El ENS para software, SaaS y servicios IT afecta a tu producto en cuanto lo usa una Administración pública: tu aplicación, tu cloud o tu equipo pasan a formar parte de su sistema.
Te ayudamos a saber qué categoría tiene tu producto, qué parte de la seguridad es tuya y cuál de tu proveedor cloud, y qué vía de acreditación te conviene. Si necesitas repasar lo básico, lo tienes en nuestra guía del Esquema Nacional de Seguridad.
Cuándo necesita el ENS una empresa de software o servicios IT
El Real Decreto 311/2022 no regula a las empresas tecnológicas por serlo, sino por lo que aportan a los sistemas del sector público. Y el Centro Criptológico Nacional (CCN) fija, mediante sus guías y su catálogo, qué se exige a cada tipo de producto. Según lo que vendas, el ENS te llega por un camino distinto:
Software y SaaS que usa la Administración
Si una entidad pública trabaja con tu aplicación (gestión de expedientes, ERP, CRM, plataformas de citas, firma, formación online…), tu software trata información pública y forma parte de su sistema. Lo que se acredita es el servicio que prestas con ese software: la infraestructura, el desarrollo, la operación y el soporte que lo hacen funcionar. Si tu software es clínico o se usa en hospitales, mira también nuestra página de ENS en el sector sanitario.
Cloud, hosting y servicios gestionados
Centros de datos, alojamiento, copias de seguridad, monitorización o SOC gestionado para clientes públicos. Aquí el ENS se aplica sobre tu infraestructura y tus procesos de operación, y la guía CCN-STIC 823 recoge los requisitos específicos de los servicios en la nube.
Hardware, redes y productos de seguridad: el catálogo CPSTIC
Si fabricas o distribuyes productos (firewalls, equipos de red, cifradores, soluciones de identidad, cámaras IP…), el camino es otro: entrar en el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del CCN, regulado por las guías CCN-STIC 105 y 140. Las entidades públicas lo usan como referencia para elegir productos en sistemas de categoría media y alta.
- Categoría media: se accede, por lo general, con una evaluación con la metodología LINCE.
- Categoría alta: exige pruebas adicionales o una certificación Common Criteria acorde a la familia del producto.
La evaluación técnica la realiza un laboratorio acreditado por el CCN. Nosotros te ayudamos a entender qué te piden tus clientes públicos, a decidir si te conviene el CPSTIC, la certificación ENS de tu servicio o ambas, y a preparar el sistema de gestión que hay detrás.
¿QUIERES CONSEGUIR EL CERTIFICADO ENS?
ENS en SaaS y cloud: categoría, multi-tenant y responsabilidad compartida
Los proyectos ENS de empresas tecnológicas tienen tres puntos críticos que no aparecen en los de otros sectores:
Por qué muchos SaaS acaban en categoría media
Un SaaS para la Administración suele tratar datos personales, documentación de expedientes o información de la que depende un servicio al ciudadano. Al valorar confidencialidad, integridad y disponibilidad, lo habitual es que el resultado sea categoría media. Y si tu plataforma es multi-tenant, hay que demostrar que la información de cada cliente está aislada y que un incidente en uno no afecta al resto. Una buena categorización evita quedarse corto, pero también pagar medidas de categoría alta que no necesitas.
Si usas AWS, Azure o Google Cloud
Los grandes proveedores cloud tienen certificación ENS de categoría alta. AWS, por ejemplo, la tiene en 31 regiones, incluida España. Pero eso no certifica tu aplicación: funcionan con un modelo de responsabilidad compartida. Ellos responden de la infraestructura; tú, de tus identidades y accesos, configuraciones, cifrado, registros, copias y del código que despliegas. Usar un cloud certificado es una gran ventaja de partida, pero el alcance de tu certificación sigue siendo tuyo.
Desarrollo seguro y ciclo de vida del software
El ENS incluye medidas sobre cómo se desarrolla y se cambia el software: entornos separados, pruebas antes de pasar a producción, gestión de cambios y control de las librerías y componentes de terceros. En un equipo que despliega a diario, esto tiene que encajar en tu forma de trabajar (repositorios, integración continua, revisiones) sin frenarla.
Cómo adecuar tu producto o servicio IT al ENS
Con una empresa tecnológica trabajamos sobre lo que ya tienes, no en paralelo:
- Alcance del producto: qué servicios, entornos y equipos entran, y qué parte cubre tu proveedor cloud.
- Categorización y riesgos pensados para una plataforma, incluido el aislamiento entre clientes.
- Encaje con tus marcos actuales: si ya tienes ISO 27001, ISO 27017 para cloud o un informe SOC 2 para clientes internacionales, aprovechamos sus controles y evidencias.
- Medidas técnicas integradas en tu operación: desarrollo seguro, gestión de identidades, registros y monitorización, con evidencias que se generan solas en tu día a día.
- Formación del equipo técnico para que mantenga el sistema sin depender de la consultora.
Puedes ver nuestra metodología completa en consultoría ENS y cómo llegar al certificado en proceso de certificación del ENS. Si lo que te preocupa es lo que te exige un concurso concreto, lo explicamos en ENS para empresas proveedoras de la Administración.
Preguntas frecuentes para software, SaaS y servicios IT
No. Su certificación cubre su infraestructura, no tu aplicación. Partes con ventaja, pero la seguridad de lo que construyes encima, tus accesos y tus configuraciones, y su acreditación, son responsabilidad tuya.
Ninguno de los dos exactamente: se certifican los sistemas que dan soporte al servicio que prestas con tu software. Si vendes un producto físico o de seguridad, la vía suele ser el catálogo CPSTIC del CCN.
Es el catálogo de productos y servicios de seguridad TIC del Centro Criptológico Nacional. Te interesa si fabricas o distribuyes productos que se integran en sistemas públicos de categoría media o alta, porque las entidades lo usan como referencia para comprar.
Sí, como garantía de seguridad reconocida en España, sobre todo en sectores regulados. Para clientes internacionales suele pedirse además ISO 27001 o SOC 2, que se pueden integrar en el mismo sistema.
Te ayudamos en lo que necesites sin compromiso