Declaración de Aplicabilidad del ENS: cómo elegir y justificar las medidas

Qué es la Declaración de Aplicabilidad y quién la firma

El artículo 28 del real decreto pide adoptar las medidas y los refuerzos del anexo II teniendo en cuenta los activos del sistema, su categoría y las decisiones que se tomen para gestionar sus riesgos. La relación de medidas seleccionadas se formaliza en la Declaración de Aplicabilidad, que firma el responsable de la seguridad (artículo 28.2). El CCN, en las preguntas frecuentes de su portal del ENS, admite también que la apruebe un acta del Comité de Seguridad del que forme parte el responsable de la seguridad.

Si tu empresa trabaja para la Administración, puede afectarte: el ENS se aplica también a los sistemas de las empresas privadas que, por contrato, prestan servicios o dan soluciones a entidades del sector público para el ejercicio de sus competencias (artículo 2.3). Y no la confundas con la declaración de conformidad, que es la que se obtiene en categoría BÁSICA tras una autoevaluación (artículo 38).

En la auditoría, el anexo III manda comprobar que hay un sistema de gestión de la seguridad documentado que toma como base esta declaración. Yo la trataría como el índice de todo lo demás, porque cada medida que declares vas a tener que demostrarla con evidencias.

Si vienes de la ISO 27001, su declaración de aplicabilidad es otro documento, hecho sobre otro catálogo de controles. Para aprovechar aquí los controles que ya tienes, mira cómo reutilizar controles entre ISO 27001, ENS y NIS2.

Antes de empezar: la categoría del sistema

La declaración sale de la categoría, así que el orden importa. El anexo I pide valorar el impacto que tendría un incidente en cinco dimensiones de seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cada dimensión afectada se adscribe a un nivel BAJO, MEDIO o ALTO, según el perjuicio sea limitado, grave o muy grave, y si el sistema trata varias informaciones o presta varios servicios, en cada dimensión manda el nivel más alto. Con esos niveles sale la categoría:

• ALTA, si alguna dimensión alcanza el nivel ALTO.
• MEDIA, si alguna alcanza el nivel MEDIO y ninguna llega a ALTO.
• BÁSICA, si alguna alcanza el nivel BAJO y ninguna pasa de ahí.

Las valoraciones son de los responsables de la información y de los servicios, y la categoría la determina el responsable de la seguridad (artículo 41). Apunta también el nivel de cada dimensión, porque parte de las medidas, como las copias de seguridad o el plan de continuidad, se exigen por el nivel de una dimensión y no por la categoría. Y la categoría se reevalúa cada año o cuando cambian de forma significativa los criterios con los que se determinó.

Cómo se eligen las medidas de seguridad del anexo II

El anexo II tiene 73 medidas en tres grupos: 4 del marco organizativo (org), 33 del marco operacional (op) y 36 de medidas de protección (mp). Antes de recorrerlas, mira si tu sistema puede adscribirse a un perfil de cumplimiento específico, un conjunto de medidas para entidades o sectores concretos que valida y publica el CCN (artículo 30). El portal del ENS cita perfiles para entidades locales, universidades y servicios en la nube, y si hay uno para tu caso, la declaración parte de él.

La tabla del anexo II se lee con estas convenciones, que explica el propio anexo:

• La tercera columna dice si la medida se exige por la categoría del sistema o por el nivel de una o varias dimensiones, que aparecen con sus iniciales (C, I, T, A, D).
• aplica significa que la medida se exige.
• n.a. significa que no aplica a efectos de cumplimiento: la medida no es exigible, aunque implantarla pueda ser útil técnicamente.
• + R1, + R2 y siguientes son refuerzos que se suman a los requisitos base de la medida, y no siempre son acumulativos entre sí.
• [R1 o R2] quiere decir que eliges uno de los refuerzos que van entre corchetes.

Estas son seis filas de la tabla, tal como aparecen en el BOE:

Cada medida tiene además su ficha en el anexo, con los requisitos base, los refuerzos y, al final, la «Aplicación de la medida», que dice lo exigible en cada nivel o categoría. Yo la tendría abierta mientras escribo la declaración.

Con op.pl.1 se ve cómo funcionan los refuerzos: en BÁSICA basta un análisis de riesgos informal, en MEDIA el R1 lo hace semiformal y en ALTA el R2 lo hace formal. Con op.cont.2 se ve lo de las dimensiones. El plan de continuidad se exige cuando la disponibilidad tiene nivel ALTO, así que un sistema de categoría ALTA por su confidencialidad, con la disponibilidad en nivel BAJO, no lo tiene como obligatorio por la tabla, aunque tu análisis de riesgos pueda pedirlo.

Cuando la tabla te deja elegir, como en mp.s.2, donde en BÁSICA y MEDIA vale el R1 (auditorías de seguridad de caja negra) o el R2 (de caja blanca), yo dejaría escrito cuál has elegido. Y hay refuerzos opcionales, que el anexo II deja para cuando el análisis de riesgos los recomiende, como el R5 de mp.sw.1, la lista de componentes software de terceros, que no exige ninguna categoría.

Lo que no aplica, lo que se añade y las medidas compensatorias

Una celda n.a. no pide explicación, porque esa medida no es exigible en tu nivel o en tu categoría. El caso delicado es una medida que la tabla sí te exige y que en tu sistema no tiene sentido. Según las preguntas frecuentes del CCN, puede obviarse si se evidencia que no tiene aplicación, como los sellos de tiempo, que no todas las organizaciones usan, pero hay que justificarlo en la declaración.

Una justificación que se sostiene dice qué falta en el sistema y dónde se comprueba, por ejemplo «no hay desarrollo propio: todas las aplicaciones son de terceros y así consta en el inventario de activos». Si solo pone «no aplica», te lo van a preguntar en la auditoría.

También se puede ir hacia arriba. El artículo 28.2 permite al responsable de la seguridad añadir medidas, y el CCN aclara que se pueden sumar refuerzos opcionales, o refuerzos y medidas que el anexo prevé para categorías superiores, cuando hagan falta para tratar riesgos que la organización considera inaceptables. Lo que añadas también va en la declaración.

Si una medida exigida no se puede implantar tal cual, el artículo 28.3 permite sustituirla por una compensatoria. Hay que justificar por escrito que protege igual o mejor del riesgo sobre los activos y que se siguen cumpliendo los principios básicos y los requisitos mínimos. La declaración tiene que indicar de forma detallada qué medida del anexo II compensa cada una, y el conjunto lo aprueba formalmente el responsable de la seguridad.

El CCN pide que cada compensatoria conste en la declaración con su estudio vinculado, hecho según su guía CCN-STIC 819, y recuerda que se examina en la auditoría. Mientras terminas de implantar una medida, admite también medidas complementarias de vigilancia durante un periodo limitado, que igualmente se reflejan en la declaración.

Lo que revisaría antes de firmarla

Antes de que el responsable de la seguridad la firme, yo comprobaría esto:

• Que cada medida lleve todos sus refuerzos. Hay refuerzos que se exigen desde el nivel más bajo. En op.acc.6, la autenticación de los usuarios de la organización, el nivel BAJO ya pide el R8: doble factor para acceder desde o a través de zonas no controladas, como Internet.
• Que cada fila se lea por su tercera columna. Si aplicas la categoría a una medida que va por dimensión, o al revés, te exiges de más o te quedas corto.
• Que cada exclusión tenga un motivo comprobable en el inventario de activos o en la arquitectura del sistema.
• Que las compensatorias digan a qué compensan. Sin esa correspondencia, la declaración no cumple el artículo 28.3.
• Que esté al día. Tanto la categoría como el análisis de riesgos se revisan cada año (anexos I y III). Si cambia cualquiera de los dos, o cambia el sistema, toca revisar la declaración.

Paso a paso

1. Delimita el sistema y haz el inventario de sus activos. Si una parte necesita otro nivel de medidas, el anexo II permite segregarla, siempre que puedan delimitarse su información y sus servicios.
2. Pide a los responsables de la información y de los servicios que valoren las cinco dimensiones, y deja escrito el nivel de cada una.
3. Determina la categoría con las reglas del anexo I. La decisión es del responsable de la seguridad.
4. Comprueba si hay un perfil de cumplimiento específico para tu sistema.
5. Prepara la declaración inicial: medida a medida, si se exige y con qué refuerzos, la justificación de lo que excluyes y la correspondencia de cada compensatoria.
6. Contrasta esa selección con el análisis de riesgos y saca la declaración definitiva, que es el orden que plantea el CCN.
7. Pásala a la firma del responsable de la seguridad. Yo guardaría cada versión con su fecha.
8. Junto a cada medida, yo apuntaría su estado y dónde está la evidencia. En BÁSICA, la autoevaluación tiene que decir si cada medida está implantada y sujeta a revisión regular, con las evidencias que lo sustentan (anexo III).

Dónde encaja Salvik

Salvik trae cargadas las 73 medidas del anexo II. Mapeas tus controles a cada medida, marcas cuáles aplicas con la justificación de lo que excluyes y vinculas las evidencias, con su caducidad si la tienen. La Declaración de Aplicabilidad lo recoge medida a medida y se exporta en CSV.

La categoría no la calcula Salvik: la determina tu responsable de la seguridad. Y la conformidad tampoco la declara ni la certifica Salvik. En MEDIA y ALTA hace falta una auditoría de certificación, a cargo de una entidad de certificación acreditada por ENAC.

El ENS está disponible desde el plan Base, como norma única, y el plan Pro lo lleva junto a ISO 27001, NIS2 e ISO 42001. Puedes verlo con datos de ejemplo en la demo sin registrarte o leer qué cubre Salvik para el ENS.