Esquema Nacional de Seguridad
Para ENS · Esquema Nacional de Seguridad, este punto se contrasta contra el texto de BOE y CCN. Deben quedar unidos el documento recibido, la revisión de IT/CISO y el resultado que se comunicó al expediente.
Real Decreto
ENS · Esquema Nacional de Seguridad
Obligatorio para quien presta servicios al sector público. Se traslada por contrato a los proveedores.
- Qué es
- Real Decreto
- Quién publica el texto
- BOE y CCN
- Acceso al texto
- Público
- Rol que suele llevarlo
- IT/CISO
Esto no es normativa europea y no está en EUR-Lex. Lo decimos porque la diferencia importa: un reglamento obliga por sí mismo y un esquema privado obliga porque lo exige tu cliente o tu contrato.
Propuesta, no un proceso montadoPara esta norma todavía no hemos escrito el procedimiento. Lo de abajo es cómo lo montaríamos: las fases, los documentos y quién emite cada uno. Son los documentos habituales de este tipo de proceso, no una interpretación de esta norma en concreto.
Así lo montaríamos
ENS · recogida de documentación
Cuatro fases. La primera es la que casi nadie hace y la que evita reclamar durante semanas a quien no emite el documento.
1
A quién le toca
Fijar de quién sale cada documento antes de pedir nada. Es lo que evita reclamar durante semanas a quien no lo emite.
- Certificación de seguridad vigente — lo emite Proveedor
- Informe de auditoría o pentest — lo emite Auditor
- Contrato de encargado del tratamiento — lo emite Proveedor
2
Recogida
La petición sale sola por el canal donde esa persona sí contesta, insiste cuando toca y cambia de canal si no hay respuesta.
- Plan de continuidad y recuperación — lo emite Proveedor
3
Comprobación al entrar
Qué se mira de cada documento cuando llega: vigencia, alcance y que corresponde al lote, la obra o el envío.
4
Conservación
Dónde queda archivado, atado a qué expediente, y con qué aviso antes de que caduque.
¿Es este tu caso? Cuéntanoslo y lo montamos contigo — el proceso se define una vez y sirve para los siguientes cien.
Aplicación propia del estándar
Qué debe poder demostrarse en ENS · Esquema Nacional de Seguridad
Obligatorio para quien presta servicios al sector público. Se traslada por contrato a los proveedores. El control se documenta con la versión publicada por BOE y CCN, el criterio aplicado por IT/CISO y la evidencia concreta que motivó la decisión.
| Evidencia | Emisor | Fase | Registro mínimo |
|---|---|---|---|
| Certificación de seguridad vigente | Proveedor | A quién le toca | ENS · Esquema Nacional de Seguridad · control 1: fuente, versión, fecha y decisión. |
| Informe de auditoría o pentest | Auditor | A quién le toca | ENS · Esquema Nacional de Seguridad · control 2: fuente, versión, fecha y decisión. |
| Contrato de encargado del tratamiento | Proveedor | A quién le toca | ENS · Esquema Nacional de Seguridad · control 3: fuente, versión, fecha y decisión. |
| Plan de continuidad y recuperación | Proveedor | Recogida | ENS · Esquema Nacional de Seguridad · control 4: fuente, versión, fecha y decisión. |
Empieza con este caso
Texto listo para copiar y pegar en tu usuario
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
OPERATIVA — ENS · Esquema Nacional de Seguridad
Fase 1 — Delimitar la operación
Documentos: referencia normativa o contractual aplicable y descripción de la actividad que se revisa.
Datos: operación [referencia], objeto [producto, servicio o centro], mercado [país], responsable [rol] y fecha objetivo [fecha].
Control: confirmar el alcance con el responsable competente; no tratar todas las evidencias de esta plantilla como obligaciones universales.
Fase 2 — Certificación de seguridad vigente
Documentos o evidencias: Certificación de seguridad vigente.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Certificación de seguridad vigente» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 3 — Informe de auditoría o pentest
Documentos o evidencias: Informe de auditoría o pentest.
Origen de la información: Auditor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Informe de auditoría o pentest» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 4 — Contrato de encargado del tratamiento
Documentos o evidencias: Contrato de encargado del tratamiento.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Contrato de encargado del tratamiento» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 5 — Plan de continuidad y recuperación
Documentos o evidencias: Plan de continuidad y recuperación.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Plan de continuidad y recuperación» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 6 — Cerrar y conservar
Documentos: conjunto de evidencias revisadas y decisiones sobre las excepciones.
Datos: estado de cada requisito, aprobación, fecha de cierre y próxima revisión.
Destino: expediente de ENS · Esquema Nacional de Seguridad.
Control: separar lo exigible por norma, contrato o política interna. Esta configuración operativa no sustituye una evaluación jurídica ni acredita por sí sola el cumplimiento.