1. INTRODUCCIÓN: SEGURIDAD PÚBLICA DIGITAL Y SERVICIOS ESENCIALES

El Esquema Nacional de Seguridad (ENS) y el sistema de protección de las infraestructuras críticas responden a una misma preocupación general: impedir que la degradación, manipulación, indisponibilidad o destrucción de activos esenciales provoque daños graves a la ciudadanía y al funcionamiento de las instituciones. Sin embargo, no son dos normas intercambiables. El ENS regula cómo deben protegerse la información y los servicios prestados mediante sistemas de información dentro de su ámbito de aplicación; la Ley 8/2011 y su reglamento articulan un sistema nacional de identificación, planificación, coordinación y protección de infraestructuras estratégicas cuya perturbación tendría un grave impacto sobre servicios esenciales.

Para un técnico de sistemas del Servicio Andaluz de Salud, la distinción es decisiva. Un sistema clínico, administrativo o de comunicaciones puede quedar sometido al ENS por pertenecer al sector público, con independencia de que forme o no parte de una infraestructura designada como crítica. A su vez, una instalación, red o sistema sanitario solo adquiere la condición jurídica de infraestructura crítica cuando ha sido identificado y designado por el procedimiento previsto en la normativa de protección de infraestructuras críticas. Por tanto, no es correcto afirmar que todo hospital, todo centro de proceso de datos o toda aplicación sanitaria sea automáticamente una infraestructura crítica. Lo correcto es analizar cada régimen jurídico, su ámbito, sus responsables y sus instrumentos.

El ENS persigue una protección adecuada y proporcional. No impone una lista idéntica de controles a todos los sistemas, sino que exige conocer los activos, valorar las dimensiones de seguridad, determinar la categoría del sistema, analizar los riesgos y seleccionar las medidas y refuerzos aplicables. Esa selección se formaliza en la Declaración de Aplicabilidad. La seguridad se trata como un proceso integral que cubre el ciclo de vida completo: planificación, diseño, adquisición, desarrollo, despliegue, explotación, mantenimiento, gestión de incidentes y retirada.

La protección de infraestructuras críticas adopta una perspectiva adicional: la continuidad de los servicios esenciales y la coordinación entre poderes públicos, Fuerzas y Cuerpos de Seguridad, operadores públicos y privados y autoridades sectoriales. Su lenguaje gira alrededor de conceptos como servicio esencial, sector estratégico, infraestructura estratégica, infraestructura crítica, operador crítico, interdependencias y planes de protección. La protección comprende amenazas físicas y lógicas, y obliga a coordinar la seguridad corporativa del operador con la planificación pública.

En el ámbito sanitario, la relevancia práctica es evidente. La asistencia depende de la disponibilidad de redes, identificación de pacientes y profesionales, historia clínica, prescripción, laboratorio, imagen médica, citación, logística, recursos humanos y gestión económica. Un fallo de seguridad puede afectar simultáneamente a la confidencialidad de datos de salud, a la integridad de decisiones clínicas, a la trazabilidad de accesos y a la continuidad asistencial. La seguridad no es, por ello, un añadido técnico posterior, sino un requisito de calidad, legalidad, seguridad del paciente y continuidad del servicio público.

Este tema se estudia mejor mediante una cadena lógica. Primero se determina qué norma resulta aplicable. Después se identifican responsables y activos; se valoran las dimensiones de seguridad y se categoriza el sistema; se analizan y tratan los riesgos; se seleccionan controles; se implantan evidencias, monitorización, respuesta y continuidad; y finalmente se verifica la conformidad mediante autoevaluación, auditoría y mejora continua. Para infraestructuras críticas, la cadena añade identificación y designación, integración en el Catálogo Nacional, planificación sectorial, planes del operador, planes específicos y coordinación operativa.

2. MARCO NORMATIVO Y EVOLUCIÓN DEL ENS

El ENS vigente se regula por el Real Decreto 311/2022, de 3 de mayo. Esta norma sustituyó al Real Decreto 3/2010 y actualizó el esquema para incorporar la evolución tecnológica, la expansión de servicios en nube, la interconexión, las cadenas de suministro, el trabajo remoto, la monitorización continua y la sofisticación de las amenazas. En una oposición es imprescindible identificar correctamente la norma vigente: el Real Decreto 3/2010 conserva valor histórico, pero no debe utilizarse como fundamento de los requisitos actuales.

La base legal del ENS se encuentra en la legislación de régimen jurídico y funcionamiento electrónico del sector público. El artículo 156 de la Ley 40/2015, de Régimen Jurídico del Sector Público, define el ENS como el conjunto de principios y requisitos que garantizan una protección adecuada de la información tratada y los servicios prestados. La Ley 39/2015 y el Real Decreto 203/2021 completan el marco de actuación administrativa por medios electrónicos. El ENS no es una política voluntaria ni una certificación comercial: es una obligación jurídica para los sujetos y sistemas incluidos en su ámbito.

La norma se estructura en un articulado y cuatro anexos. El anexo I regula las categorías de seguridad; el anexo II contiene las medidas de seguridad y sus refuerzos; el anexo III fija el objeto, alcance e interpretación de la auditoría; y el anexo IV ofrece un glosario. Esta estructura permite distinguir la parte de gobierno y requisitos generales de la parte operativa. El articulado explica qué debe conseguirse y quién responde; los anexos concretan cómo se determina la categoría, qué controles son exigibles y cómo se verifica su implantación.

El ENS convive con la normativa de protección de datos. Cuando un sistema trata datos personales, se aplican el Reglamento General de Protección de Datos, la Ley Orgánica 3/2018 y, en su caso, la normativa sectorial correspondiente. El análisis de riesgos del ENS no sustituye al análisis de riesgos de protección de datos ni a la evaluación de impacto relativa a la protección de datos cuando esta resulte exigible. Ambos marcos persiguen finalidades parcialmente diferentes: el ENS protege información y servicios públicos en un sentido amplio; la normativa de protección de datos tutela los derechos y libertades de las personas respecto del tratamiento de sus datos. Si el análisis de protección de datos exige medidas más rigurosas que las derivadas del ENS, deben implantarse las medidas agravadas.

También existe relación con la normativa de seguridad de redes y sistemas, servicios esenciales, comunicaciones electrónicas, contratación pública, secretos oficiales, seguridad nacional y protección de infraestructuras críticas. Esta superposición no debe resolverse escogiendo una sola norma, sino mediante cumplimiento acumulativo y coordinado. Un servicio sanitario puede estar sujeto simultáneamente al ENS, RGPD, legislación sanitaria, contratación pública, requisitos de continuidad y, si concurre designación formal, normativa de infraestructuras críticas.

El Centro Criptológico Nacional desarrolla el ENS mediante instrucciones técnicas y la serie de guías CCN-STIC 800. Las guías ayudan a valorar sistemas, auditar, verificar el cumplimiento, elaborar la declaración de aplicabilidad y tramitar declaraciones o certificaciones de conformidad. Son instrumentos técnicos de referencia, pero no sustituyen al real decreto. En preguntas tipo test, conviene distinguir entre la norma obligatoria y la guía que explica su aplicación.

La actualización normativa no significa que todo concepto anterior haya desaparecido. Se mantienen la gestión de riesgos, la categorización, la proporcionalidad y los tres grupos de medidas, pero cambia la formulación de controles, aparecen refuerzos y se adapta la gobernanza. El estudio debe apoyarse en el texto consolidado vigente y en guías actualizadas, evitando materiales que mezclen códigos antiguos y actuales.

3. OBJETO Y ÁMBITO DE APLICACIÓN DEL ENS

El objeto del ENS es fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información conforme a sus especificaciones, sin interrupciones o alteraciones fuera de control y sin acceso por personas no autorizadas. Esta formulación integra varias propiedades: acceso legítimo, confidencialidad, integridad, trazabilidad, autenticidad, disponibilidad y conservación. El ENS no se limita a la ciberseguridad defensiva; abarca gobierno, organización, personas, instalaciones, operación, continuidad, adquisición, desarrollo y relaciones con terceros.

El artículo 2 del Real Decreto 311/2022 lo aplica a todo el sector público en los términos del artículo 2 de la Ley 40/2015. En el SAS, esta regla comprende los sistemas utilizados para ejercer competencias, prestar asistencia, gestionar recursos, relacionarse con la ciudadanía y dar soporte a la organización. La aplicación no depende de que el sistema esté conectado a Internet ni de que trate datos de salud. Un sistema interno, una plataforma de gestión económica o una herramienta de recursos humanos pueden estar sujetos al ENS por sostener servicios públicos o información administrativa.

El ámbito se extiende a sistemas de entidades privadas cuando, de acuerdo con la normativa aplicable y mediante una relación contractual, prestan servicios o proveen soluciones a entidades públicas para el ejercicio de competencias y potestades administrativas. En ese supuesto, la entidad privada debe contar con política de seguridad y el contrato debe recoger los requisitos necesarios para asegurar la conformidad del sistema. La exigencia puede alcanzar a la cadena de suministro cuando el análisis de riesgos lo justifique.

La contratación no desplaza la responsabilidad pública. El proveedor debe cumplir obligaciones, mantener evidencias, comunicar incidentes y designar un punto de contacto de seguridad cuando proceda; la entidad pública debe gobernar el riesgo, definir requisitos, supervisar el servicio y conservar capacidad de decisión. Una cláusula genérica que diga “el proveedor cumplirá el ENS” es insuficiente si no se concreta el sistema afectado, la categoría, las medidas, los niveles de servicio, la gestión de incidentes, la reversibilidad, las evidencias y la conformidad exigida.

En servicios en nube, el ENS no convierte automáticamente a todo proveedor en conforme. Debe analizarse el servicio concreto, su alcance, la localización y tratamiento de información, la segregación entre clientes, la administración privilegiada, el cifrado, la continuidad, la portabilidad, la eliminación segura y el acceso a evidencias. La conformidad de un proveedor o de una plataforma ayuda, pero la entidad usuaria debe verificar que el alcance certificado cubre realmente la solución contratada y que la configuración efectivamente desplegada coincide con el alcance evaluado.

Los sistemas que tratan información clasificada quedan sometidos al ENS sin perjuicio de la normativa especial y de las medidas complementarias que correspondan. Del mismo modo, las redes y servicios 5G del sector público deben cumplir las previsiones específicas aplicables además del ENS. La técnica jurídica es acumulativa: la norma especial añade exigencias, no elimina el esquema general.

4. PRINCIPIOS BÁSICOS Y REQUISITOS MÍNIMOS

El artículo 5 del Real Decreto 311/2022 formula siete principios básicos que orientan toda decisión de seguridad: seguridad como proceso integral; gestión de la seguridad basada en los riesgos; prevención, detección, respuesta y conservación; existencia de líneas de defensa; vigilancia continua; reevaluación periódica; y diferenciación de responsabilidades. No son controles aislados. Funcionan como criterios de diseño y sirven para interpretar los requisitos y las medidas del anexo II.

La seguridad como proceso integral impide reducir el cumplimiento a comprar herramientas. Una organización puede disponer de cortafuegos, antivirus y copias de seguridad y seguir incumpliendo si carece de responsables, inventario, procedimientos, formación, control de cambios o pruebas de recuperación. El proceso integral conecta personas, tecnología, instalaciones, contratos y gestión. También obliga a contemplar el ciclo de vida: un activo que se adquiere sin requisitos, se configura sin endurecimiento o se retira sin borrado seguro genera riesgos aunque su operación cotidiana parezca correcta.

La gestión basada en riesgos significa que la protección se diseña a partir de los daños posibles, amenazas, vulnerabilidades y probabilidad. El ENS establece mínimos, pero permite añadir medidas cuando el riesgo lo exige y admitir medidas compensatorias cuando protegen igual o mejor, siempre con justificación documental y aprobación. La proporcionalidad no permite rebajar arbitrariamente controles; exige una decisión razonada, trazable y revisable.

El ciclo de prevención, detección, respuesta y conservación reconoce que ningún sistema puede considerarse invulnerable. Prevenir reduce la probabilidad; detectar limita el tiempo de permanencia del atacante; responder contiene y recupera; conservar preserva evidencias, información y capacidad de reconstrucción. En sanidad, la respuesta debe coordinarse con continuidad asistencial: aislar un sistema puede ser necesario para contener un ataque, pero debe gestionarse el impacto sobre la atención y activar alternativas operativas.

Las líneas de defensa evitan que un único error comprometa todo el sistema. Pueden representarse como capas organizativas y técnicas: gobierno y política; controles preventivos; monitorización y supervisión; auditoría independiente; y capacidad de respuesta y recuperación. La vigilancia continua complementa, no sustituye, a la auditoría periódica. Un sistema puede superar una auditoría y degradarse después por cambios, cuentas huérfanas, vulnerabilidades o configuraciones divergentes.

La diferenciación de responsabilidades separa decisiones sobre información, servicios, seguridad y sistema. Busca evitar conflictos de interés: quien explota o administra no debe ser el único que decide si sus propios controles son adecuados. En organizaciones grandes, esta separación se materializa en comités, responsables formales, segregación de funciones y revisión independiente.

Los principios se concretan en quince requisitos mínimos del artículo 12: organización e implantación del proceso de seguridad; análisis y gestión de riesgos; gestión de personal; profesionalidad; autorización y control de accesos; protección de instalaciones; adquisición de productos y contratación de servicios de seguridad; mínimo privilegio; integridad y actualización del sistema; protección de información almacenada y en tránsito; prevención ante otros sistemas interconectados; registro de actividad y detección de código dañino; gestión de incidentes; continuidad; y mejora continua.

5. POLÍTICA, ORGANIZACIÓN Y RESPONSABILIDADES

El cumplimiento comienza con una política de seguridad aprobada por el órgano competente. La política expresa objetivos, alcance, principios, estructura organizativa, responsabilidades, proceso de gestión de riesgos y marco de revisión. No debe confundirse con un manual técnico ni con una colección de configuraciones. Constituye la decisión de gobierno que legitima la organización de seguridad y obliga a desarrollar normas y procedimientos.

El ENS distingue, como mínimo, cuatro responsabilidades: responsable de la información, responsable del servicio, responsable de la seguridad y responsable del sistema. El responsable de la información determina los requisitos de seguridad de la información tratada; el responsable del servicio establece los requisitos del servicio; el responsable de la seguridad decide y supervisa las medidas necesarias; y el responsable del sistema desarrolla, opera y mantiene el sistema conforme a esas decisiones. En sistemas complejos pueden existir responsables delegados, comités y equipos especializados, pero las funciones deben quedar inequívocamente asignadas.

La norma exige que el responsable de la seguridad sea distinto del responsable del sistema y que no exista dependencia jerárquica entre ambos, salvo situaciones excepcionales justificadas en las que se implanten medidas compensatorias. La razón es de control interno: el área que explota un sistema tiene objetivos de disponibilidad, plazos y operación; el responsable de seguridad debe poder cuestionar riesgos y exigir medidas sin estar subordinado a quien se evalúa.

En el SAS, esta organización debe adaptarse a una estructura distribuida, con servicios centrales, centros sanitarios, unidades TIC, responsables funcionales, proveedores y plataformas transversales. No es suficiente designar nombres. Deben definirse competencias sobre autorizaciones, cambios, riesgos, incidentes, continuidad, evidencias y aceptación de riesgos residuales. En un sistema clínico, por ejemplo, la decisión sobre qué información es crítica requiere participación funcional y asistencial; la implantación técnica corresponde a los equipos del sistema; la seguridad supervisa y verifica; y la dirección acepta el riesgo residual dentro de sus competencias.

La organización también comprende al personal. Toda persona, propia o externa, que se relacione con los sistemas debe conocer sus deberes, recibir formación adecuada y actuar conforme a procedimientos. La concienciación general no sustituye a la capacitación específica: un administrador, un desarrollador, un operador de respaldo o un gestor de identidades necesitan contenidos distintos. El principio de profesionalidad exige que la seguridad sea atendida, revisada y auditada por personal cualificado durante todo el ciclo de vida.

Los servicios externalizados deben contar, salvo causa justificada, con un punto o persona de contacto de seguridad. Este punto canaliza cumplimiento e incidentes y se relaciona con el responsable público. El contrato debe hacer posible la supervisión: derecho de auditoría, entrega de evidencias, notificación, cooperación forense, continuidad, retorno de información y eliminación segura. Sin esas facultades, la responsabilidad pública sería formal pero no gobernable.

SISTEMA: Plataforma asistencial X
Responsable de la información: determina impactos sobre datos clínicos
Responsable del servicio: determina impactos sobre prestación asistencial
Responsable de seguridad: selecciona y supervisa medidas
Responsable del sistema: implanta, opera y mantiene
Propietarios de activos: mantienen inventario y requisitos
Proveedor: ejecuta obligaciones contractuales y aporta evidencias
Dirección: aprueba política y acepta riesgos dentro de su competencia

Los comités de seguridad resultan útiles para resolver conflictos entre necesidades funcionales, costes, plazos y riesgos. Deben trabajar con información concreta: activos, categoría, escenarios de riesgo, desviaciones, incidentes, indicadores y planes de tratamiento. Un comité que solo recibe informes genéricos no cumple su función de gobierno. La madurez se observa cuando las decisiones dejan rastro: quién decidió, con qué evidencia, qué riesgo aceptó, durante cuánto tiempo y qué acción correctora se programó.

6. ANÁLISIS Y GESTIÓN DE RIESGOS. DECLARACIÓN DE APLICABILIDAD

El artículo 14 obliga a cada organización a realizar su propia gestión de riesgos mediante análisis y tratamiento, utilizando una metodología reconocida. En la Administración española, MAGERIT constituye una referencia ampliamente utilizada, apoyada por herramientas como PILAR, aunque el ENS no impone una única herramienta. Lo esencial es que el método permita identificar activos, dependencias, amenazas, salvaguardas, impacto, probabilidad, riesgo y decisiones de tratamiento.

El análisis comienza con el alcance. Debe saberse qué servicio se estudia, qué información maneja, qué procesos soporta, qué organizaciones participan, qué ubicaciones y proveedores intervienen y qué interconexiones existen. Un alcance demasiado estrecho oculta dependencias críticas; uno ilimitado impide gestionar. En un sistema sanitario, es frecuente que el servicio dependa de identidad corporativa, comunicaciones, bases de datos, virtualización, almacenamiento, copias, directorios, integraciones y soporte externo. El análisis debe reflejar esa cadena.

Los activos esenciales son la información y los servicios. Los activos de soporte —aplicaciones, datos, equipos, comunicaciones, instalaciones, personas y servicios externos— reciben su valor por dependencia. Esta lógica evita proteger solo servidores visibles. La interrupción de un directorio, una red o un servicio de sincronización puede afectar a múltiples aplicaciones aunque no contenga directamente información clínica.

Las amenazas describen eventos capaces de causar daño: errores humanos, fallos técnicos, código dañino, abuso de privilegios, accesos no autorizados, indisponibilidad de suministros, incendio, inundación, pérdida de dispositivos, compromisos de proveedores o ataques deliberados. La vulnerabilidad es la debilidad que permite materializar la amenaza. El riesgo combina la probabilidad o frecuencia con las consecuencias. El impacto, en cambio, se centra en el daño si el evento ocurre. Esta distinción es habitual en examen.

El tratamiento puede consistir en reducir, evitar, transferir o aceptar el riesgo. Transferir mediante seguro o contrato no elimina el impacto ni la responsabilidad pública. La aceptación debe ser explícita, competente, motivada y temporalmente revisable. No es correcto registrar como “aceptado” un riesgo que supera la capacidad legal de aceptación o que carece de responsable.

La selección de medidas se formaliza en la Declaración de Aplicabilidad, firmada por el responsable de seguridad. Este documento identifica medidas y refuerzos aplicables, estado de implantación, justificaciones, medidas compensatorias y evidencias. Es el puente entre categoría, análisis de riesgos, controles y auditoría. Una declaración copiada de otro sistema carece de valor si no refleja activos, arquitectura, amenazas y decisiones reales.

DECLARACIÓN DE APLICABILIDAD · REGISTRO MÍNIMO DE CONTROL
Medida: op.acc.6 · Mecanismo de autenticación
Aplicabilidad: Sí
Refuerzos: según categoría, dimensión y riesgo
Implantación: Completa / Parcial / Pendiente
Evidencia: configuración, procedimiento, prueba y registro
Responsable: unidad que implanta y unidad que supervisa
Riesgo residual: valoración tras la medida
Desviación: acción, responsable y fecha objetivo
Compensación: equivalencia documentada, si procede

Las medidas compensatorias son posibles cuando protegen igual o mejor que la medida sustituida y siguen satisfaciendo principios y requisitos mínimos. Deben documentarse con detalle y aprobarse formalmente. No son una vía para declarar “no aplica” por comodidad o coste. La auditoría debe poder verificar la equivalencia, las evidencias y el riesgo residual.

El análisis no es un documento estático. Debe revisarse cuando cambian el servicio, la arquitectura, los proveedores, la categoría, las amenazas o las vulnerabilidades. Una migración a nube, una nueva integración con terceros, la apertura de acceso remoto o el tratamiento de una nueva categoría de información pueden alterar el riesgo. La mejora continua exige incorporar incidentes, resultados de auditoría, vulnerabilidades y pruebas de continuidad.

7. CATEGORIZACIÓN DE LOS SISTEMAS DE INFORMACIÓN

La categoría del sistema determina el nivel de exigencia de muchas medidas del anexo II. Se obtiene valorando el impacto que tendría un incidente sobre cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cada dimensión recibe un nivel BAJO, MEDIO o ALTO según el perjuicio que produciría su quebranto. La categoría global es BÁSICA, MEDIA o ALTA y corresponde al mayor nivel asignado a cualquiera de las dimensiones.

La disponibilidad valora el daño derivado de que la información o el servicio no estén accesibles cuando se necesitan. En sanidad, el tiempo es esencial: no tiene el mismo impacto la caída de una herramienta de consulta estadística que la indisponibilidad de un servicio utilizado en atención urgente. La categoría no se asigna por intuición ni por reputación del sistema; debe justificarse con procesos, tiempos máximos tolerables, alternativas y consecuencias.

La autenticidad protege la certeza sobre la identidad de quien actúa y el origen de información o servicios. Un fallo puede permitir que una acción aparezca atribuida a otra persona o que una orden falsa se acepte como legítima. La integridad protege contra alteraciones no autorizadas o incorrectas. En datos clínicos, una modificación de alergias, dosis, resultados o identidad puede tener consecuencias asistenciales graves aunque el sistema permanezca disponible.

La confidencialidad limita el conocimiento de la información a personas, procesos y sistemas autorizados. Los datos de salud son categorías especiales de datos personales, pero la valoración ENS no se resuelve únicamente por esa etiqueta: debe estimarse el daño concreto de una revelación, su escala, sensibilidad, contexto y obligaciones legales. La trazabilidad permite reconstruir quién hizo qué, cuándo, sobre qué objeto y con qué resultado. Es indispensable para investigación, responsabilidad, detección de abuso y confianza.

El anexo I asocia los niveles con la gravedad del perjuicio: limitado para BAJO, grave para MEDIO y muy grave para ALTO. La valoración considera efectos sobre funciones de la organización, activos, cumplimiento legal, derechos de las personas y otros daños relevantes. Debe participar el responsable de la información o del servicio, porque la unidad técnica no puede valorar por sí sola el impacto asistencial, jurídico o institucional.

La regla de máximo evita promediar dimensiones. Un sistema con disponibilidad MEDIA, integridad ALTA y confidencialidad MEDIA es de categoría ALTA. No cabe “compensar” la integridad alta con dimensiones bajas. La categoría marca el suelo de protección; un riesgo específico puede requerir refuerzos superiores.

La categorización debe documentarse y aprobarse. Su reevaluación se realiza periódicamente y cuando se producen cambios significativos: nuevas funciones, aumento de usuarios, integración con sistemas externos, cambio de proveedor, nueva información, expansión geográfica o modificación de consecuencias. Mantener una categoría desactualizada produce una falsa apariencia de cumplimiento.

En un servicio sanitario no es riguroso afirmar de forma genérica que “todo es ALTO”. La valoración puede conducir a categoría alta en sistemas cuya indisponibilidad, alteración o pérdida de confidencialidad provoque daños muy graves, pero debe existir una resolución motivada. La prudencia técnica consiste en documentar consecuencias y dependencias, no en aplicar etiquetas sin análisis.

La categoría tampoco equivale al nivel de madurez. Un sistema ALTO puede tener deficiencias y un sistema BÁSICO puede estar bien gestionado. La categoría expresa la exigencia; la madurez expresa la calidad y consistencia con que los procesos se ejecutan. La auditoría debe comprobar ambas dimensiones: existencia de controles y eficacia real.

8. MEDIDAS DEL ANEXO II: ORGANIZATIVAS, OPERACIONALES Y DE PROTECCIÓN

El anexo II agrupa las medidas en tres bloques. El marco organizativo, identificado con org, establece política, normativa y procedimientos. El marco operacional, identificado con op, regula planificación, control de acceso, explotación, servicios externos, continuidad y monitorización. Las medidas de protección, identificadas con mp, se orientan a instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios.

La tabla de aplicabilidad no debe leerse como una lista mecánica. Algunas medidas se exigen en todas las categorías; otras incorporan refuerzos según categoría o dimensión; otras dependen de circunstancias. El análisis de riesgos puede añadir controles. La implantación debe alcanzar niveles de madurez coherentes: el ENS asocia de forma general la categoría BÁSICA con un proceso gestionado, la MEDIA con un proceso establecido y la ALTA con un proceso predecible, utilizando la escala de madurez definida en el anexo.

El marco organizativo debe generar documentos útiles y controlados. La política fija el marco; la normativa establece reglas obligatorias; los procedimientos explican cómo ejecutar tareas; y la autorización determina quién aprueba qué. Deben existir control de versiones, responsables, difusión y revisión. Un procedimiento desactualizado puede ser peor que su ausencia si induce a actuar de forma incorrecta.

La planificación operacional incluye el análisis de riesgos op.pl.1, la arquitectura de seguridad y la adquisición de componentes. La arquitectura debe mostrar zonas, flujos, puntos de control, dependencias, administración, registros y mecanismos de recuperación. El inventario de activos debe ser suficientemente detallado para saber qué se protege, quién lo administra, dónde está, qué versión utiliza y de qué depende.

La explotación segura comprende gestión de configuración, mantenimiento, cambios, protección frente a código dañino, gestión de incidentes, registro de actividad y control de vulnerabilidades. En entornos sanitarios, los cambios deben equilibrar urgencia operativa y seguridad. Una actualización crítica puede ser necesaria, pero debe probarse, autorizarse, desplegarse de manera controlada y contar con reversión. La imposibilidad temporal de actualizar un equipo clínico no elimina el riesgo: obliga a medidas compensatorias como segmentación, restricción de servicios, monitorización reforzada o sustitución planificada.

Las medidas de protección física abarcan áreas controladas, identificación de personas, condiciones ambientales, suministro eléctrico y protección del equipamiento. Las de comunicaciones contemplan perímetro, confidencialidad e integridad del transporte, segregación y protección de interconexiones. Las de soportes regulan etiquetado, custodia, transporte, borrado y destrucción. Las de información cubren datos en reposo y tránsito, copias, firma, sellado de tiempo y limpieza documental cuando proceda.

Las aplicaciones deben integrar seguridad desde el ciclo de vida: requisitos, diseño, desarrollo, pruebas, control de componentes, despliegue, gestión de secretos y mantenimiento. El ENS no se satisface instalando controles perimetrales alrededor de una aplicación vulnerable. En un desarrollo propio, deben existir revisión de código, pruebas, segregación de entornos, control de cambios y trazabilidad de versiones. En un producto adquirido, el contrato debe cubrir soporte, vulnerabilidades y fin de vida.

La criptografía debe aplicarse con productos, algoritmos y parámetros autorizados o reconocidos por el Centro Criptológico Nacional según el contexto. No es correcto convertir el ENS en una lista fija de algoritmos o longitudes universalmente válidas: la idoneidad cambia con el estado del arte, el producto, la categoría y la finalidad. El opositor debe retener la regla de gobierno: selección proporcionada, gestión del ciclo de vida de claves, custodia, renovación, revocación y evidencia.

La relación entre medidas y evidencias es central. Una política prueba intención, pero no operación. Una captura aislada prueba configuración en un momento, pero no proceso. Las evidencias sólidas combinan documento aprobado, configuración, registros, tickets, pruebas, informes y responsabilidades. El auditor debe poder seguir la cadena desde requisito hasta implantación y resultado.

9. IDENTIDAD, CONTROL DE ACCESO, AUTENTICACIÓN Y TRAZABILIDAD

El control de acceso se construye como una secuencia: identificación, autorización, autenticación, control de la sesión, revisión de derechos y registro de actividad. Confundir estas fases es un error frecuente. Identificar significa declarar una identidad; autenticar significa demostrarla; autorizar significa determinar qué operaciones puede realizar; y trazar significa registrar y poder reconstruir la actuación.

La medida op.acc.1 exige identificar de forma única a quienes acceden y gestionar identificadores y cuentas. Las cuentas compartidas impiden atribuir acciones y deben evitarse salvo supuestos excepcionales controlados. Las cuentas privilegiadas requieren especial protección, uso restringido y separación de la cuenta ordinaria. El principio de mínimo privilegio obliga a conceder solo los permisos necesarios, durante el tiempo necesario y para la función necesaria.

La autenticación se regula en op.acc.6 y puede incorporar distintos mecanismos y refuerzos según la categoría, la dimensión y el riesgo. No debe simplificarse diciendo que “todo sistema ALTO exige siempre el mismo MFA” sin consultar la aplicabilidad concreta. La lógica correcta es seleccionar mecanismos robustos, proteger credenciales, limitar intentos, gestionar el ciclo de vida y aplicar segundo factor o mecanismos equivalentes cuando el refuerzo resulte exigible o el riesgo lo justifique.

En el SAS, la identidad profesional debe vincularse a altas, movilidad, cambios de puesto, sustituciones y bajas. La autorización debe derivar de funciones y contexto, no de acumulación histórica de permisos. Los perfiles demasiado amplios, las cuentas no revocadas y las asignaciones manuales sin revisión son causas habituales de exposición. La recertificación periódica de derechos permite que responsables funcionales confirmen si cada acceso sigue siendo necesario.

La trazabilidad se concreta en el artículo 24 y en op.exp.8. Los registros deben permitir identificar usuario o entidad, fecha y hora, objeto afectado, tipo de evento y resultado, con protección frente a alteración y acceso no autorizado. Para sistemas de mayor exigencia se incorporan capacidades de correlación y análisis. La sincronización temporal es esencial: si cada sistema utiliza una hora distinta, la reconstrucción de un incidente se vuelve incierta.

El plazo de conservación de registros no es una cifra universal de seis años establecida por el ENS. La medida exige definirlo en la documentación de seguridad de acuerdo con finalidad, riesgos, investigación, obligaciones legales, minimización y limitación del plazo. Por tanto, el plazo debe justificarse para cada sistema y tipo de evento. Conservar demasiado poco impide investigar; conservar indiscriminadamente puede vulnerar principios de protección de datos y aumentar el impacto de una brecha.

EVENTO DE AUDITORÍA · CAMPOS ORIENTATIVOS
usuario_o_entidad = identificador único
fecha_hora = sello temporal sincronizado
sistema_origen = componente que genera el evento
objeto = recurso, historia, registro o configuración afectada
acción = consulta, alta, modificación, borrado, exportación, administración
resultado = éxito o fallo
contexto = sesión, terminal, dirección o identificador técnico necesario
integridad = mecanismo que impide o detecta manipulación

Los registros deben revisarse. Acumular terabytes sin reglas de alerta ni capacidad de consulta no proporciona seguridad efectiva. La monitorización debe buscar accesos inusuales, escaladas de privilegio, consultas masivas, cambios críticos, fallos repetidos, actividad fuera de patrón y desactivación de controles. La privacidad exige limitar el análisis a fines de seguridad y documentar roles de acceso a los logs.

La trazabilidad clínica y la seguridad se refuerzan mutuamente, pero no son idénticas. Un registro clínico puede demostrar quién consultó una historia; un registro técnico puede mostrar autenticación, dirección, sesión y componente. Para investigar un incidente deben correlacionarse ambos niveles sin perder significado funcional.

10. EXPLOTACIÓN SEGURA, INCIDENTES, CONTINUIDAD, RESPALDOS Y NUBE

La operación segura transforma el diseño en una práctica diaria. Incluye inventario, configuración, cambios, mantenimiento, monitorización, gestión de vulnerabilidades, copias, continuidad y respuesta a incidentes. Los incidentes suelen aprovechar fallos acumulados: equipos sin soporte, permisos excesivos, credenciales expuestas, segmentación insuficiente o copias no probadas. Por ello, el ENS exige procesos repetibles y evidencias, no actuaciones improvisadas.

La gestión de vulnerabilidades debe partir de un inventario fiable y de la criticidad. Detectar una vulnerabilidad no determina automáticamente la acción: hay que valorar exposición, explotación conocida, impacto, disponibilidad de parche, compatibilidad y controles compensatorios. En sistemas sanitarios, algunos componentes no pueden actualizarse de inmediato por certificación o continuidad, pero deben aislarse, monitorizarse y sustituirse mediante un plan. La excepción técnica debe tener propietario, fecha y riesgo aceptado.

Los incidentes requieren mecanismos de detección, criterios de clasificación, procedimientos de análisis y resolución, comunicación a partes interesadas y registro de actuaciones. El flujo básico comprende preparación, detección, análisis, contención, erradicación, recuperación y lecciones aprendidas. La contención puede ser técnica —aislar un equipo, bloquear una cuenta, segmentar— y organizativa —activar crisis, informar a dirección, coordinar con continuidad asistencial—.

El Real Decreto 311/2022 atribuye al CCN-CERT funciones de respuesta para entidades de su ámbito y articula la notificación mediante los canales establecidos. No existe una regla general del ENS que pueda resumirse como “todo incidente debe notificarse en menos de una hora”. Los plazos y destinatarios dependen de la clasificación, normativa concurrente e instrucciones aplicables. La organización debe conocer de antemano qué incidentes se notifican, a quién, por qué canal y con qué información.

La continuidad comienza con el análisis de impacto sobre la actividad: procesos críticos, dependencias, tiempos máximos tolerables, objetivos de recuperación y pérdida de datos admisible. A partir de él se diseñan estrategias, planes, procedimientos y pruebas. La alta disponibilidad reduce interrupciones, pero no sustituye al plan de continuidad; un clúster puede replicar corrupción, ransomware o errores lógicos. Del mismo modo, una copia de seguridad no garantiza continuidad si no puede restaurarse a tiempo.

La medida mp.info.6 regula las copias de seguridad. La frecuencia, retención y protección deben derivarse de necesidades y riesgos. Los niveles superiores requieren pruebas regulares y, para los casos de mayor exigencia, copias independientes y separadas. La separación debe resistir el mismo incidente que afecta al entorno principal: una copia accesible con las mismas credenciales y permanentemente conectada puede ser cifrada por el atacante.

Las pruebas deben ser realistas y seguras. Una prueba de escritorio valida responsabilidades y decisiones; una restauración técnica verifica copias; una conmutación comprueba arquitectura alternativa; un ejercicio integral coordina tecnología, usuarios y dirección. El resultado debe generar acciones correctoras. Declarar “prueba satisfactoria” sin criterios de éxito, tiempos medidos y evidencias no demuestra recuperabilidad.

En nube, el modelo de responsabilidad compartida obliga a distinguir qué protege el proveedor y qué configura la entidad. El proveedor puede asegurar la infraestructura física y ciertos servicios; el SAS sigue siendo responsable de identidades, permisos, configuración, datos, claves, registros, continuidad y uso conforme. El control debe incluir salida del servicio, portabilidad, borrado, dependencias, subencargados y concentración de riesgo.

11. AUDITORÍA, AUTOEVALUACIÓN Y CONFORMIDAD CON EL ENS

La auditoría de seguridad verifica el cumplimiento de requisitos, la correcta aplicación de medidas y la eficacia de los controles. No se limita a revisar documentos: examina configuraciones, registros, muestras, entrevistas, pruebas y trazabilidad. El anexo III define el objeto y los criterios de interpretación, y las guías CCN-STIC proporcionan apoyo metodológico.

Los sistemas de categoría MEDIA y ALTA deben someterse a una auditoría ordinaria al menos cada dos años. Además, procede una auditoría extraordinaria cuando se producen modificaciones sustanciales que pueden repercutir en las medidas requeridas. La periodicidad bienal es un mínimo; el riesgo, incidentes, contratos o normativa sectorial pueden justificar revisiones más frecuentes. Las auditorías internas o controles continuos entre ciclos ayudan a evitar degradación.

Los sistemas de categoría BÁSICA se evalúan mediante autoevaluación para sustentar la correspondiente declaración de conformidad. No significa ausencia de controles ni libertad de auditar. La organización debe revisar evidencias, corregir desviaciones y aprobar formalmente el resultado. La diferencia principal es el mecanismo ordinario de acreditación: autoevaluación y declaración para BÁSICA; auditoría y certificación para MEDIA y ALTA.

La conformidad puede expresarse mediante Declaración de Conformidad o Certificación de Conformidad, según categoría y procedimiento. Debe identificarse el alcance: organismo, sistema, servicios, ubicaciones, categoría y exclusiones. Una certificación de una empresa no convierte todos sus productos y servicios en conformes. El usuario debe verificar el alcance publicado y su vigencia.

El proceso de auditoría suele incluir planificación, recopilación documental, trabajo de campo, pruebas, clasificación de hallazgos, informe y seguimiento. El auditor necesita independencia y competencia. La organización debe facilitar acceso a evidencias sin comprometer datos innecesarios. Los hallazgos se clasifican por gravedad y deben producir planes con responsables y fechas. Cerrar un hallazgo exige evidencia de corrección y, cuando procede, prueba de eficacia.

La auditoría no transfiere responsabilidad al auditor ni a la entidad certificadora. El responsable de seguridad mantiene la obligación de supervisar y la dirección conserva la responsabilidad de gobierno. La certificación es una evidencia externa en una fecha y alcance determinados; no garantiza ausencia de incidentes ni sustituye la monitorización continua.

La preparación de auditoría no debe consistir en crear documentos a última hora. Una organización madura conserva evidencias durante la operación: altas y bajas, revisiones de permisos, cambios, vulnerabilidades, pruebas de copia, incidentes, formación, proveedores y continuidad. La auditoría se vuelve entonces una verificación del proceso real, no una reconstrucción retrospectiva.

12. LEY 8/2011: OBJETO, ÁMBITO Y CONCEPTOS ESENCIALES

La Ley 8/2011, de 28 de abril, establece estrategias y estructuras para dirigir y coordinar la protección de infraestructuras críticas, previa identificación y designación, y para mejorar la prevención, preparación y respuesta frente a atentados terroristas u otras amenazas. El Real Decreto 704/2011 desarrolla órganos, procedimientos e instrumentos de planificación. El sistema descansa en cooperación público-privada porque muchas infraestructuras estratégicas pertenecen o son gestionadas por operadores no estatales.

El punto de partida es el servicio esencial: servicio necesario para mantener funciones sociales básicas, salud, seguridad, bienestar social y económico, o funcionamiento eficaz de instituciones y administraciones. Un sector estratégico es un área que proporciona servicios esenciales o garantiza autoridad y seguridad del país. Una infraestructura estratégica comprende instalaciones, redes, sistemas y equipos físicos o de tecnología de la información sobre los que descansa el servicio esencial.

La infraestructura crítica es, por tanto, un subconjunto de la infraestructura estratégica. Deben concurrir indispensabilidad, ausencia de alternativas y grave impacto sobre servicios esenciales. La perturbación puede ser física, lógica o combinada. Un sistema informático puede ser infraestructura estratégica si sostiene un servicio esencial y puede ser crítico si se cumplen los criterios y se produce la designación correspondiente.

La ley define además infraestructura crítica europea, zona crítica, criterios horizontales de criticidad, análisis de riesgos, interdependencias y operador crítico. Los criterios horizontales valoran personas afectadas, impacto económico, impacto medioambiental e impacto público y social. Las interdependencias estudian efectos en otras instalaciones, servicios, sectores y ámbitos territoriales. Esta perspectiva es esencial: una caída energética puede afectar a telecomunicaciones y sanidad; una caída de comunicaciones puede impedir coordinación asistencial y logística.

El ámbito territorial comprende infraestructuras críticas situadas en territorio nacional vinculadas a los sectores del anexo. La ley contiene especialidades y exclusiones relacionadas con defensa y Fuerzas y Cuerpos de Seguridad. La información del Catálogo Nacional y de los planes tiene protección reforzada y su acceso se limita por necesidad de conocer y clasificación aplicable.

La condición de crítico no se deduce de una etiqueta comercial, del tamaño de la organización ni de la relevancia social genérica. Resulta de un proceso de identificación y designación coordinado por las autoridades competentes y se gestiona en el Catálogo Nacional de Infraestructuras Estratégicas. Por razones de seguridad, la relación concreta de infraestructuras críticas no es pública. Esto impide afirmar, sin fuente oficial, que un hospital concreto o un CPD determinado esté designado.

La Ley 8/2011 fue diseñada con énfasis en ataques deliberados y coordinación de seguridad. La evolución europea posterior impulsa un enfoque más amplio de resiliencia frente a todo tipo de incidentes. Mientras no culmine la nueva legislación estatal, la ley y el reglamento siguen siendo el marco de referencia del epígrafe oficial.

13. SISTEMA DE PROTECCIÓN: ÓRGANOS, CNPIC Y OPERADORES CRÍTICOS

La protección de infraestructuras críticas se organiza como un sistema de cooperación. Intervienen la Secretaría de Estado de Seguridad, el Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC), ministerios y organismos competentes por sector, comunidades autónomas, delegaciones del Gobierno, entidades locales, Comisión Nacional para la Protección de las Infraestructuras Críticas, Grupo de Trabajo Interdepartamental, Fuerzas y Cuerpos de Seguridad y operadores críticos.

El CNPIC, integrado en la estructura del Ministerio del Interior, constituye el núcleo de coordinación. Apoya a la Secretaría de Estado de Seguridad, gestiona el Catálogo Nacional, participa en valoración y designación, evalúa planes, mantiene relaciones con operadores y autoridades y facilita coordinación ante amenazas. Su función no sustituye la responsabilidad sectorial ni la del operador; articula el sistema y mantiene una visión nacional e intersectorial.

Los ministerios y organismos del sistema aportan conocimiento sectorial, participan en Planes Estratégicos Sectoriales y coordinan con reguladores. Las comunidades autónomas intervienen dentro de sus competencias, especialmente cuando gestionan servicios esenciales o disponen de cuerpos policiales con funciones relevantes. La coordinación territorial es fundamental porque una infraestructura puede tener efectos locales, autonómicos, nacionales o transfronterizos.

El operador crítico puede ser público o privado. Su designación deriva de que sea responsable de inversiones o funcionamiento de una instalación, red, sistema o equipo físico o TIC designado como infraestructura crítica. El operador debe colaborar con autoridades, facilitar información necesaria, elaborar planes, designar figuras de enlace y aplicar medidas. La cooperación no elimina su deber corporativo de seguridad ni las obligaciones sectoriales.

La Ley prevé un Responsable de Seguridad y Enlace como interlocutor con las autoridades y un Delegado de Seguridad para cada infraestructura crítica o conjunto cuando proceda. Estas figuras deben coordinarse con responsables ENS, continuidad, protección de datos, seguridad física, prevención y dirección operativa. En una organización sanitaria compleja, una mala separación puede generar duplicidades o lagunas: el responsable ENS se centra en sistemas de información; la función PIC integra protección física y lógica de la infraestructura designada y coordinación con el CNPIC y Fuerzas de Seguridad.

El Catálogo Nacional de Infraestructuras Estratégicas contiene información completa, actualizada y contrastada sobre infraestructuras estratégicas y críticas. Su información está protegida; no es un registro público consultable para elaborar listas de objetivos. La gestión segura del catálogo y de los planes es parte esencial de la protección.

La cooperación debe apoyarse en canales y reglas previamente establecidos. Durante una crisis no es momento de decidir quién informa, qué clasificación tiene un documento o qué autoridad lidera. Los planes y ejercicios deben probar comunicaciones, escalado, disponibilidad de contactos y sustituciones. También deben contemplar dependencia de proveedores y terceros: mantenimiento, telecomunicaciones, energía, logística, servicios cloud o fabricantes.

14. INSTRUMENTOS DE PLANIFICACIÓN Y OBLIGACIONES DEL OPERADOR

El artículo 14 de la Ley 8/2011 enumera cinco instrumentos: Plan Nacional de Protección de las Infraestructuras Críticas, Planes Estratégicos Sectoriales, Planes de Seguridad del Operador, Planes de Protección Específicos y Planes de Apoyo Operativo. Forman una jerarquía coherente desde la estrategia nacional y sectorial hasta la protección de cada infraestructura y la respuesta policial.

El Plan Nacional establece criterios y directrices generales, mecanismos de coordinación y respuesta. Los Planes Estratégicos Sectoriales analizan cada sector o subsector, identifican servicios, riesgos, vulnerabilidades, interdependencias y medidas. Se elaboran con participación de órganos sectoriales y operadores y deben revisarse periódicamente. Su visión evita analizar una infraestructura de forma aislada.

El Plan de Seguridad del Operador (PSO) es el documento estratégico que define las políticas generales del operador para garantizar la seguridad del conjunto de instalaciones o sistemas de su propiedad o gestión. Debe incorporar una metodología de análisis de riesgos, criterios para medidas físicas y lógicas, organización, formación, continuidad y coordinación. El operador dispone de seis meses desde la notificación de su designación para elaborarlo y presentarlo al CNPIC. Se revisa cada dos años y cuando cambian datos relevantes.

El Plan de Protección Específico (PPE) desciende al nivel de cada infraestructura crítica. Traduce la política del operador en medidas concretas, organización local, activos, amenazas, procedimientos, controles físicos y lógicos, coordinación y respuesta. Debe presentarse dentro de los cuatro meses siguientes a la aprobación del PSO. También se revisa cada dos años y cuando se produzcan modificaciones relevantes. Su contenido está protegido y no debe confundirse con un plan de autoprotección o un plan de continuidad, aunque se coordine con ellos.

El Plan de Apoyo Operativo (PAO) es elaborado por el cuerpo policial competente para cada infraestructura con PPE, con participación y coordinación necesarias. Define apoyo, vigilancia, respuesta y relación operativa entre fuerzas de seguridad y operador. No sustituye las medidas del operador: las complementa desde la seguridad pública.

El PSO y el PPE deben integrar seguridad física y lógica. Una vulnerabilidad lógica puede abrir puertas físicas; un acceso físico puede permitir manipular redes; una pérdida de suministro puede degradar controles; y una campaña de desinformación puede agravar el impacto social. El análisis de interdependencias debe incluir energía, agua, comunicaciones, transporte, suministros, personal y proveedores.

Las obligaciones del operador incluyen colaborar, facilitar información, designar interlocutores, elaborar y mantener planes, custodiar documentación clasificada, implantar medidas y participar en ejercicios. El cumplimiento formal de entregar un plan no basta. Debe existir correspondencia entre riesgos, medidas, recursos, responsables y pruebas. Los planes deben ser operables bajo presión: contactos actualizados, criterios claros de activación, sustituciones, comunicaciones alternativas y decisiones preautorizadas.

La coordinación con ENS es especialmente importante cuando el PPE incluye sistemas TIC sometidos al real decreto. El análisis PIC puede identificar consecuencias sistémicas e interdependencias que eleven la valoración de disponibilidad o integridad; el análisis ENS puede aportar inventario, controles, trazabilidad y capacidad de respuesta. Deben evitarse dos inventarios y dos mapas contradictorios. La gobernanza madura utiliza un repositorio común de activos y riesgos con vistas adaptadas a cada régimen.

La revisión bienal no impide actualizar antes. Un cambio de arquitectura, titularidad, dependencia, amenaza o nivel de servicio debe reflejarse. Los ejercicios y simulacros aportan información que debe incorporarse a los planes. Un plan que no cambia tras detectar fallos demuestra falta de aprendizaje.

15. SECTORES ESTRATÉGICOS, SALUD Y APLICACIÓN EN EL SAS

El anexo de la Ley 8/2011 enumera doce sectores estratégicos: Administración, espacio, industria nuclear, industria química, instalaciones de investigación, agua, energía, salud, tecnologías de la información y las comunicaciones, transporte, alimentación y sistema financiero y tributario. La lista revela que la criticidad es intersectorial. El sector salud depende de energía, agua, telecomunicaciones, transporte, alimentación, logística, finanzas y administración.

La presencia de salud en el anexo no convierte en críticas todas las infraestructuras sanitarias. Permite que determinadas instalaciones, redes o sistemas del sector sean identificados y designados cuando cumplan los criterios. La designación y los detalles se mantienen bajo protección. Para el opositor, la respuesta rigurosa es: salud es un sector estratégico; ciertas infraestructuras sanitarias pueden ser críticas; la condición concreta requiere designación.

En el SAS, el ENS se aplica de manera general a los sistemas de información utilizados en la prestación y gestión públicas. La implementación debe partir de un catálogo real de servicios: atención clínica, identificación, citación, prescripción, diagnóstico, imagen, laboratorio, urgencias, recursos humanos, compras, logística, mantenimiento y gestión económica. Cada servicio se apoya en activos transversales —identidad, redes, CPD, nube, bases de datos, integraciones, puesto de trabajo y soporte— que deben incluirse en el análisis.

Diraya, ClicSalud+, Receta XXI y otros sistemas corporativos conocidos ofrecen ejemplos de servicios cuya seguridad debe tratarse con especial rigor. Sin embargo, no deben atribuirse tecnologías internas, categorías ENS o mecanismos concretos sin documentación oficial. El enfoque correcto consiste en explicar requisitos: identidad individual, mínimo privilegio, segregación, trazabilidad, protección de comunicaciones, continuidad, copias probadas, gestión de vulnerabilidades, desarrollo seguro y control de proveedores.

La seguridad del paciente obliga a incorporar dimensión clínica. Una medida que maximiza confidencialidad pero impide acceso urgente puede generar daño; una excepción de emergencia sin trazabilidad puede facilitar abuso. El diseño debe equilibrar acceso asistencial y control: mecanismos de acceso excepcional con motivo, alerta, revisión y registro; perfiles basados en función; acceso contextual; y continuidad cuando el sistema principal no esté disponible.

La cadena de suministro es especialmente relevante. El SAS utiliza equipos, software, mantenimiento, telecomunicaciones y servicios de múltiples proveedores. Los pliegos deben establecer requisitos ENS, gestión de vulnerabilidades, soporte, notificación de incidentes, evidencias, acceso de administradores, localización y retorno de datos, subcontratación y fin de servicio. La seguridad debe evaluarse antes de contratar y durante la prestación.

La aplicación práctica puede organizarse en ocho líneas:

1. Gobierno: política, roles, comités, decisiones y aceptación de riesgos.
2. Inventario: servicios, información, activos, dependencias y propietarios.
3. Categorización: valoración motivada de las cinco dimensiones.
4. Riesgos: amenazas, vulnerabilidades, impactos e interdependencias.
5. Controles: medidas del anexo II, refuerzos y compensaciones.
6. Operación: identidades, cambios, vulnerabilidades, logs e incidentes.
7. Continuidad: impacto, estrategias, copias, recuperación y ejercicios.
8. Conformidad: evidencias, autoevaluación, auditoría, certificación y mejora.

Si una infraestructura sanitaria estuviera designada como crítica, estas líneas ENS deben coordinarse con PSO, PPE y PAO. Los escenarios deben contemplar ataques físicos y lógicos, pérdida de suministros, sabotaje, indisponibilidad de terceros y efectos en cascada. La coordinación con el CNPIC y fuerzas de seguridad se realizaría conforme a los planes y canales establecidos, sin publicar información sensible.

16. RELACIÓN ENTRE ENS Y PIC. EVOLUCIÓN EUROPEA Y SITUACIÓN EN 2026

ENS y PIC se complementan, pero responden a preguntas distintas. El ENS pregunta cómo proteger información y servicios electrónicos y cómo demostrar la conformidad del sistema. La normativa PIC pregunta qué infraestructuras sostienen servicios esenciales, cuáles son críticas, quién debe coordinar su protección y qué planes físicos y lógicos deben existir. Un mismo activo puede estar sometido a ambos regímenes, pero la condición ENS no produce automáticamente designación PIC.

La convergencia se produce en gestión de riesgos, continuidad, respuesta, protección física y lógica, proveedores, ejercicios y mejora. El ENS aporta un marco detallado de controles TIC; PIC aporta una visión de servicio esencial, interdependencias y coordinación nacional. En una organización madura, ambos marcos comparten inventario, análisis, escenarios, responsables y evidencias, evitando duplicidad.

La Unión Europea aprobó la Directiva (UE) 2022/2557 sobre resiliencia de entidades críticas, conocida como CER. Su enfoque es de “todas las amenazas”: no solo ataques deliberados, sino también desastres naturales, accidentes, emergencias sanitarias, amenazas internas y otros incidentes disruptivos. Se coordina con la Directiva NIS2, centrada en ciberseguridad. La orientación europea desplaza el énfasis desde la protección de instalaciones hacia la capacidad de prevenir, resistir, absorber, responder y recuperarse.

En España, a fecha de 4 de agosto de 2026, el Proyecto de Ley de protección y resiliencia de las entidades críticas, expediente 121/000088, figura en tramitación parlamentaria. Por ello, no debe estudiarse su articulado como derecho vigente ni afirmar que ha derogado la Ley 8/2011. Sí conviene conocer la dirección del cambio: identificación de entidades críticas, enfoque integral de resiliencia, evaluación de riesgos y coordinación con el marco europeo.

La coexistencia con NIS2 y la normativa nacional de seguridad de redes y sistemas exige atención. NIS2 establece obligaciones de gestión de riesgos y notificación para entidades esenciales e importantes; CER se centra en resiliencia física y organizativa de entidades críticas; ENS regula el sector público y contratistas en su ámbito. Las categorías y sujetos no son idénticos. No debe trasladarse automáticamente una definición de un marco a otro.

Para el SAS, la evolución refuerza tres ideas: visión de servicio extremo a extremo, consideración de dependencias no TIC y ejercicios de resiliencia. Un servicio digital sanitario depende de electricidad, agua, comunicaciones, personal, edificios, proveedores y logística. El análisis técnico debe conectar esas dependencias con objetivos asistenciales y planes de crisis.

17. IDEAS CLAVE PARA EL REPASO Y MAPA CONCEPTUAL

Para resolver preguntas del Tema 77 conviene seguir un método de identificación. Primero, reconoce el régimen: ENS o PIC. Segundo, localiza el concepto: principio, dimensión, requisito, medida, categoría, auditoría, actor o plan. Tercero, elimina distractores que mezclan niveles. Muchos errores proceden de convertir una propiedad en principio, una guía en norma, un proveedor en responsable último, una categoría ENS en designación PIC o un plan estratégico en plan operativo.

Las ideas que deben memorizarse con precisión son las siguientes:

• El ENS vigente es el Real Decreto 311/2022; el Real Decreto 3/2010 está derogado.
• Se aplica a todo el sector público y a ciertos sistemas privados vinculados contractualmente a servicios o soluciones para competencias públicas.
• Los siete principios básicos orientan la gestión; las cinco dimensiones sirven para categorizar.
• La categoría es la mayor valoración de disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
• Las medidas se agrupan en org, op y mp y se formalizan en la Declaración de Aplicabilidad.
• El responsable de seguridad debe diferenciarse del responsable del sistema.
• La responsabilidad última no desaparece por externalizar.
• Los registros deben identificar actividad y conservarse durante el plazo justificado; el ENS no fija seis años universales.
• MEDIA y ALTA requieren auditoría ordinaria al menos cada dos años; BÁSICA utiliza autoevaluación para declaración.
• La Ley 8/2011 distingue servicio esencial, sector estratégico, infraestructura estratégica e infraestructura crítica.
• Una infraestructura crítica requiere identificación y designación; no se presume.
• Los cinco planes PIC son Plan Nacional, Planes Estratégicos Sectoriales, PSO, PPE y PAO.
• Salud es uno de los doce sectores estratégicos.
• El proyecto estatal de resiliencia de entidades críticas seguía en tramitación a 4 de agosto de 2026.