Moitos provedores de software seguen lucindo na súa web un selo do Esquema Nacional de Seguridade que xa non acredita nada. O Real decreto 311/2022, que regula o ENS vixente, deu vinte e catro meses para adecuar os sistemas preexistentes, e ese prazo rematou o 5 de maio de 2024: desde entón, un certificado ENS emitido contra o Real decreto 3/2010 carece de valor, e unha certificación ten unha vixencia de dous anos que tamén hai que mirar. O problema é que os pregos e as mesas de contratación non sempre o comproban, e o resultado é adxudicar a quen exhibe un selo caducado fronte a quen mantén o seu ao día. Esta guía explica como se acredita hoxe a conformidade co ENS, como ler un certificado e un distintivo, que preguntas lle facer ao provedor e como redactar o prego para que a comprobación sexa automática.

Que cambiou co Real decreto 311/2022

O ENS naceu co Real decreto 3/2010 e actualizouse en 2015. O Real decreto 311/2022, do 3 de maio, substituíuno por completo: novo catálogo de medidas, reforzo da vixilancia continua, perfís de cumprimento específicos e un tratamento expreso dos provedores do sector público. A súa disposición transitoria fixou vinte e catro meses para que os sistemas preexistentes alcanzasen a plena adecuación, e o Centro Criptolóxico Nacional permitiu seguir usando o procedemento de certificación contra o RD 3/2010 só ata o 5 de maio de 2024.

Consecuencias prácticas a 16 de setembro de 2026:

Un certificado que cite o Real decreto 3/2010 está fóra de norma, teña a data que teña.
Un certificado conforme ao Real decreto 311/2022 só é válido se a súa data de emisión ten menos de dous anos e non foi retirado.
Un selo sen ligazón a un certificado ou a unha declaración comprobable non é un distintivo de conformidade: é unha imaxe.

Como se acredita a conformidade hoxe

O ENS distingue tres categorías de sistema (básica, media e alta) e a forma de acreditar a conformidade depende da categoría:

Categoría básica: declaración de conformidade, baseada nunha autoavaliación que verifique o cumprimento polo menos cada dous anos. Asínaa o propio responsable do sistema.
Categorías media e alta: certificación de conformidade, baseada nunha auditoría formal realizada por unha entidade de certificación acreditada por ENAC para o ENS, tamén polo menos cada dous anos.

Nos dous casos a conformidade faise visible mediante o distintivo de conformidade regulado pola guía CCN-STIC 809, que debe publicarse na web da entidade cunha ligazón ao certificado ou á declaración correspondente. As auditorías seguen a guía CCN-STIC 802. E os provedores que lles prestan servizos ás administracións deben estar en condicións de exhibir a súa declaración ou certificación, porque os seus sistemas están dentro do ámbito do real decreto cando tratan información ou lle prestan servizos á Administración.

Como ler un certificado ENS en cinco comprobacións

A norma que cita. Debe ser o Real decreto 311/2022. Se cita o 3/2010, non vale.
A categoría. Básica, media ou alta. Un contrato que esixe categoría media non se cobre cunha declaración de categoría básica, por vistosa que sexa. Comproba que a categoría do certificado é igual ou superior á que esixe o prego.
O alcance. O certificado describe que sistemas e servizos cobre. Un provedor pode ter certificado o seu servizo de aloxamento e non o seu desenvolvemento de software, ou ao revés. O servizo que contratas ten que estar dentro do alcance literal.
A entidade de certificación e as datas. Para media e alta, a entidade debe estar acreditada por ENAC para o ENS, e o certificado debe ter menos de dous anos. Para básica, a declaración debe estar asinada polo responsable e datada dentro do mesmo prazo.
O distintivo. Debe estar na web do provedor e enlazar co documento. Se a ligazón non existe ou leva a unha imaxe, pide o certificado en PDF e compróbao coa entidade emisora.

Se o provedor non pode entregar o certificado ou a declaración con estas características no momento da licitación, non ten o ENS, con independencia do que diga a súa web.

Que lle preguntar ao provedor antes de adxudicar

Contra que real decreto está emitido o seu certificado e en que data?
Que categoría e que alcance exacto cobre? Está dentro o servizo que licitamos?
Cal é a entidade de certificación e está acreditada por ENAC para o ENS?
Onde está publicado o distintivo e con que documento enlaza?
Cando é a próxima auditoría de renovación e que pasa co contrato se a perde?
Que medidas do ENS se aplican ao sistema concreto que nos vai prestar e como as evidencia?

Un provedor co ENS ao día responde a todo isto nunha páxina e achega o certificado. O que non o ten cambia de tema cara á ISO 27001, que é outra cousa: explicámola en que certifica a ISO 27001 nun provedor de software e por que non substitúe o ENS.

Como redactar o prego para que a comprobación sexa automática

A forma de evitar selos caducados é que o prego non deixe marxe:

Esixir a certificación ou declaración de conformidade co Real decreto 311/2022, citándoo polo seu número, na categoría que lle corresponda ao sistema licitado, e achegada no sobre administrativo co certificado ou a declaración completos, non cun logotipo.
Fixar a categoría en función do sistema que se contrata, tras categorizalo como esixe o propio ENS, e non deixar que o licitador a elixa.
Esixir que o alcance cubra o servizo obxecto do contrato, coa redacción do alcance transcrita na oferta.
Esixir a vixencia durante toda a execución, con obriga de renovar e de comunicar calquera suspensión ou retirada, e coa perda da conformidade como causa de resolución ou de penalidade.
Pedir a ISO 27001 como criterio adicional, nunca como substituto do ENS.

Con estas cinco liñas, o provedor cun selo do RD 3/2010 queda fóra por si só, e o que mantén a súa certificación ao día compite en igualdade. Temos unha guía completa sobre como preparar o prego técnico con ENS e unha comparación sobre que cambia segundo o tamaño do provedor, onde o ENS vixente é un dos criterios que igualan a empresa mediana coa gran integradora.

Por que importa máis do que parece

Un sistema desenvolvido ou aloxado por un provedor sen ENS vixente é un incumprimento do propio organismo, non só do provedor: o Real decreto 311/2022 obriga a Administración a garantir que os seus sistemas, incluídos os que prestan terceiros, cumpren o esquema. Ante unha auditoría, un incidente ou unha reclamación, o certificado caducado do adxudicatario convértese en responsabilidade do órgano de contratación. Comprobalo antes de adxudicar custa dez minutos.

A certificación de CEDESA

CEDESA mantén a certificación ENS de categoría media, emitida por OCA Instituto de Certificación (entidade acreditada por ENAC) conforme ao Real decreto 311/2022, renovada en prazo, xunto coa ISO 27001 de seguridade da información, a ISO 9001 de calidade e a ISO 56001 de xestión da innovación. Todos os sistemas que desenvolvemos para organismos públicos incorporan arquitecturas de seguridade deseñadas conforme ao ENS na categoría media ou alta que requira cada un, como explicamos na páxina de software para o sector público e na guía sobre que é o ENS e por que o teu provedor debe telo.

Preguntas frecuentes sobre a vixencia do certificado ENS

Segue a ser válido un certificado ENS emitido segundo o Real decreto 3/2010?

Non. O Real decreto 311/2022 deulles vinte e catro meses de adecuación aos sistemas preexistentes e o procedemento de certificación contra o RD 3/2010 puido usarse só ata o 5 de maio de 2024. Desde esa data, un certificado que cite o RD 3/2010 non acredita a conformidade co ENS.

Canto dura un certificado ENS?

Dous anos. Tanto a certificación das categorías media e alta como a declaración de conformidade da categoría básica esixen verificar o cumprimento polo menos cada dous anos. Un certificado con máis de dous anos desde a súa emisión, sen renovación, non está vixente.

Que diferenza hai entre declaración e certificación de conformidade co ENS?

A declaración de conformidade correspóndelle á categoría básica e baséase nunha autoavaliación asinada polo responsable do sistema. A certificación correspóndelles ás categorías media e alta e require unha auditoría formal por parte dunha entidade de certificación acreditada por ENAC. Un prego que esixe categoría media non se cobre cunha declaración de categoría básica.

Como comprobo o certificado ENS dun provedor?

Pide o certificado ou a declaración completos e comproba que citan o Real decreto 311/2022, a categoría igual ou superior á esixida, un alcance que inclúa o servizo contratado, unha entidade acreditada por ENAC para a certificación e unha data de emisión con menos de dous anos. O distintivo de conformidade debe estar na súa web cunha ligazón ao documento.

A ISO 27001 substitúe o ENS?

Non. A ISO 27001 é unha norma internacional voluntaria que certifica un sistema de xestión; o ENS é unha obriga legal para os sistemas do sector público e dos seus provedores, cun catálogo de medidas concretas. Os pregos poden valorar a ISO 27001 ademais do ENS, nunca no seu lugar.

Conclusión

Un certificado ENS só vale se cita o Real decreto 311/2022, ten menos de dous anos, cobre o servizo que se contrata na categoría esixida e está emitido por quen pode emitilo. Todo o demais é un selo. Comprobalo antes de adxudicar protexe o organismo, que responde dos sistemas que lle prestan terceiros, e premia os provedores que manteñen a súa certificación ao día. Se queres ver unha vixente e falar do teu proxecto, escríbenos desde a nosa páxina de contacto.