L’Esquema Nacional de Seguretat no distingeix entre un ministeri i un ajuntament de 3.000 habitants: la Llei 40/2015 i el Reial decret 311/2022 obliguen totes les entitats del sector públic a adequar els seus sistemes d’informació. La diferència rau en els mitjans, i la norma ho reconeix amb els perfils de compliment específics: conjunts de mesures ajustats a un tipus d’entitat que el Centre Criptològic Nacional (CCN) aprova i publica. Per als ens locals n’hi ha tres, dins de la guia CCN-STIC 883: el 883A per a ajuntaments de menys de 5.000 habitants i recursos limitats, el 883B per als de menys de 20.000 i el 883C per als de 20.000 a 75.000. Aquesta guia explica què són, com se’n fa servir un per declarar la conformitat, quin paper hi té la diputació i, sobretot, què ha d’exigir un ajuntament petit als seus proveïdors de programari i d’allotjament, que és on viuen realment la majoria dels seus sistemes.

Per què un ajuntament petit també hi està obligat

L’article 156 de la Llei 40/2015 estableix l’ENS com el marc de seguretat de l’Administració electrònica per a tot el sector públic, i el Reial decret 311/2022 el desplega sense excepcions per mida. Els sistemes d’un ajuntament (seu electrònica, registre, gestor d’expedients, padró, comptabilitat, portal de transparència, correu) tracten dades personals dels veïns i sostenen tràmits amb efectes jurídics: per això hi queden inclosos. El que la norma modula és com s’ha de complir, mitjançant dues eines: la categorització del sistema (bàsica, mitjana o alta, segons l’impacte d’un incident) i els perfils de compliment específics de l’article 30.

Què és un perfil de compliment específic

L’article 30 del Reial decret 311/2022 permet que el CCN aprovi perfils de compliment específics per a entitats o sectors concrets, que comprenen el conjunt de mesures de seguretat que, després de l’anàlisi de riscos, són aplicables a una categoria de seguretat determinada. És el principi de proporcionalitat: un ajuntament de 4.000 habitants no necessita implantar el mateix catàleg que una conselleria, però sí un catàleg definit, complet i auditable per a la seva realitat.

La guia CCN-STIC 883, d’implantació de l’ENS en ens locals, incorpora als annexos els perfils i exemples de pla d’adequació per tram de població:

Perfil	Àmbit	Què aporta
CCN-STIC 883A	Ajuntaments de menys de 5.000 habitants i amb recursos limitats	Mesures mínimes viables amb personal i pressupost molt reduïts; suport previst de la diputació o de l’organisme competent
CCN-STIC 883B	Ajuntaments de menys de 20.000 habitants	Conjunt de mesures i pla d’adequació tipus per al tram més nombrós de municipis espanyols
CCN-STIC 883C	Ajuntaments de 20.000 a 75.000 habitants	Perfil per a entitats amb departament d’informàtica propi però recursos limitats

Aplicar el perfil no eximeix de fer l’anàlisi de riscos, la declaració d’aplicabilitat i la política de seguretat; el que fa és fixar per endavant quines mesures s’esperen, de manera que l’adequació i l’auditoria tinguin un llistó clar.

El paper de la diputació

La Llei 7/1985 de bases del règim local encomana a les diputacions la prestació dels serveis d’administració electrònica als municipis de menys de 20.000 habitants, i els perfils del CCN preveuen expressament que aquests ajuntaments tinguin el suport de la diputació o de l’organisme competent durant el pla d’adequació. A la pràctica, molts ajuntaments petits fan servir la seu electrònica, el gestor d’expedients, el registre i l’allotjament que els proporciona la diputació, i en aquests casos:

La conformitat d’aquests sistemes l’acredita la diputació (o el seu proveïdor) dins del seu propi abast ENS.
L’ajuntament continua sent responsable dels seus sistemes propis (equips, correu si és propi, aplicacions contractades directament) i de les mesures organitzatives: política de seguretat, responsables, formació, gestió d’usuaris.
Hi ha d’haver un document que deixi clar quins sistemes cobreix la diputació i quins no, perquè el buit entre els uns i els altres és on apareixen els incidents.

Com es declara la conformitat en un ajuntament petit

Amb el sistema categoritzat i el perfil aplicat, la conformitat s’acredita com en qualsevol altra entitat:

Categoria bàsica: declaració de conformitat basada en una autoavaluació, signada pel responsable del sistema i revisada almenys cada dos anys.
Categories mitjana i alta: certificació de conformitat després de l’auditoria d’una entitat de certificació acreditada per ENAC per a l’ENS, també amb una validesa de dos anys.

En tots dos casos, el distintiu de conformitat de la guia CCN-STIC 809 s’ha de publicar al web enllaçat amb el document. Molts sistemes municipals que tracten el padró o expedients amb dades sensibles es categoritzen en mitjana, cosa que exigeix certificació, i no n’hi ha prou amb la declaració; el perfil no canvia aquesta regla. Com es comprova que un certificat ENS és vigent ho expliquem a certificat ENS caducat: com comprovar el del teu proveïdor.

Què cal exigir al proveïdor de programari i d’allotjament

L’article 31 del Reial decret 311/2022 exigeix que els operadors del sector privat que prestin serveis a les entitats públiques compleixin l’ENS en l’abast d’aquests serveis. Per a un ajuntament petit, que té gairebé tots els sistemes contractats, això converteix el proveïdor en la peça central. El que cal demanar, i escriure al plec:

Certificat o declaració de conformitat ENS vigent, conforme al RD 311/2022, amb menys de dos anys i amb un abast que inclogui literalment el servei contractat (no val un certificat de l’allotjament per a un desenvolupament, ni a l’inrevés).
Categoria igual o superior a la del sistema municipal: si el gestor d’expedients és de categoria mitjana, el proveïdor ha d’estar certificat en mitjana o alta.
Ubicació i tractament de les dades: on s’allotgen, qui hi accedeix, amb quins controls, i compromís de tractament conforme a l’RGPD com a encarregat.
Registre d’activitat i traçabilitat: qui ha fet què en cada expedient, exportable per a l’auditoria.
Gestió d’incidents: terminis de notificació a l’ajuntament i, quan escaigui, al CCN-CERT.
Còpies de seguretat i continuïtat: freqüència, proves de restauració, temps de recuperació.
Actualitzacions i gestió de vulnerabilitats del programari lliurat, amb calendari.
Autenticació conforme al perfil (doble factor per a administradors i per a accessos externs).
Sortida del contracte: lliurament de les dades en un format reutilitzable i esborrament certificat.
Interoperabilitat: compliment de l’Esquema Nacional d’Interoperabilitat i de les seves normes tècniques, com detallem a què ha de complir un gestor d’expedients a mida.

I una regla pràctica: si el proveïdor no pot ensenyar el certificat amb el seu abast a la primera reunió, no el té. La guia per escriure aquests requisits de manera que es comprovin sols és a com preparar un plec tècnic de programari amb ENS.

Pla d’adequació en vuit passos per a un ajuntament petit

Inventari de sistemes: propis, de la diputació i contractats, amb el responsable de cadascun.
Categorització de cada sistema segons l’impacte en les cinc dimensions (disponibilitat, autenticitat, integritat, confidencialitat, traçabilitat).
Triar el perfil que correspongui per població i adoptar-lo formalment.
Política de seguretat aprovada pel ple o per l’alcaldia, amb la designació dels responsables de la informació, del servei, de la seguretat i del sistema.
Anàlisi de riscos ajustada al perfil i declaració d’aplicabilitat.
Repartiment amb la diputació i amb els proveïdors: quines mesures cobreix cadascú, per escrit.
Implantació de les mesures organitzatives pròpies: usuaris, formació, procediments, còpies, incidents.
Declaració o certificació segons la categoria, publicació del distintiu i calendari de revisió biennal.

Què canviarà amb NIS2

La transposició de la Directiva NIS2 a Espanya continua sense publicar-se al BOE a 16 de setembre de 2026, però l’avantprojecte inclou els ens locals d’una certa mida i els seus proveïdors essencials, i remet a l’ENS com a base de les mesures. Un ajuntament que hagi adoptat avui el seu perfil de compliment tindrà la feina feta quan arribi; ho expliquem a NIS2 a Espanya: què exigirà als proveïdors de l’Administració i com encaixa amb l’ENS.

Com ho fa CEDESA

CEDESA desenvolupa gestors d’expedients, seus electròniques i sistemes a mida per al sector públic, amb clients com les diputacions de Badajoz, Toledo i Ourense, que presten serveis d’administració electrònica als ajuntaments de la seva província. La nostra certificació ENS de categoria mitjana, emesa d’acord amb el Reial decret 311/2022, cobreix aquests serveis, i la mantenim juntament amb l’ISO 27001. Per a un ajuntament petit, això vol dir que el programari que li arriba a través de la seva diputació ja queda dins d’un abast ENS comprovable, i que el repartiment de mesures entre proveïdor, diputació i ajuntament es documenta des de l’inici del projecte.

Preguntes freqüents sobre l’ENS en ajuntaments petits

Un ajuntament de menys de 5.000 habitants ha de complir l’ENS?

Sí. La Llei 40/2015 i el Reial decret 311/2022 obliguen totes les entitats del sector públic, sense excepció per mida. El que la norma permet és aplicar un perfil de compliment específic, com ara el CCN-STIC 883A per a ajuntaments de menys de 5.000 habitants i recursos limitats, que ajusta les mesures a aquesta realitat.

Què són els perfils CCN-STIC 883A, 883B i 883C?

Perfils de compliment específics de l’ENS per a ens locals, publicats pel Centre Criptològic Nacional com a annexos de la guia CCN-STIC 883: el 883A per a ajuntaments de menys de 5.000 habitants, el 883B per als de menys de 20.000 i el 883C per als d’entre 20.000 i 75.000. Fixen el conjunt de mesures aplicables i inclouen exemples de pla d’adequació.

La diputació pot complir l’ENS per l’ajuntament?

En part. La diputació acredita la conformitat dels sistemes que presta (seu, registre, gestor d’expedients, allotjament) dins del seu abast, i els perfils preveuen que els ajuntaments de menys de 20.000 habitants en tinguin el suport. Però l’ajuntament continua sent responsable dels seus sistemes propis i de les seves mesures organitzatives, i ha de quedar per escrit què cobreix cadascú.

N’hi ha prou amb una declaració de conformitat o cal certificació?

Depèn de la categoria del sistema, no de la mida del municipi. En categoria bàsica n’hi ha prou amb la declaració de conformitat; en mitjana i alta cal la certificació d’una entitat acreditada per ENAC. Un gestor d’expedients amb dades sensibles se sol categoritzar en mitjana.

Què he d’exigir al meu proveïdor de programari municipal en matèria d’ENS?

Certificat o declaració de conformitat vigent conforme al RD 311/2022, amb menys de dos anys, amb un abast que inclogui el servei contractat i amb una categoria igual o superior a la del sistema; a més, ubicació de les dades, traçabilitat, gestió d’incidents, còpies i continuïtat, actualitzacions, autenticació reforçada i condicions de sortida del contracte.

Conclusió

L’ENS obliga tots els ajuntaments, però els perfils CCN-STIC 883A, 883B i 883C fan possible complir-lo amb els mitjans d’un municipi petit, amb el suport de la diputació i exigint a cada proveïdor un certificat vigent amb l’abast correcte. La clau és repartir per escrit qui cobreix cada sistema i no deixar buits. Si vols veure com queda aquest repartiment en un cas concret, explica’ns quins sistemes té avui el teu ajuntament i qui els presta.