Cambios y novedades de la nueva regulación del Esquema Nacional de Seguridad

Tras meses de espera y en plena polémica por el presunto espionaje con el sistema Pegasus a miembros del Gobierno y otros dirigentes políticos, esta semana se ha aprobado el Real Decreto 311/2022 por el que se regula el nuevo Esquema Nacional de Seguridad.

El Esquema Nacional de Seguridad es una normativa creada para garantizar la seguridad de los sistemas, los datos, las comunicaciones y los servicios electrónicos en el sector público, aunque también afecta al ámbito privado en lo que se refiere a contrataciones o subcontrataciones con la Administración Pública. Según el índice global de seguridad que elabora la Unión Internacional de Telecomunicaciones (ITU), un organismo dependiente de la ONU, España es el cuarto país del mundo, y el segundo de Europa, en el reconocimiento de sus avances en ciberseguridad.

Desde Grupo Vadillo analizamos la nueva normativa y destacamos algunas de las modificaciones con respecto a la regulación anterior. Estos son los principales cambios:

• Cumplimiento de la LOPDGDD en cuanto a identificar la Actividad de Tratamiento derivada de la monitorización del sistema.
• Se hace hincapié en que las organizaciones incluidas en el ámbito de aplicación de este real decreto exigirán, de manera objetiva y no discriminatoria, que sus proveedores prestadores de servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.
• Las Administraciones y organismos públicos y demás entidades del sector público exigirán a las entidades licitadoras, en los pliegos de prescripciones administrativas o técnicas, las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS.
• Se refuerza la profesionalización y cualificación certificada de la figura del Responsable de Seguridad.
• Refuerzo de procedimientos, protocolos de comunicación y mecanismos de detección y tratamiento de incidentes de seguridad.
• Se incide en la segurización de dispositivos móviles.
• Refuerzo del control de riesgos derivados de interconexión del sistema con sistemas de terceros, así como de nodos de comunicación.
• Se establece como obligatorio para todos los sistemas de información el registro de la actividad de los usuarios y la monitorización y evaluación continuas.
• Se introduce el término “refuerzos de seguridad” garantizando el cumplimiento de unos requisitos mínimos.
• Buscando facilitar la adecuación a están normativa por las organizaciones, se introducen los denominados “perfiles de cumplimiento específicos”, que comprenderán medidas de seguridad que, previa realización del correspondiente análisis de riesgos, sean adecuadas para una concreta categoría de seguridad.
• Para facilitar la implantación de soluciones de terceros se habla de “esquemas de acreditación de entidades y validación de personas” que operen con los sujetos obligados por esta normativa.

¿Y si ya estoy adaptado y certificado conforme a la normativa anterior?

La Disposición transitoria única del nuevo Real Decreto establece un plazo de 24 meses para alcanzar la plena adecuación a las nuevas reglas de juego. Las entidades certificadas con anterioridad a la entrada en vigor de la nueva normativa seguirán plenamente vigentes y podrán renovar sus certificados durante este plazo conforme a la normativa anterior. Si tienes alguna duda sobre la nueva normativa regulatoria del Esquema Nacional de Seguridad o la adecuación al mismo, no dudes en contactarnos. En Grupo Vadillo Asesores podemos ayudarte.