Categorías ENS — Básica, Media y Alta
Las categorías ENS son los niveles de exigencia de seguridad —Básica, Media y Alta— que determinan las medidas que cada sistema de información debe implantar según el impacto potencial de un incidente.
01 Definición
El ENS clasifica los sistemas de información en tres categorías según el nivel de impacto que tendría un incidente de seguridad sobre la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la información. Las dimensiones de seguridad se evalúan por separado y la categoría del sistema queda determinada por la dimensión con mayor valoración.
Categoría Básica: El impacto de un incidente sería limitado. Se aplica a servicios de información general, trámites de baja sensibilidad o comunicaciones no vinculadas a derechos fundamentales.
Categoría Media: El impacto sería grave. Aplica a sistemas que tramitan datos de ciudadanos, servicios de administración electrónica, o cualquier sistema cuya interrupción afectaría significativamente a la prestación del servicio público. Es la categoría más habitual en ayuntamientos y diputaciones.
Categoría Alta: El impacto sería muy grave o catastrófico. Reservada para sistemas críticos: sanidad, seguridad pública, sistemas electorales o infraestructuras esenciales.
02 Qué significa para las AAPP
La mayoría de los ayuntamientos medianos operan sus sistemas de atención ciudadana en categoría ENS Media. Esta categoría exige un conjunto de 75 medidas de seguridad específicas, incluyendo gestión de activos, análisis de riesgos, gestión de incidentes, plan de continuidad y auditoría bienal. Los hospitales y centros de salud públicos suelen estar en categoría Alta debido a la naturaleza especialmente sensible de los datos sanitarios.
03 Cómo lo aborda Agento
Agento certifica el nivel de cumplimiento ENS del servicio antes de la puesta en producción. Para organismos en categoría Media, el equipo de Agento entrega el análisis de impacto, la declaración de aplicabilidad y la documentación de las medidas implantadas. El cliente únicamente debe integrar esta documentación en su política de seguridad global.