Este documento describe los requisitos de conformidad con el Esquema Nacional de Seguridad para las entidades de la administración pública, los operadores del sector privado y las entidades de certificación. Las entidades de la administración deben realizar una autoevaluación o auditoría y publicar una declaración o certificación de conformidad, dependiendo de si sus sistemas son de categoría básica, media o alta. Los operadores privados y entidades de certificación deben seguir procesos similares.

1. Bilbao, 20 de abril de 2016
Miguel A. Amutio Gómez
Subdirector Adjunto de Coordinación de Unidades TIC
Dirección de Tecnologías de la Información y las Comunicaciones
La conformidad con el

2. Contenidos
1. Contexto del ENS
2. Conformidad con el ENS y su publicidad
• ¿Por qué?
• ¿A quién le interesa participar?
• ¿Cuáles son las pautas?
• ¿Cuáles son los requisitos?
3. Conclusiones

3. 1. Contexto del ENS

4. El medio electrónico como medio habitual

5. + Referencias específicas:
Ley 39/2015: archivo electrónico, validez y eficacia de las copias de documentos y
adhesión de CCAA y EELL a las plataformas y registros e la AGE.
Ley 40/2015 y la seguridad

6. El Esquema Nacional de Seguridad

7. 2. Conformidad con
el ENS y su publicidad

8. Auditoría de la
seguridad
Informe del Estado de
la seguridad (INES)
Conformidad con el ENS
Auditoría, informe y conformidad
(art. 34; A.III / CCN 802, 804, 808) (art. 35 / CCN-STIC 815, 824)
(art. 41 / CCN-STIC 809)

9. Art. 41. Publicación de la conformidad:
… darán publicidad en las correspondientes sedes
electrónicas a las declaraciones de conformidad,
y a los distintivos de seguridad de los que sean
acreedores, obtenidos respecto al cumplimiento del
ENS.
Ley 39/2015
Ley 40/2015
RD 3/2010
Art. 12. Derechos de las personas en sus relaciones
con las AA.PP. : … a la seguridad y
confidencialidad de los datos que figuren en los
ficheros, sistemas y aplicaciones de las
Administraciones Públicas.
Art. 3. Principios generales: Las AA.PP. se relacionarán
entre sí… a través de medios electrónicos, que
aseguren la interoperabilidad y seguridad de
los sistemas y soluciones adoptadas por cada una de
ellas…
Art. 156. ENI y ENS
La conformidad con el ENS, ¿por qué?

10. La conformidad con el ENS,
¿a quién le interesa participar?
Órganos de la
Administración
Pública y
Entidades de
Derecho Público
Prestadores
de servicios
de auditoría
y
certificación
Proveedores
de servicios
y soluciones
Escuchados los actores interesados

11. La conformidad con el ENS,
¿cuáles son las pautas?
En preparación una Instrucción Técnica de Seguridad de Conformidad con el ENS.

12. Sistemas de información de categoría BÁSICA
• Realizar Autoevaluación
• Elaborar el documento de autoevaluación
• Exhibir una Declaración de Conformidad
¿Cuáles son los requisitos para
entidades de la Administración?

13. Para publicar en sede-e, la
Declaración de Conformidad podrá
representarse:
Mediante Distintivo de Declaración de
Conformidad
Generado por la entidad bajo cuya
responsabilidad esté el sistema
Con uso condicionado a la Declaración de
Conformidad con el ENS.
¿Cuáles son los requisitos para
entidades de la Administración?
Sistemas de información de categoría BÁSICA
(Imágenes ilustrativas
sometidas a cambios)

14. Sistemas de información de categorías MEDIA o ALTA
• Realizar Auditoría formal
• Elaborar Informe de auditoría
• Exhibir una Certificación de Conformidad
(Voluntaria para categoría Básica)
¿Cuáles son los requisitos para
entidades de la Administración?

15. Para publicar en sede-e, la
Certificación de Conformidad,
podrá representarse:
Mediante Distintivo de Certificación
de Conformidad
Expedido por una entidad certificadora
Con uso condicionado a la posesión del
Certificado de Conformidad con el ENS.
¿Cuáles son los requisitos para
entidades de la Administración?
Sistemas de información de categorías MEDIA o ALTA
(Imágenes ilustrativas
sometidas a cambios)

16. Prestadores de servicios o soluciones a AA.PP.
a quienes resulte exigible el cumplimiento del ENS.
Mismos procedimientos que para la Administración:
¿Cuáles son los requisitos para operadores del
sector privado?
Sistemas de información de categoría BÁSICA
Sistemas de información de categorías MEDIA o ALTA
Las entidades de la Administración usuarias podrán
solicitar los Informes de Autoevaluación o Auditoría
correspondientes.

17. Acreditación por ENAC conforme a UNE-EN ISO/IEC 17065:2012,
para la certificación de sistemas del ámbito de aplicación del ENS.
En caso de NO poseer la acreditación:
1. Solicitarán la acreditación a la ENAC.
2. Informarán de la aceptación de la solicitud al CCN.
3. Podrán iniciar sus actividades de certificación de forma
transitoria, disponiendo de 12 meses para obtenerla.
El CCN mantiene en su sede-e una relación de Entidades de Certificación,
acreditadas o en vías de acreditación.
Exentas aquellas entidades, órganos, organismos y unidades de las AA.PP.
cuyas competencias se correspondan con el desarrollo de auditorías de SI y así conste en su
normativa de creación o decretos de estructura.
¿Cuáles son los requisitos para
entidades de certificación?

18. ¿Cuáles son los requisitos para
entidades de auditoría y certificación?
Cumplimentar formulario de solicitud
como entidad de certificación de producto,
proceso o servicio, según norma UNE EN
ISO/IEC 17065.
Solicitud: http://www.enac.es/web/enac/descarga-de-
solicitudes
Documentos:
https://www.enac.es/web/enac/documentos-descarga

19. 3. Conclusiones

20. Conclusiones
Requisitos de entidades de la Administración:
Categoría BÁSICA: Autoevaluación -> Declaración de
conformidad
Categorías MEDIA o ALTA: Auditoría -> Certificación de
conformidad
Requisitos de operadores del sector privado -> mismos
procedimientos
Requisitos de entidades de certificación:
Acreditación por la ENAC para la certificación de sistemas
conforme a UNE-EN ISO/IEC 17065:2012.
Posibilidad de iniciar actividades de certificación de forma transitoria,
disponiendo de 12 meses para obtener la acreditación.

21. El RD 3/2010, Guías CCN-STIC (Serie 800), seguimiento, herramientas, …
Pero sobre todo:
Esfuerzo colectivo de todas las AA.PP. (AGE, CC.AA., EE.LL. (FEMP),
Universidades (CRUE), ámbito de Justicia (EJIS), coordinado por MINHAP y CCN.
+ Industria sector seguridad TIC.
Convencimiento común: gestión continuada de la seguridad, con un
tratamiento homogéneo y adaptado al quehacer de la Administración.
Esfuerzo colectivo

22. Guías y herramientas

23. Correos electrónicos
– ens@ccn‐cert.cni.es
– ens.minhap@correo.gob.es
– ccn@cni.es
– sondas@ccn‐cert.cni.es
– redsara@ccn‐cert.cni.es
– organismo.certificacion@cni.es
Páginas Web:
– administracionelectronica.gob.es
– www.ccn‐cert.cni.es
– www.ccn.cni.es
– www.oc.ccn.cni.es
Muchas gracias