20 Jul Cambios en el ENS, cómo afectarán a las empresas
Aprobada el 25 de mayo de 2021, se buscaba tramitar y aprobar de manera urgente un Real Decreto que sustituyese al Real Decreto 3/2010 de 8 de enero.
La necesidad de actualización atiende a:
- Alinearlo con el marco legislativo actual y de la Estrategia Nacional de Ciberseguridad 2019, para facilitar la seguridad en la Administración Digital.
- Introducir la capacidad de ajustar los requisitos del ENS para adaptarse a la realidad de ciertos colectivos o tipos de sistemas.
- Facilitar una mejor respuesta a las tendencias en ciberseguridad, reducir vulnerabilidades y promover la vigilancia continua.
Principales cambios
- Se define de una mejor forma las organizaciones que se encuentran bajo el ámbito de aplicación del ENS, en esta actualización también se incluyen los sistemas que trabajan con información clasificada. También se refuerza el cumplimento del ENS por parte de las entidades del sector privado que dan servicio a las entidades del sector público.
- Se han actualizado los servicios básicos y se ha incluido el principio de “vigilancia continua”
- Para alcanzar una adecuación del ENS de manera eficaz y eficientemente, mayoritariamente en empresas pequeñas o con menos recursos. A raíz de esto el Centro Criptológico Nacional publicó unos requisitos mínimos, estos deberán ser cumplidos por las organizaciones de un determinado colectivo para que las mismas se puedan acoger a este ENS., estos requisitos tienen el nombre de perfil de cumplimiento específico
- Se han actualizado las medidas de seguridad del anexo III, se han introducido cambios enfocados a aumentar la exigencia de las medidas de seguridad existentes, y se han incorporado nuevas medidas protectoras a las organizaciones frente a las amenazas.
Cómo afectará a las organizaciones
A pesar de que era muy necesaria, la aparición de este Real Decreto ha venido motivada por la aprobación del Plan de Choque de ciberseguridad. La ultima actualización consta de 2015 y el grado de evolución de las organizaciones tanto públicas como privadas, el incremento de ciberataques junto a la evolución de la pandemia y los riesgos conllevados del teletrabajo, hacen que en muchas ocasiones sus normas no sean suficientes para garantizar un nivel de protección adecuado.
Con esta actualización se busca mejorar el nivel ciberseguridad de las organizaciones, puesto que introduce medidas orientadas a facilitar una mejor respuesta a las tendencias en ciberseguridad, reducir vulnerabilidades y promover la vigilancia continua.
Las organizaciones dispondrán de 2 años para adecuarse al nuevo Real Decreto desde la fecha de su publicación si ya pertenecían al R.D. 3/2010, y el resto, desde su entrada en vigor.
Recomendaciones
Es recomendable que las organizaciones trabajen en el análisis de implicaciones y cambios que este real decreto supone desde el momento de su entrada en vigor.
Qué queda por abordar.
En definitiva, todavía queda esperar un tiempo para observar si los objetivos que se persiguen con la actualización del ENS se cumplen y el nivel de ciberseguridad a nivel nacional se incrementa de manera importante.
