Molts proveïdors de programari continuen lluint al seu web un segell de l’Esquema Nacional de Seguretat que ja no acredita res. El Reial decret 311/2022, que regula l’ENS vigent, va donar vint-i-quatre mesos per adequar els sistemes preexistents, i aquest termini es va acabar el 5 de maig de 2024: des d’aleshores, un certificat ENS emès segons el Reial decret 3/2010 no té cap valor, i una certificació té una vigència de dos anys que també cal mirar. El problema és que els plecs i les meses de contractació no sempre ho comproven, i el resultat és que s’adjudica a qui exhibeix un segell caducat per davant de qui manté el seu al dia. Aquesta guia explica com s’acredita avui la conformitat amb l’ENS, com llegir un certificat i un distintiu, quines preguntes cal fer al proveïdor i com redactar el plec perquè la comprovació sigui automàtica.

Què va canviar amb el Reial decret 311/2022

L’ENS va néixer amb el Reial decret 3/2010 i es va actualitzar el 2015. El Reial decret 311/2022, de 3 de maig, el va substituir del tot: nou catàleg de mesures, reforç de la vigilància contínua, perfils de compliment específics i un tractament exprés dels proveïdors del sector públic. La seva disposició transitòria va fixar vint-i-quatre mesos perquè els sistemes preexistents assolissin la plena adequació, i el Centre Criptològic Nacional va permetre continuar fent servir el procediment de certificació segons el RD 3/2010 només fins al 5 de maig de 2024.

Conseqüències pràctiques a 16 de setembre de 2026:

Un certificat que citi el Reial decret 3/2010 queda fora de norma, tingui la data que tingui.
Un certificat conforme al Reial decret 311/2022 només és vàlid si la data d’emissió té menys de dos anys i no ha estat retirat.
Un segell sense enllaç a un certificat o a una declaració comprovable no és un distintiu de conformitat: és una imatge.

Com s’acredita avui la conformitat

L’ENS distingeix tres categories de sistema (bàsica, mitjana i alta), i la manera d’acreditar la conformitat depèn de la categoria:

Categoria bàsica: declaració de conformitat, basada en una autoavaluació que verifiqui el compliment almenys cada dos anys. La signa el mateix responsable del sistema.
Categories mitjana i alta: certificació de conformitat, basada en una auditoria formal feta per una entitat de certificació acreditada per ENAC per a l’ENS, també almenys cada dos anys.

En tots dos casos, la conformitat es fa visible mitjançant el distintiu de conformitat regulat per la guia CCN-STIC 809, que s’ha de publicar al web de l’entitat enllaçat amb el certificat o la declaració corresponent. Les auditories segueixen la guia CCN-STIC 802. I els proveïdors que presten serveis a les administracions han d’estar en condicions d’exhibir la seva declaració o certificació, perquè els seus sistemes entren dins de l’àmbit del reial decret quan tracten informació o presten serveis a l’Administració.

Com llegir un certificat ENS en cinc comprovacions

La norma que cita. Ha de ser el Reial decret 311/2022. Si cita el 3/2010, no val.
La categoria. Bàsica, mitjana o alta. Un contracte que exigeix categoria mitjana no es cobreix amb una declaració de categoria bàsica, per vistosa que sigui. Comprova que la categoria del certificat és igual o superior a la que exigeix el plec.
L’abast. El certificat descriu quins sistemes i serveis cobreix. Un proveïdor pot tenir certificat el servei d’allotjament i no el desenvolupament de programari, o a l’inrevés. El servei que contractes ha de quedar dins de l’abast literal.
L’entitat de certificació i les dates. Per a la mitjana i l’alta, l’entitat ha d’estar acreditada per ENAC per a l’ENS, i el certificat ha de tenir menys de dos anys. Per a la bàsica, la declaració ha d’estar signada pel responsable i datada dins del mateix termini.
El distintiu. Ha de ser al web del proveïdor i enllaçar amb el document. Si l’enllaç no existeix o porta a una imatge, demana el certificat en PDF i comprova’l amb l’entitat emissora.

Si el proveïdor no pot lliurar el certificat o la declaració amb aquestes característiques en el moment de la licitació, no té l’ENS, digui el que digui el seu web.

Què cal preguntar al proveïdor abans d’adjudicar

Segons quin reial decret s’ha emès el seu certificat, i en quina data?
Quina categoria i quin abast exacte cobreix? Hi entra el servei que licitem?
Quina és l’entitat de certificació, i està acreditada per ENAC per a l’ENS?
On està publicat el distintiu i amb quin document enllaça?
Quan és la propera auditoria de renovació i què passa amb el contracte si la perd?
Quines mesures de l’ENS s’apliquen al sistema concret que ens prestarà i com les evidencia?

Un proveïdor amb l’ENS al dia respon a tot això en una pàgina i hi adjunta el certificat. El que no el té desvia la conversa cap a l’ISO 27001, que és una altra cosa: l’expliquem a què certifica l’ISO 27001 en un proveïdor de programari, i també per què no substitueix l’ENS.

Com redactar el plec perquè la comprovació sigui automàtica

La manera d’evitar segells caducats és que el plec no deixi marge:

Exigir la certificació o la declaració de conformitat amb el Reial decret 311/2022, citant-lo pel número, en la categoria que correspongui al sistema licitat, i aportada al sobre administratiu amb el certificat o la declaració complets, no pas amb un logotip.
Fixar la categoria en funció del sistema que es contracta, després de categoritzar-lo com exigeix l’ENS mateix, i no deixar que la triï el licitador.
Exigir que l’abast cobreixi el servei objecte del contracte, amb la redacció de l’abast transcrita a l’oferta.
Exigir la vigència durant tota l’execució, amb l’obligació de renovar i de comunicar qualsevol suspensió o retirada, i amb la pèrdua de la conformitat com a causa de resolució o de penalitat.
Demanar l’ISO 27001 com a criteri addicional, mai com a substitut de l’ENS.

Amb aquestes cinc línies, el proveïdor amb un segell del RD 3/2010 queda fora tot sol, i el que manté la certificació al dia competeix en igualtat. Tenim una guia completa sobre com preparar el plec tècnic amb ENS i una comparativa sobre què canvia segons la mida del proveïdor, en què l’ENS vigent és un dels criteris que igualen l’empresa mitjana amb la gran integradora.

Per què importa més del que sembla

Un sistema desenvolupat o allotjat per un proveïdor sense l’ENS vigent és un incompliment de l’organisme mateix, no només del proveïdor: el Reial decret 311/2022 obliga l’Administració a garantir que els seus sistemes, inclosos els que presten tercers, compleixen l’esquema. Davant d’una auditoria, un incident o una reclamació, el certificat caducat de l’adjudicatari esdevé responsabilitat de l’òrgan de contractació. Comprovar-ho abans d’adjudicar costa deu minuts.

La certificació de CEDESA

CEDESA manté la certificació ENS de categoria mitjana, emesa per OCA Instituto de Certificación (entitat acreditada per ENAC) d’acord amb el Reial decret 311/2022, renovada dins de termini, juntament amb l’ISO 27001 de seguretat de la informació, l’ISO 9001 de qualitat i l’ISO 56001 de gestió de la innovació. Tots els sistemes que desenvolupem per a organismes públics incorporen arquitectures de seguretat dissenyades d’acord amb l’ENS en la categoria mitjana o alta que requereixi cadascun, com expliquem a la pàgina de programari per al sector públic i a la guia sobre què és l’ENS i per què el teu proveïdor l’ha de tenir.

Preguntes freqüents sobre la vigència del certificat ENS

Continua sent vàlid un certificat ENS emès segons el Reial decret 3/2010?

No. El Reial decret 311/2022 va donar vint-i-quatre mesos d’adequació als sistemes preexistents, i el procediment de certificació segons el RD 3/2010 només es va poder fer servir fins al 5 de maig de 2024. Des d’aquella data, un certificat que citi el RD 3/2010 no acredita la conformitat amb l’ENS.

Quant dura un certificat ENS?

Dos anys. Tant la certificació de les categories mitjana i alta com la declaració de conformitat de la categoria bàsica exigeixen verificar el compliment almenys cada dos anys. Un certificat amb més de dos anys des de l’emissió, sense renovació, no és vigent.

Quina diferència hi ha entre la declaració i la certificació de conformitat amb l’ENS?

La declaració de conformitat correspon a la categoria bàsica i es basa en una autoavaluació signada pel responsable del sistema. La certificació correspon a les categories mitjana i alta i requereix una auditoria formal feta per una entitat de certificació acreditada per ENAC. Un plec que exigeix categoria mitjana no es cobreix amb una declaració de categoria bàsica.

Com comprovo el certificat ENS d’un proveïdor?

Demana el certificat o la declaració complets i comprova que citen el Reial decret 311/2022, la categoria igual o superior a l’exigida, un abast que inclogui el servei contractat, una entitat acreditada per ENAC per a la certificació i una data d’emissió de menys de dos anys. El distintiu de conformitat ha de ser al seu web, enllaçat amb el document.

L’ISO 27001 substitueix l’ENS?

No. L’ISO 27001 és una norma internacional voluntària que certifica un sistema de gestió; l’ENS és una obligació legal per als sistemes del sector públic i dels seus proveïdors, amb un catàleg de mesures concretes. Els plecs poden valorar l’ISO 27001 a més de l’ENS, mai en lloc seu.

Conclusió

Un certificat ENS només val si cita el Reial decret 311/2022, té menys de dos anys, cobreix el servei que es contracta en la categoria exigida i l’ha emès qui el pot emetre. Tota la resta és un segell. Comprovar-ho abans d’adjudicar protegeix l’organisme, que respon dels sistemes que li presten tercers, i premia els proveïdors que mantenen la certificació al dia. Si en vols veure una de vigent i parlar del teu projecte, escriu-nos des de la nostra pàgina de contacte.