades del Sector P\u00fablico como a las organizaciones del sector privado que les presten servicios.<\/li>\n
\nConcluye el articulado de la parte dispositiva con el cap\u00edtulo VII, que desarrolla el procedimiento de categorizaci\u00f3n de los sistemas de informaci\u00f3n, definiendo en el art\u00edculo 40 las categor\u00edas de seguridad y en el art\u00edculo 41 las facultades al respecto.<\/li>\n<\/ul>\n\n
\n