El Real Decreto 311/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y fijó un plazo de veinticuatro meses para que los sistemas que ya existían alcanzaran plena conformidad. Ese plazo venció en mayo de 2024. La conformidad con el ENS dejó de ser un horizonte y pasó a ser un estado exigible, comprobable en auditoría para los sistemas de categoría media y alta.
Dentro de ese marco, la concienciación y la formación del personal no son un añadido opcional. El ENS las recoge como medidas de seguridad con nombre y número propios, y las trata igual que a cualquier control técnico: hay que aplicarlas y hay que poder demostrarlas.
Esta pieza no explica qué es la Administración electrónica ni cómo se implanta el ENS de principio a fin. Asume ese terreno cubierto. Se centra en algo más acotado, que es qué exige el Esquema Nacional de Seguridad sobre la concienciación y la formación del personal, cómo escala esa exigencia con la categoría del sistema, y qué evidencia tiene que poder poner sobre la mesa una entidad cuando el auditor empieza a preguntar.
¿A quién obliga el Esquema Nacional de Seguridad?
El Esquema Nacional de Seguridad es el marco que establece la política de seguridad en el uso de medios electrónicos de las entidades del sector público español. Obliga a toda la Administración, sea estatal, autonómica o local, y a los organismos y entidades de derecho público vinculados o dependientes de ella.
La frontera relevante para el sector privado está en la cadena de suministro. El Real Decreto 311/2022 extiende su alcance a las entidades privadas cuando prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias. En la práctica, esa exigencia entra por los pliegos de contratación: un proveedor tecnológico que quiera trabajar con una Administración tiene que acreditar conformidad con el ENS en la parte de sus sistemas que sostiene ese servicio. La obligación deja de ser un asunto solo del sector público y alcanza a su ecosistema de proveedores.
¿Qué exige el ENS en materia de concienciación y formación?
El ENS separa dos medidas dentro del grupo de gestión del personal del Anexo II. La medida mp.per.3, «Concienciación», obliga a mantener al personal alerta sobre su papel en la seguridad de la información mediante recordatorios periódicos y acciones de sensibilización. La medida mp.per.4, «Formación», exige garantizar la formación regular de todo el personal en las materias que necesita para desempeñar su función de forma segura, de manera proporcional a esa función.
La distinción no es cosmética. Concienciar es sostener la atención sobre los riesgos en el día a día; formar es dar a cada persona el conocimiento concreto que su puesto requiere. El ENS pide las dos cosas, y las pide de forma continua, no como un acto único en el momento de la incorporación.
El propio real decreto refuerza esta línea desde su disposición adicional primera, que encarga al Centro Criptológico Nacional (CCN) y al Instituto Nacional de Administración Pública (INAP) desarrollar programas de concienciación y formación dirigidos al personal del sector público. La norma no solo exige la actividad, sino que reconoce que sostenerla necesita un programa detrás.
Las exigencias escalan con la categoría del sistema
El ENS no aplica un rasero único. Clasifica cada sistema en una de tres categorías de seguridad, básica, media o alta, según el impacto que tendría un incidente sobre las dimensiones de confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. Cuanto mayor es la categoría, más estrictas son las medidas y, con ellas, la profundidad esperada del programa de concienciación y formación.
| Categoría | Cómo se acredita la conformidad | Exigencia sobre el personal |
|---|---|---|
| Básica | Autoevaluación y declaración de conformidad | Concienciación y formación proporcionadas a la función |
| Media | Auditoría de certificación | Mayor formalización y trazabilidad del programa |
| Alta | Auditoría de certificación | Programa reforzado, revisado y evidenciado en profundidad |
La diferencia operativa más importante está en cómo se comprueba. Los sistemas de categoría media o alta necesitan una auditoría para certificar su conformidad; en la categoría básica basta una autoevaluación con declaración de conformidad. Para quien gestiona un sistema de categoría media o alta, eso significa que la concienciación tendrá que resistir la mirada de un tercero que pide pruebas, no solo la buena voluntad interna.
La distancia entre la política declarada y el comportamiento real
El punto donde más programas se rompen no es la falta de actividad, sino la distancia entre lo que la política declara y lo que el personal hace. Una entidad puede tener aprobada una política de seguridad impecable, un curso anual y una hoja de firmas, y aun así no poder demostrar que esa formación cambió algo en la conducta cotidiana.
Ahí es donde una auditoría del ENS encuentra la criticidad. El auditor no evalúa las buenas intenciones, sino que contrasta el conocimiento declarado con el comportamiento efectivo. Un programa que solo acredita asistencia responde a la pregunta equivocada. La pregunta que importa es si el personal reconoce un intento de phishing cuando lo tiene delante, si sabe a quién reportar un incidente y si esa reacción mejora con el tiempo. Ese es el terreno que comparte el ENS con otros marcos, como analizamos al desglosar el control 6.3 de ISO 27001:2022 y las exigencias de concienciación de la Directiva NIS2.
¿Cómo se evidencia el cumplimiento ante una auditoría del ENS?
Para las medidas mp.per.3 y mp.per.4, la evidencia que sostiene la conformidad suele apoyarse en estos elementos:
- Registro de quién recibió concienciación y formación, cuándo y sobre qué, con cobertura de toda la plantilla.
- Contenidos vinculados a las políticas de la entidad y a los riesgos reales de cada función, no un temario genérico.
- Periodicidad definida y sostenida, con recordatorios y acciones de sensibilización a lo largo del año.
- Pruebas de comprensión y de comportamiento, como evaluaciones o resultados de simulaciones, que vayan más allá de la asistencia.
- Trazabilidad proporcional a la categoría del sistema, más exigente en media y alta.
El punto frágil casi siempre es el mismo: la entidad tiene la actividad, pero no tiene el rastro ordenado el día que el auditor lo pide. Diseñar el programa pensando desde el principio en qué dato va a quedar registrado es lo que separa cumplir de poder demostrarlo.
SMARTFENSE, como plataforma de concienciación con presencia en España y LATAM, está construida alrededor de esa idea. Cada acción de sensibilización, cada contenido entregado, cada simulación de phishing y cada evaluación queda registrado y disponible como prueba, de modo que el equipo responsable no tenga que reconstruir el rastro a mano antes de una auditoría del ENS. Puedes ver cómo se articula en la plataforma de concienciación de SMARTFENSE.
El plazo de adaptación ya venció, y con él terminó el margen para tratar la concienciación como comunicación interna. El ENS la fijó como una medida de seguridad con evidencia asociada, y la escala de esa evidencia crece con la categoría del sistema. Lo que decide una auditoría no es cuántas horas de formación se impartieron, sino qué rastro puede mostrar la entidad de que su personal actúa distinto.
Deja una respuesta