RD 311/2022: el nuevo Esquema Nacional de Seguridad explicado

El RD 311/2022 no es una simple revision del texto anterior: es una reescritura integral que moderniza el ENS en todos sus aspectos. Estos son los cambios mas relevantes:

• •Actualizacion a amenazas actuales: el nuevo decreto reconoce el cambio radical del panorama de ciberseguridad desde 2010. Incorpora amenazas como el ransomware, los ataques a la cadena de suministro y las amenazas persistentes avanzadas (APT), que no existian o eran marginales cuando se redacto el RD 3/2010.
• •Nuevas medidas de seguridad: se incorporan familias de medidas completamente nuevas. Destaca la familia op.nub (servicios en la nube), que regula la contratacion y uso de servicios cloud, y el refuerzo de op.mon (monitorizacion del sistema), que exige capacidades de vigilancia continua y deteccion de anomalias.
• •Refuerzo de medidas existentes: las medidas de seguridad del Anexo II se han revisado en profundidad. Muchas medidas que antes eran opcionales o tenian requisitos laxos ahora son obligatorias o exigen controles mas rigurosos, especialmente en las categorias Media y Alta.
• •Perfiles de Cumplimiento Especificos (PCE): el articulo 30 introduce esta figura novedosa. Los PCE permiten al CCN definir conjuntos predefinidos de medidas adaptados a sectores concretos (entidades locales, universidades, etc.), simplificando el proceso de adecuacion para organizaciones con caracteristicas comunes.
• •Notificacion obligatoria de incidentes: el articulo 33 establece la obligacion de notificar los incidentes de seguridad al CCN-CERT. Esta obligacion, que en el RD 3/2010 era mas difusa, ahora queda recogida de forma expresa y con procedimientos definidos.
• •Convergencia con normativa europea: el RD 311/2022 se alinea con la Directiva NIS/NIS2, el Reglamento de Ciberseguridad de la UE y el Reglamento eIDAS. Esta alineacion busca que el cumplimiento del ENS facilite tambien la conformidad con las obligaciones europeas.

El Capitulo II del RD 311/2022 establece los principios basicos que fundamentan toda la estrategia de seguridad del ENS. Son siete y estan recogidos en los articulos 5 a 11:

1. 1Seguridad integral (Art. 5): la seguridad se entiende como un proceso integral constituido por todos los elementos humanos, materiales, tecnicos y organizativos relacionados con el sistema. No basta con medidas tecnologicas: las personas, los procesos y las instalaciones fisicas forman parte de la ecuacion.
2. 2Gestion de riesgos (Art. 6): el analisis y la gestion de riesgos es parte esencial del proceso de seguridad. Las medidas adoptadas deben ser proporcionales a los riesgos identificados, permitiendo un equilibrio entre seguridad y operatividad.
3. 3Prevencion, reaccion y recuperacion (Art. 7): la seguridad debe cubrir las cuatro fases del ciclo: prevenir los incidentes, detectarlos a tiempo, reaccionar de forma adecuada y recuperar la normalidad lo antes posible.
4. 4Lineas de defensa (Art. 8): el sistema debe disponer de una estrategia de proteccion basada en multiples capas de seguridad, de forma que cuando una medida falle, existan otras que compensen esa brecha.
5. 5Vigilancia continua (Art. 9): los sistemas deben estar sujetos a monitorizacion permanente para detectar actividades o comportamientos anomalos y reaccionar ante ellos con celeridad.
6. 6Reevaluacion periodica (Art. 10): las medidas de seguridad deben reevaluarse y actualizarse periodicamente para adaptarse a la evolucion de los riesgos y de las tecnologias.
7. 7Diferenciacion de responsabilidades (Art. 11): deben definirse claramente los roles de responsable de la informacion, responsable del servicio, responsable de seguridad y responsable del sistema, evitando la concentracion de funciones incompatibles.

El calendario de implantacion del RD 311/2022 ha sido claro desde su publicacion:

• •4 de mayo de 2022: publicacion en el BOE del Real Decreto 311/2022.
• •5 de mayo de 2022: entrada en vigor. Aplicable de inmediato a nuevos sistemas.
• •Mayo de 2024: fin del plazo transitorio de 24 meses. Todos los sistemas preexistentes debian estar adaptados.

A dia de hoy, el plazo de adaptacion ha vencido. Todas las organizaciones dentro del ambito de aplicacion deben cumplir integramente la nueva version del ENS. Los sistemas que estaban certificados bajo el RD 3/2010 debian migrar su certificacion al nuevo marco. Las nuevas certificaciones solo se emiten ya conforme al RD 311/2022.

Las organizaciones que aun no se hayan adaptado se encuentran en una situacion de incumplimiento normativo que puede tener consecuencias en licitaciones publicas, auditorias de cumplimiento y, en caso de incidente, responsabilidad por falta de diligencia.

Adaptarse al RD 311/2022 puede parecer un reto, pero con la metodologia adecuada y las herramientas correctas, el proceso se simplifica enormemente. Estos son los pasos practicos que recomendamos:

1. 1Categoriza tus sistemas: evalua cada sistema en las dimensiones DACIT y determina su categoria. Con NexENS, este paso es guiado y gratuito.
2. 2Genera la Declaracion de Aplicabilidad: identifica que medidas del Anexo II te aplican. NexENS la genera automaticamente en funcion de tu categoria.
3. 3Implementa las medidas: aplica las medidas de seguridad que te corresponden. Usa el checklist de tareas de NexENS para llevar el control y no dejar nada sin cubrir.
4. 4Documenta y recopila evidencias: cada medida implementada debe estar respaldada por evidencias documentales. NexENS te indica que evidencias necesitas para cada medida.
5. 5Preparate para la auditoria: para categoria Media y Alta, necesitaras una auditoria externa. NexENS organiza toda tu documentacion para que el proceso sea lo mas fluido posible.

NexENS te acompana en todo el proceso de adecuacion al RD 311/2022: desde la categorizacion hasta la preparacion de la auditoria. Sin consultoras, sin plantillas genericas, sin hojas de calculo.