Saltar al contenido
02 · Auditoría02 · Auditing

Auditoría ENSENS Audit

Cumplimiento del Esquema Nacional de Seguridad.Compliance with the Esquema Nacional de Seguridad.

RD 311/2022RD 311/2022 2.3 · Auditorías Organizacionales2.3 · Organisational Audits

¿Qué es este servicio?What is this service?

Es la auditoría de cumplimiento del Esquema Nacional de Seguridad español: se verifica que la categorización de los sistemas sea correcta y que estén implantadas las medidas que corresponden a esa categoría.

A compliance audit against Spain's National Security Framework: it verifies that system categorisation is correct and that the measures matching that category are implemented.

¿Para qué se usa?What is it used for?

Sirve para acreditar la conformidad que exige la administración pública española a sus proveedores. La auditoría revisa dos cosas distintas: si la categoría asignada es la que corresponde según la valoración de la información, y si las medidas de esa categoría están efectivamente implantadas y funcionando.

It evidences the conformity the Spanish public administration requires from its suppliers. The audit reviews two distinct things: whether the assigned category matches the information rating, and whether the measures for that category are actually implemented and operating.

Qué beneficios traeBenefits it delivers

  • Mantiene la habilitación para contratar con el sector público español.
  • Revisa la categorización, que es donde más se equivoca la gente: sobrecategorizar cuesta dinero, subcategorizar invalida la conformidad.
  • Se apoya en el mismo trabajo que ISO 27001, así que cuando la organización ya tiene el sistema el esfuerzo incremental es menor.
  • Maintains eligibility to contract with the Spanish public sector.
  • Reviews categorisation, where most mistakes happen: over-categorising costs money, under-categorising invalidates conformity.
  • It builds on the same work as ISO 27001, so where the system already exists the incremental effort is lower.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No aplica en Costa Rica: es normativa española.
  • Solo tiene sentido si la empresa presta servicios a la administración pública de España.
  • El equivalente costarricense para sector público son las normas técnicas de TI de la Contraloría, que se auditan de otra forma.
  • It does not apply in Costa Rica: it is Spanish regulation.
  • It only makes sense if the company serves the Spanish public administration.
  • The Costa Rican equivalent for the public sector is the Comptroller's technical IT standards, audited differently.

InternacionalInternational

  • Obligatoria para el sector público español y para los privados que le presten servicios dentro del ámbito del esquema.
  • Las categorías media y alta acreditan conformidad mediante certificación; la básica admite autoevaluación.
  • La conformidad tiene vigencia limitada y hay que renovarla.
  • Mandatory for the Spanish public sector and for private entities serving it within the framework's scope.
  • Medium and high categories evidence conformity through certification; basic allows self-assessment.
  • Conformity has a limited validity period and must be renewed.

Requisitos mínimosMinimum requirements

  • Categorización de los sistemas ya hecha y documentada.
  • Declaración de aplicabilidad y política de seguridad aprobadas.
  • Un responsable de seguridad designado formalmente.
  • Evidencia de operación de las medidas, no solo su documentación.
  • System categorisation already done and documented.
  • An approved statement of applicability and security policy.
  • A formally appointed security officer.
  • Evidence the measures operate, not merely that they are documented.

Plazo típico de entregaTypical delivery time

3 a 6 semanas 3 to 6 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de tres a seis semanas según la categoría y el número de sistemas en alcance. La categoría alta arrastra bastantes más medidas que verificar, así que se va al extremo superior del rango o más allá.

The usual market range runs from three to six weeks depending on category and the number of in-scope systems. High category carries considerably more measures to verify, so it lands at the upper end of the range or beyond.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

ENSENS
Esquema Nacional de Seguridad, el marco obligatorio de la administración pública española. Spain's National Security Framework, mandatory for its public administration.
CategoríaCategory
Nivel del sistema —básica, media o alta— que determina qué medidas hay que implantar. The system level — basic, medium or high — determining which measures must be implemented.
Declaración de aplicabilidadStatement of Applicability
Documento que enumera qué medidas aplican al sistema y por qué. Document listing which measures apply to the system and why.
ConformidadConformity
El resultado de acreditar que el sistema cumple con lo que exige su categoría. The result of evidencing that the system meets what its category requires.