ENS: qué es el Esquema Nacional de Seguridad y qué le exige a tu clínica

1. Qué es el ENS, en una frase

El ENS —Esquema Nacional de Seguridad— es el marco normativo español regulado por el Real Decreto 311/2022 que establece los principios básicos, requisitos mínimos y medidas de seguridad obligatorias para el tratamiento de la información y la prestación de servicios electrónicos en el ámbito del sector público español y de los sistemas privados que interactúen con él.

1.1. Un marco español propio

El ENS es una norma española específica, complementaria de la normativa europea de protección de datos y de ciberseguridad. Su enfoque no es principalmente el de protección de datos personales —que corresponde al RGPD y a la LOPDGDD— ni el de ciberseguridad general —que corresponde a la Directiva NIS2 y su transposición—, sino el de seguridad de la información en el ámbito específico de la Administración pública española y de los servicios electrónicos que presta.

1.2. Base para la relación con la Administración

El ENS es el estándar que las administraciones públicas españolas exigen a sus proveedores tecnológicos y a las entidades privadas que interactúan con sus sistemas. Para una clínica que trabaja con conciertos públicos, con mutuas colaboradoras, con el Sistema Nacional de Salud o con administraciones autonómicas o locales, el ENS es referencia obligada en la relación electrónica con esos actores institucionales del sector.

2. Por qué existe el ENS

La norma responde a un contexto específico de digitalización de la Administración.

2.1. Confianza en la Administración electrónica

La digitalización creciente de los servicios públicos exige que la información que se tramita electrónicamente tenga garantías de seguridad equivalentes o superiores a las del expediente en papel. El ENS es el marco que asegura esas garantías, con un régimen común aplicable a todas las administraciones y a sus proveedores tecnológicos, para que el ciudadano pueda confiar en que la información pública tratada por vía electrónica está debidamente protegida en la práctica operativa habitual.

2.2. Homogeneidad entre administraciones

Antes del ENS, cada administración pública podía adoptar sus propios criterios de seguridad, con desigualdades entre ellas y con dificultad para gestionar servicios compartidos que exigían interoperabilidad efectiva. El ENS establece un lenguaje común y unos requisitos comunes que hacen posible la interoperabilidad segura entre administraciones y con sus proveedores externos, con las eficiencias que la homogeneización aporta a la operativa del sector público en su conjunto.

2.3. Coordinación con normativa europea

El ENS se coordina con la normativa europea de protección de datos —RGPD—, con la de ciberseguridad —Directiva NIS2— y con las certificaciones europeas de seguridad de la información —esquemas EUCC—. Es un marco compatible y complementario, no sustitutivo, y su aplicación se articula con las obligaciones que las otras normas imponen a los sujetos afectados de forma cumulativa según corresponda en cada caso concreto.

3. A qué sistemas se aplica el ENS

El ámbito subjetivo y objetivo del ENS es amplio y conviene concretarlo caso a caso.

3.1. Administraciones públicas

El ENS se aplica al conjunto del sector público español: Administración General del Estado, administraciones autonómicas, entidades locales, universidades públicas, organismos autónomos, entidades públicas empresariales y resto de entidades del sector público institucional. Todos sus sistemas de información y todos los servicios electrónicos que prestan a ciudadanos y a otras administraciones están dentro del ámbito de aplicación del ENS con carácter general.

3.2. Sector privado como proveedor

El ENS se aplica también a los sistemas de información del sector privado que presten servicios a las administraciones públicas o que traten información de estas administraciones cuando así se establezca en el pliego de contratación correspondiente. La aplicación al sector privado es indirecta pero efectiva: la entidad pública contratante exige el cumplimiento del ENS al proveedor privado como condición del contrato, con la certificación correspondiente al nivel exigible.

3.3. Sistemas privados con interacción

Los sistemas privados que interactúen electrónicamente con sistemas públicos —consulta de datos, remisión de información, tramitación electrónica compartida— pueden estar sujetos al ENS en la parte de la interacción, aunque el resto del sistema privado tenga régimen independiente. La delimitación exacta del alcance del ENS en cada caso concreto exige análisis técnico y jurídico específico del acuerdo o del pliego de contratación correspondiente en cada supuesto.

4. Los tres niveles: básico, medio y alto

El ENS clasifica los sistemas en tres niveles según el impacto que un fallo de seguridad tendría en cinco dimensiones.

4.1. Categorización por impacto

Los sistemas se categorizan como básico, medio o alto en función del impacto que un fallo tendría en cinco dimensiones: confidencialidad, integridad, autenticidad, trazabilidad y disponibilidad. La categorización se hace por cada dimensión de forma independiente, y el nivel del sistema es el nivel más alto de las cinco dimensiones consideradas. Esta metodología es la que determina las medidas de seguridad concretas aplicables al sistema en cada caso.

4.2. Nivel básico

El nivel básico se aplica a sistemas cuyo fallo de seguridad tendría impacto limitado, y exige un conjunto de medidas de seguridad proporcionales a ese nivel de riesgo. Las medidas cubren aspectos organizativos, operativos y técnicos, y su implantación es exigible pero no requiere la sofisticación técnica de los niveles superiores. La mayor parte de sistemas del sector público de menor criticidad se categorizan en este nivel básico correspondiente.

4.3. Niveles medio y alto

El nivel medio se aplica a sistemas cuyo fallo tendría impacto significativo, y el nivel alto a sistemas cuyo fallo tendría impacto muy grave. Las medidas exigidas crecen progresivamente en sofisticación y en coste, con requisitos adicionales de monitorización continua, respuesta a incidentes, auditoría periódica y otros aspectos que la norma detalla técnicamente. Los sistemas críticos del Estado —sanidad electrónica de urgencias, defensa, servicios financieros públicos— se categorizan típicamente en nivel alto correspondiente.

5. Certificación ENS

La certificación del cumplimiento del ENS se articula por dos vías complementarias.

5.1. Certificación de conformidad

El cumplimiento del ENS puede certificarse formalmente por entidades certificadoras acreditadas ante ENAC, con auditoría del sistema conforme a la metodología reglamentaria. La certificación se emite por un nivel específico —básico, medio o alto— y tiene vigencia de dos años, con auditoría intermedia de seguimiento a los doce meses. La certificación es la vía más habitual para acreditar el cumplimiento ante contratación con la Administración pública.

5.2. Declaración de conformidad

Para el nivel básico, el ENS admite también la declaración de conformidad como vía alternativa a la certificación formal. La declaración la firma el responsable del sistema y acredita el cumplimiento sin necesidad de auditoría externa, con menor coste y con validez limitada al nivel básico. Los niveles medio y alto exigen certificación formal por entidad acreditada, sin admitir la vía de declaración simplificada correspondiente al nivel básico.

5.3. Auditoría periódica

El cumplimiento del ENS exige auditoría periódica del sistema, con frecuencia y alcance que dependen del nivel del sistema y del régimen aplicable —certificación o declaración—. Las auditorías son parte estructural del ciclo de mejora continua que el ENS impone, y su realización con el rigor adecuado es la garantía de que la certificación acredita cumplimiento efectivo y no meramente formal del sistema evaluado en cada momento.

6. Obligaciones de una clínica frente al ENS

La aplicación del ENS a una clínica privada depende de sus relaciones con el sector público.

6.1. Contratación con Administración

Cuando la clínica presta servicios a una Administración pública —concierto público con el Sistema Nacional de Salud, convenio con mutuas colaboradoras del sistema, contrato con administración autonómica o local—, el pliego de contratación puede exigir el cumplimiento del ENS en los sistemas afectados por el contrato. La certificación correspondiente al nivel exigido debe estar vigente en la fecha de la contratación y mantenerse durante toda la vigencia del contrato firmado.

6.2. Interacción con sistemas públicos

Cuando la clínica interactúa electrónicamente con sistemas del sector público —remisión de información asistencial a registros oficiales, consulta a bases de datos públicas, tramitación electrónica compartida—, la parte del sistema privado implicada en la interacción puede quedar sujeta a ENS. El alcance exacto de la sujeción depende del régimen concreto de la interacción y de las condiciones que la autoridad pública fije para el acceso a sus sistemas correspondientes.

6.3. Interacción privada sin ENS

Cuando la clínica opera exclusivamente en el ámbito privado —pacientes particulares, aseguradoras privadas, proveedores privados—, el ENS no es aplicable con carácter general al centro. Sí lo es la normativa general de protección de datos —AEPD, RGPD, LOPDGDD— y la de ciberseguridad, pero no el ENS como tal, salvo que se decida adoptarlo voluntariamente como estándar de calidad interna del sistema del centro.

7. Qué debe cumplir tu software con el ENS

Cinco criterios comprobables antes de asumir que el software es compatible con el ENS cuando la clínica lo necesite.

7.1. Los tres criterios estructurales

• Categorización del sistema hecha y documentada por dimensiones de seguridad.
• Medidas de seguridad implantadas proporcionales al nivel de la categorización.
• Trazabilidad de accesos y modificaciones con retención suficiente para auditoría.

7.2. Los dos criterios operativos

• Certificación del proveedor vigente para el nivel que el pliego exija.
• Alojamiento del servicio en infraestructura que también cumple ENS con certificación propia.

7.3. La prueba con un pliego simulado

Coge un pliego de contratación pública que exija ENS y comprueba que tu software cumple lo pedido. Verifica la certificación vigente, el nivel certificado y el alcance del certificado. Si el certificado cubre lo que el pliego pide, puedes concurrir. Si el alcance es distinto o el nivel es inferior, el software no cumple lo pedido, con independencia de que sea excelente para otros usos que no sean el contrato público concreto.

8. Errores frecuentes al hablar del ENS

Tres confusiones habituales, sobre todo en centros que empiezan a trabajar con la Administración pública.

8.1. «ENS es lo mismo que RGPD»

Son normas distintas con ámbitos complementarios. El RGPD regula el tratamiento de datos personales y aplica a todo tratamiento de datos personales en la Unión Europea. El ENS regula la seguridad de la información en el sector público español y en sus proveedores, con enfoque de seguridad global y no específicamente de datos personales. Ambas normas coexisten y se cumplen simultáneamente cuando el sistema trata datos personales en ámbito público, con las obligaciones acumulativas correspondientes a cada una.

8.2. «Con ISO 27001 ya cumplo ENS»

Son estándares próximos pero no equivalentes. ISO 27001 es un estándar internacional de gestión de la seguridad de la información aplicable en cualquier sector y país. ENS es el marco español específico del sector público, con requisitos concretos que no coinciden totalmente con los de ISO 27001. Existen mapeos entre ambos estándares y algunas certificadoras ofrecen certificación conjunta, pero disponer de una no acredita automáticamente cumplimiento de la otra sin verificación específica correspondiente en cada caso concreto.

8.3. «El ENS solo afecta al hospital público»

El ENS afecta a cualquier sistema privado que preste servicios al sector público o que interactúe con sus sistemas cuando así se establezca en la contratación o en el acceso. Una clínica privada que tenga concierto público, que colabore con mutuas o que consulte bases de datos oficiales por interoperabilidad puede tener parte de su sistema sometida al ENS, con las obligaciones concretas que la relación institucional o contractual con la Administración correspondiente establezca en cada momento.

9. Qué aporta obeliOmed con esto

La infraestructura del centro está diseñada con arquitectura compatible con ENS cuando la clínica lo necesite para su relación con la Administración pública.

9.1. Arquitectura de seguridad por niveles

El sistema tiene una arquitectura de seguridad estructurada por niveles, con medidas técnicas y organizativas que cubren las dimensiones exigidas por el ENS. Cuando la clínica necesita acreditar cumplimiento ENS para una contratación pública, la arquitectura permite documentar la categorización y las medidas implantadas con la coherencia que el proceso de auditoría o certificación externa requiere del sistema evaluado.

9.2. Trazabilidad de accesos y modificaciones

El sistema registra los accesos y las modificaciones con la retención suficiente para auditoría, con la información que el ENS exige para las dimensiones de trazabilidad y autenticidad. La documentación auditable está disponible con la profundidad que un auditor certificador o un inspector de la Administración pueden requerir en un proceso de evaluación del sistema del centro correspondiente.

9.3. Alojamiento en infraestructura certificada

El servicio se aloja en infraestructura cloud europea con certificación ENS propia, con las garantías institucionales que la certificación aporta y con la localización geográfica europea que la política de datos sanitarios recomienda. La certificación del alojamiento se suma a las medidas de seguridad del propio software, para configurar un cumplimiento coherente del sistema completo evaluable por auditoría externa correspondiente.