O Esquema Nacional de Seguridade non distingue entre un ministerio e un concello de 3.000 habitantes: a Lei 40/2015 e o Real decreto 311/2022 obrigan todas as entidades do sector público a adecuar os seus sistemas de información. A diferenza está nos medios, e a norma recoñéceo cos perfís de cumprimento específicos: conxuntos de medidas axustados a un tipo de entidade que o Centro Criptolóxico Nacional (CCN) aproba e publica. Para as entidades locais existen tres, dentro da guía CCN-STIC 883: o 883A para concellos de menos de 5.000 habitantes e recursos limitados, o 883B para os de menos de 20.000 e o 883C para os de 20.000 a 75.000. Esta guía explica que son, como se usa un para declarar a conformidade, que papel ten a Deputación e, sobre todo, que lles debe esixir un concello pequeno aos seus provedores de software e de aloxamento, que é onde viven realmente a maioría dos seus sistemas.

Por que un concello pequeno tamén está obrigado

O artigo 156 da Lei 40/2015 establece o ENS como o marco de seguridade da Administración electrónica para todo o sector público, e o Real decreto 311/2022 desenvólveo sen excepcións por tamaño. Os sistemas dun concello (sede electrónica, rexistro, xestor de expedientes, padrón, contabilidade, portal de transparencia, correo) tratan datos persoais dos seus veciños e sosteñen trámites con efectos xurídicos: por iso están dentro. O que a norma modula é como cumprir, a través de dúas ferramentas: a categorización do sistema (básica, media ou alta, segundo o impacto dun incidente) e os perfís de cumprimento específicos do artigo 30.

Que é un perfil de cumprimento específico

O artigo 30 do Real decreto 311/2022 permite que o CCN aprobe perfís de cumprimento específicos para entidades ou sectores concretos, que comprenden o conxunto de medidas de seguridade que, tras a análise de riscos, resultan de aplicación a unha categoría de seguridade determinada. É o principio de proporcionalidade: un concello de 4.000 habitantes non necesita implantar o mesmo catálogo ca unha Consellería, pero si un catálogo definido, completo e auditable para a súa realidade.

A guía CCN-STIC 883, de implantación do ENS en entidades locais, incorpora nos seus anexos os perfís e exemplos de plan de adecuación por tramo de poboación:

Perfil	Ámbito	Que achega
CCN-STIC 883A	Concellos de menos de 5.000 habitantes e con recursos limitados	Medidas mínimas viables con persoal e orzamento moi reducidos; apoio previsto na Deputación ou organismo competente
CCN-STIC 883B	Concellos de menos de 20.000 habitantes	Conxunto de medidas e plan de adecuación tipo para o tramo máis numeroso de municipios españois
CCN-STIC 883C	Concellos de 20.000 a 75.000 habitantes	Perfil para entidades con departamento de informática propio pero recursos limitados

Aplicar o perfil non exime de facer a análise de riscos, a declaración de aplicabilidade e a política de seguridade; o que fai é fixar de antemán que medidas se esperan, de modo que a adecuación e a auditoría teñan un listón claro.

O papel da Deputación

A Lei 7/1985 de bases do réxime local encoméndalles ás Deputacións a prestación dos servizos de administración electrónica aos municipios de menos de 20.000 habitantes, e os perfís do CCN prevén expresamente que estes concellos se apoien na Deputación ou organismo competente durante o plan de adecuación. Na práctica, moitos concellos pequenos usan a sede electrónica, o xestor de expedientes, o rexistro e o aloxamento que lles proporciona a Deputación, e neses casos:

A conformidade deses sistemas acredítaa a Deputación (ou o seu provedor) dentro do seu propio alcance ENS.
O concello segue a ser responsable dos seus sistemas propios (equipos, correo se é propio, aplicacións contratadas directamente) e das medidas organizativas: política de seguridade, responsables, formación, xestión de usuarios.
Debe existir un documento que deixe claro que sistemas cobre a Deputación e cales non, porque o oco entre ambos é onde aparecen os incidentes.

Como se declara a conformidade nun concello pequeno

Co sistema categorizado e o perfil aplicado, a conformidade acredítase como en calquera outra entidade:

Categoría básica: declaración de conformidade baseada nunha autoavaliación, asinada polo responsable do sistema, revisada polo menos cada dous anos.
Categorías media e alta: certificación de conformidade tras a auditoría dunha entidade de certificación acreditada por ENAC para o ENS, tamén con validez de dous anos.

Nos dous casos, o distintivo de conformidade da guía CCN-STIC 809 debe publicarse na web cunha ligazón ao documento. Moitos sistemas municipais que tratan o padrón ou expedientes con datos sensibles quedan categorizados en media, o que esixe certificación e non abonda coa declaración; o perfil non cambia esa regra. Como comprobar que un certificado ENS está vixente explicámolo en certificado ENS caducado: como comprobar o do teu provedor.

Que lle esixir ao provedor de software e de aloxamento

O artigo 31 do Real decreto 311/2022 esixe que os operadores do sector privado que lles presten servizos ás entidades públicas cumpran o ENS no alcance deses servizos. Para un concello pequeno, cuxos sistemas son case todos contratados, isto converte o provedor na peza central. O que hai que pedir, e escribir no prego:

Certificado ou declaración de conformidade ENS vixente, conforme ao RD 311/2022, con menos de dous anos e cuxo alcance inclúa literalmente o servizo contratado (non vale un certificado do aloxamento para un desenvolvemento, nin ao revés).
Categoría igual ou superior á do sistema municipal: se o xestor de expedientes é de categoría media, o provedor debe estar certificado en media ou alta.
Localización e tratamento dos datos: onde se aloxan, quen accede, con que controis, e compromiso de tratamento conforme ao RXPD como encargado.
Rexistro de actividade e rastrexabilidade: quen fixo que en cada expediente, exportable para a auditoría.
Xestión de incidentes: prazos de notificación ao concello e, cando proceda, ao CCN-CERT.
Copias de seguridade e continuidade: frecuencia, probas de restauración, tempo de recuperación.
Actualizacións e xestión de vulnerabilidades do software entregado, con calendario.
Autenticación conforme ao perfil (dobre factor para administradores e para accesos externos).
Saída do contrato: entrega de datos en formato reutilizable e borrado certificado.
Interoperabilidade: cumprimento do Esquema Nacional de Interoperabilidade e das súas normas técnicas, como detallamos en que debe cumprir un xestor de expedientes á medida.

E unha regra práctica: se o provedor non pode amosar o certificado co seu alcance na primeira reunión, non o ten. A guía para escribir estes requisitos de forma que se comproben sós está en como preparar un prego técnico de software con ENS.

Plan de adecuación en oito pasos para un concello pequeno

Inventario de sistemas: propios, da Deputación e contratados, co responsable de cada un.
Categorización de cada sistema segundo o impacto nas cinco dimensións (dispoñibilidade, autenticidade, integridade, confidencialidade, rastrexabilidade).
Elixir o perfil que corresponda por poboación e adoptalo formalmente.
Política de seguridade aprobada polo Pleno ou pola Alcaldía, con designación dos responsables da información, do servizo, da seguridade e do sistema.
Análise de riscos axustada ao perfil e declaración de aplicabilidade.
Repartición coa Deputación e cos provedores: que medidas cobre cada un, por escrito.
Implantación das medidas organizativas propias: usuarios, formación, procedementos, copias, incidentes.
Declaración ou certificación segundo a categoría, publicación do distintivo e calendario de revisión bienal.

Que cambiará con NIS2

A transposición da Directiva NIS2 en España segue sen publicarse no BOE a 16 de setembro de 2026, pero o anteproxecto inclúe as entidades locais de certo tamaño e os seus provedores esenciais, e remite ao ENS como base das medidas. Un concello que adopte hoxe o seu perfil de cumprimento terá o traballo feito cando chegue; explicámolo en NIS2 en España: que lles esixirá aos provedores da Administración e como encaixa co ENS.

Como o fai CEDESA

CEDESA desenvolve xestores de expedientes, sedes electrónicas e sistemas á medida para o sector público, con clientes como as Deputacións de Badajoz, Toledo e Ourense, que lles prestan servizos de administración electrónica aos concellos da súa provincia. A nosa certificación ENS de categoría media, emitida conforme ao Real decreto 311/2022, cobre eses servizos, e mantémola xunto coa ISO 27001. Para un concello pequeno, iso significa que o software que lle chega a través da súa Deputación xa está dentro dun alcance ENS comprobable, e que a repartición de medidas entre provedor, Deputación e concello se documenta desde o inicio do proxecto.

Preguntas frecuentes sobre o ENS nos concellos pequenos

Un concello de menos de 5.000 habitantes ten que cumprir o ENS?

Si. A Lei 40/2015 e o Real decreto 311/2022 obrigan todas as entidades do sector público sen excepción por tamaño. O que a norma permite é aplicar un perfil de cumprimento específico, como o CCN-STIC 883A para concellos de menos de 5.000 habitantes e recursos limitados, que axusta as medidas a esa realidade.

Que son os perfís CCN-STIC 883A, 883B e 883C?

Perfís de cumprimento específicos do ENS para entidades locais, publicados polo Centro Criptolóxico Nacional como anexos da guía CCN-STIC 883: o 883A para concellos de menos de 5.000 habitantes, o 883B para os de menos de 20.000 e o 883C para os de entre 20.000 e 75.000. Fixan o conxunto de medidas aplicables e inclúen exemplos de plan de adecuación.

Pode a Deputación cumprir o ENS polo concello?

En parte. A Deputación acredita a conformidade dos sistemas que presta (sede, rexistro, xestor de expedientes, aloxamento) dentro do seu alcance, e os perfís prevén que os concellos de menos de 20.000 habitantes se apoien nela. Pero o concello segue a ser responsable dos seus sistemas propios e das súas medidas organizativas, e debe quedar por escrito que cobre cada un.

Abonda cunha declaración de conformidade ou fai falta certificación?

Depende da categoría do sistema, non do tamaño do municipio. En categoría básica abonda a declaración de conformidade; en media e alta fai falta a certificación por parte dunha entidade acreditada por ENAC. Un xestor de expedientes con datos sensibles adoita categorizarse en media.

Que lle debo esixir ao meu provedor de software municipal en materia de ENS?

Certificado ou declaración de conformidade vixente conforme ao RD 311/2022, con menos de dous anos, cuxo alcance inclúa o servizo contratado e con categoría igual ou superior á do sistema; ademais, localización dos datos, rastrexabilidade, xestión de incidentes, copias e continuidade, actualizacións, autenticación reforzada e condicións de saída do contrato.

Conclusión

O ENS obriga todos os concellos, pero os perfís CCN-STIC 883A, 883B e 883C fan posible cumprilo cos medios dun municipio pequeno, apoiándose na Deputación e esixíndolle a cada provedor un certificado vixente co alcance correcto. A clave é repartir por escrito quen cobre cada sistema e non deixar ocos. Se queres ver como queda esa repartición nun caso concreto, cóntanos que sistemas ten hoxe o teu concello e quen os presta.