Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad

Preámbulo

El Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos y está constituido por principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada.

La finalidad del Esquema Nacional de Seguridad es la creación de las condiciones necesarias de confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos, que permita a los ciudadanos y a las Administraciones públicas, el ejercicio de derechos y el cumplimiento de deberes a través de estos medios.

CAPÍTULO I - Disposiciones generales

Artículo 1. Objeto

El presente real decreto tiene por objeto regular el Esquema Nacional de Seguridad establecido en el artículo 156 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y determinar la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos.

Artículo 2. Ámbito de aplicación

1. El ámbito de aplicación del presente real decreto se establece en el artículo 2 de la Ley 40/2015, de 1 de octubre.

2. El presente real decreto se aplicará a los sistemas que traten información y que presten servicios que no estén relacionados con el ejercicio de actividades de Derecho privado, siendo de aplicación a los citados sistemas de las entidades de derecho privado vinculadas o dependientes de las Administraciones públicas.

Artículo 3. Definiciones

A los efectos del presente real decreto, se entenderá por:

a) Activo: Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos físicos y recursos humanos.

b) Amenaza: Causa potencial de un incidente que puede causar daños a un sistema de información o a la organización.

c) Análisis de riesgos: Utilización sistemática de la información disponible para identificar peligros y estimar los riesgos.

d) Auditoría de seguridad: Revisión y examen independiente de los registros y actividades del sistema para comprobar la idoneidad de los controles, asegurar el cumplimiento con la política de seguridad y procedimientos operativos establecidos, detectar brechas de seguridad y recomendar cambios apropiados.

e) Autenticidad: Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.

f) Categorización de un sistema: Resultado del proceso por el que se determina el nivel requerido en cada dimensión de seguridad de un sistema.

g) Centro Criptológico Nacional (CCN): Organismo responsable de coordinar la acción de los diferentes organismos de la Administración que utilicen medios o procedimientos de cifra, garantizar la seguridad de las tecnologías de la información, informar sobre la adquisición coordinada del material criptológico, y formar al personal de la Administración especialista en este campo.

h) Confidencialidad: Propiedad de la información por la que se garantiza que está accesible únicamente a personal autorizado a acceder a dicha información.

i) Dimensiones de seguridad: Son la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.

j) Disponibilidad: Propiedad de la información o de un sistema por la que estos deben ser accesibles y utilizables cuando lo requieran los usuarios autorizados.

k) Gestión de incidentes: Plan de acción para atender a los incidentes que se den. Además de resolverlos debe incorporar medidas de desempeño que permitan conocer la calidad del sistema de protección y detectar tendencias antes de que se conviertan en grandes problemas.

l) Incidente de seguridad: Suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información.

m) Información de control o metadato: Datos que califican a otros datos dándoles categoría de información. Esta información puede describir el propósito de los datos o las propiedades del fichero que los contiene: origen o destino, momento de creación, etc.

n) Integridad: Propiedad de la información por la que se garantiza la exactitud de los datos transportados o almacenados, asegurando que no se ha producido su alteración, pérdida o destrucción, ya sea de forma accidental o intencionada, por errores de software o hardware o por condiciones medioambientales.

o) Medidas de seguridad: Conjunto de disposiciones encaminadas a protegerse de los riesgos posibles.

p) Política de seguridad: Conjunto de directrices plasmadas en documento escrito, que rigen la forma en que una organización gestiona y protege la información y los servicios que considera críticos.

q) Principio de proporcionalidad: Principio por el que las medidas de seguridad implantadas serán proporcionales a la naturaleza de la información y de los servicios a proteger.

r) Proceso: Conjunto organizado de actividades que se llevan a cabo para producir un producto o servicio; tiene un principio y fin delimitado, implica recursos y da lugar a un resultado.

s) Registro de actividad: Informes resultantes de la grabación de las actividades de los usuarios.

t) Riesgo: Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.

u) Seguridad de la información: Preservación de la confidencialidad, integridad y disponibilidad de la información y los sistemas.

v) Seguridad del sistema: Capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.

w) Sistema de información: Conjunto organizado de recursos para que la información se pueda recoger, almacenar, procesar, mantener, usar, compartir, distribuir, poner a disposición, presentar o transmitir.

x) Soporte de información: Objeto físico susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar o recuperar datos.

y) Trazabilidad: Propiedad que permite que todas las acciones realizadas sobre la información o un sistema de información sean asociadas de modo inequívoco a un individuo o entidad.

z) Vulnerabilidad: Debilidad de un activo o control que puede ser explotada por una o más amenazas.

CAPÍTULO II - Principios básicos

Artículo 4. Principios básicos del Esquema Nacional de Seguridad

La seguridad de los sistemas de información estará presidida por los siguientes principios básicos:

a) Seguridad integral. b) Gestión de riesgos. c) Prevención, detección, respuesta y conservación. d) Existencia de líneas de defensa. e) Vigilancia continua. f) Reevaluación periódica. g) Diferenciación de responsabilidades.

Artículo 5. La seguridad como proceso integral

1. La seguridad se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con el sistema.

2. La aplicación del Esquema Nacional de Seguridad estará presidida por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural.

3. La seguridad de los sistemas de información será atendida, revisada y auditada por personal cualificado, instruido, dedicado e integrado en una estructura organizativa diferenciada.

Artículo 6. Gestión de la seguridad basada en los riesgos

1. El análisis y gestión de riesgos será parte esencial del proceso de seguridad y deberá mantenerse permanentemente actualizado.

2. La gestión de riesgos permitirá el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables.

3. La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de la información y los servicios a prestar, los riesgos a los que estén expuestos, y las medidas de seguridad.

Artículo 7. Prevención, detección, respuesta y conservación

1. La seguridad del sistema debe contemplar los aspectos de prevención, detección y corrección, para conseguir que las amenazas sobre el mismo no se materialicen, no afecten gravemente a la información que maneja, o a los servicios que se prestan.

2. Las medidas de seguridad contempladas en este real decreto tienen el carácter de mínimos exigibles, sin perjuicio de que, a la vista del resultado del proceso de gestión de riesgos, deban de adoptarse medidas adicionales.

3. Cuando por el resultado del proceso de gestión de los riesgos se adopten medidas adicionales a las mínimas exigibles, estas deberán ser proporcionales al riesgo frente al que salvaguardan.

4. Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección.

Artículo 8. Existencia de líneas de defensa

El sistema ha de disponer de una estrategia de protección constituida por múltiples capas de seguridad, de forma que, cuando una de las capas falle, permita ganar tiempo para una reacción adecuada frente a los incidentes que no han podido evitarse, reducir la probabilidad de que el sistema se vea comprometido en su conjunto y minimizar el impacto final sobre el mismo.

Artículo 9. Vigilancia continua

La vigilancia continua estará compuesta por las actividades que permiten conocer en cada momento el estado de seguridad de los sistemas, así como las actividades dirigidas a la detección y la respuesta a los incidentes de seguridad.

Artículo 10. Reevaluación periódica

Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la evolución de los riesgos, garantizando la mejora continua en materia de seguridad.

Artículo 11. Diferenciación de responsabilidades

1. En los sistemas de información se diferenciará entre el responsable de la información, el responsable del servicio, el responsable del sistema, el responsable de seguridad, el administrador del sistema y el operador del sistema.

2. La política de seguridad de la organización establecerá la definición detallada de las responsabilidades de cada uno, atendiendo a lo dispuesto en el presente real decreto.

CAPÍTULO III - Requisitos mínimos

Artículo 12. Requisitos mínimos de seguridad

1. Los sistemas de información a los que se aplica el presente real decreto deberán aplicar las medidas de seguridad indicadas en el anexo II, teniendo en cuenta:

   • Los activos que constituyen el sistema.
   • La categoría del sistema según lo previsto en el artículo 40.
   • Las decisiones adoptadas para gestionar los riesgos identificados.

2. Para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos, se aplicarán las medidas de seguridad indicadas en el anexo II del presente real decreto, las cuales serán proporcionales a:

   • Las dimensiones de seguridad relevantes en el sistema a proteger.
   • La categoría del sistema de información a proteger.
   • Los riesgos identificados como relevantes.

Artículo 13. Infraestructuras y servicios comunes

1. Los responsables de los distintos sistemas podrán recabar de los responsables de las infraestructuras y servicios comunes la información pertinente para el cumplimiento de sus deberes en relación con el Esquema Nacional de Seguridad.

2. Los responsables de las infraestructuras y servicios comunes establecerán los mecanismos que permitan trasladar el nivel de seguridad alcanzado y las medidas adoptadas a los responsables de los sistemas soportados.

Artículo 14. Seguridad por defecto

Los sistemas de información deben diseñarse y configurarse de forma que garanticen un grado suficiente de seguridad por defecto.

Artículo 15. Integridad y actualización del sistema

1. Todo elemento físico o lógico requerirá autorización formal previa a su instalación en el sistema.

2. Se mantendrá un inventario actualizado de todos los elementos que constituyen el sistema de información.

3. El sistema de información será objeto de un proceso de actualización permanente que evite la obsolescencia de los componentes del mismo.

Artículo 16. Protección de la información almacenada y en tránsito

1. Los sistemas deben proporcionar la protección necesaria a la información almacenada y en tránsito.

2. Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.

Artículo 17. Prevención ante otros sistemas de información interconectados

1. El sistema debe proteger el perímetro, en particular, si se conecta a redes públicas.

2. Los sistemas deben identificar y autenticar a otros sistemas cuando se conecten a estos.

Artículo 18. Registro de actividad y detección de intrusión

En los sistemas de información se registrarán las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa.

Artículo 19. Gestión de incidentes

1. Se dispondrá de un proceso integral de gestión de incidentes de seguridad.

2. Los incidentes de seguridad serán comunicados conforme se establezca en la normativa aplicable.

Artículo 20. Continuidad del servicio

Los sistemas dispondrán de copias de seguridad y establecerán los mecanismos necesarios para garantizar la continuidad de los servicios que se presten.

Artículo 21. Mejora continua del proceso de seguridad

El proceso de mejora continua en materia de seguridad se articulará a través del análisis del desempeño de las medidas de seguridad implantadas, así como a través de la revisión periódica del análisis de riesgos.

CAPÍTULO IV - Comunicaciones electrónicas

Artículo 22. Protección de las comunicaciones electrónicas

1. Las comunicaciones electrónicas se protegerán frente a escucha, modificación, interrupción, suplantación y cualquier otro riesgo que amenace a la seguridad de las mismas.

2. Se garantizará la autenticación del emisor y receptor, así como la integridad del contenido.

CAPÍTULO V - Auditoría de la seguridad

Artículo 23. Auditoría de la seguridad

1. Los sistemas de información de categoría básica realizarán una auditoría, al menos cada tres años.

2. Los sistemas de información de categoría media o alta realizarán una auditoría, al menos cada dos años.

3. Estas auditorías podrán ser realizadas por personal propio o externo cualificado.

Artículo 24. Informe de auditoría

1. El informe de auditoría dictaminará sobre el grado de cumplimiento del presente real decreto.

2. El informe identificará las deficiencias encontradas y propondrá las medidas correctoras o complementarias necesarias.

CAPÍTULO VI - Estado de seguridad

Artículo 25. Estado de seguridad

1. Los órganos y entidades remitirán al CCN un informe del estado de seguridad de los principales sistemas bajo su responsabilidad.

2. Esta información permitirá conocer de forma global el estado de seguridad de los sistemas.

Artículo 26. Información sobre incidentes

Los órganos y entidades notificarán al CCN-CERT los incidentes significativos que les afecten, en los términos que se establezcan.

CAPÍTULO VII - Respuesta a incidentes de seguridad

Artículo 27. CCN-CERT

1. El CCN creará el CCN-CERT como capacidad de respuesta a incidentes de seguridad de la información.

2. El CCN-CERT actuará como centro de alerta y respuesta nacional.

Artículo 28. Funciones del CCN-CERT

El CCN-CERT desarrollará las siguientes funciones:

a) Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes. b) Investigación y divulgación de las mejores prácticas. c) Formación y concienciación. d) Elaboración de informes con recomendaciones.

CAPÍTULO VIII - Normas de conformidad

Artículo 29. Normas de conformidad

1. El cumplimiento del presente real decreto podrá acreditarse mediante certificación de conformidad.

2. El CCN elaborará y mantendrá las guías de seguridad necesarias.

Artículo 30. Guías CCN-STIC

Las guías CCN-STIC establecerán las normas, instrucciones, guías y recomendaciones para aplicar el ENS.

Artículo 31. Certificación de la conformidad

1. La certificación de la conformidad con el ENS podrá realizarse mediante:

   • Certificación de producto
   • Certificación de sistema
   • Declaración de conformidad

2. Los esquemas de certificación serán desarrollados por el CCN.

CAPÍTULO IX - Actualización

Artículo 32. Actualización del Esquema Nacional de Seguridad

El ENS será revisado y actualizado cuando se considere necesario.

Artículo 33. Órganos colegiados

1. Se crean los siguientes órganos colegiados:

   • Comité Sectorial de Administración Electrónica
   • Consejo Nacional de Ciberseguridad

2. Estos órganos coordinarán la aplicación del ENS.

CAPÍTULO X - Categorización

Artículo 34. Información manejada por el sistema

1. La información se caracterizará según las dimensiones de seguridad.

2. Se establecerán los niveles bajo, medio y alto para cada dimensión.

Artículo 35. Servicios prestados por el sistema

Los servicios se caracterizarán en función del impacto que tendría su interrupción.

Artículo 36. Categoría de seguridad de la información

El nivel de cada dimensión se determinará conforme a los criterios del anexo I.

Artículo 37. Categoría de seguridad de los servicios

El nivel requerido en las dimensiones de disponibilidad, autenticidad y trazabilidad se determinará según el anexo I.

Artículo 38. Categoría del sistema

1. Un sistema será de categoría alta si alguna dimensión alcanza el nivel alto.
2. Será de categoría media si alguna dimensión alcanza el nivel medio y ninguna el alto.
3. Será de categoría básica si todas las dimensiones son de nivel bajo.

Artículo 39. Medidas de seguridad por categoría

Según la categoría del sistema, se aplicarán las medidas del anexo II.

Artículo 40. Proceso de categorización

1. El responsable del sistema realizará el proceso de categorización.
2. Se documentará y aprobará formalmente el resultado.

CAPÍTULO XI - Roles y responsabilidades

Artículo 41. Diferenciación de responsabilidades

Se diferenciarán los siguientes roles:

• Responsable de la información
• Responsable del servicio
• Responsable del sistema
• Responsable de seguridad
• Administrador del sistema
• Operador del sistema

Artículo 42. Responsable de la información

1. Determinará los requisitos de la información tratada.
2. Establecerá los niveles de seguridad dentro del marco establecido.

Artículo 43. Responsable del servicio

1. Determinará los requisitos de los servicios prestados.
2. Establecerá los niveles de seguridad de los servicios.

Artículo 44. Responsable del sistema

1. Desarrollará, operará y mantendrá el sistema durante todo su ciclo de vida.
2. Definirá la topología y arquitectura de seguridad.

Artículo 45. Responsable de seguridad

1. Determinará las decisiones para satisfacer los requisitos de seguridad.
2. Supervisará la aplicación de las medidas de seguridad.

Disposiciones adicionales

Disposición adicional primera. Desarrollo normativo

Se faculta al Ministro de Hacienda y Función Pública para el desarrollo del presente real decreto.

Disposición adicional segunda. Instituto Nacional de Ciberseguridad

El Instituto Nacional de Ciberseguridad (INCIBE) colaborará con el CCN en el ámbito de aplicación del ENS.

Disposición adicional tercera. Colaboración público-privada

Se promoverá la colaboración público-privada en materia de ciberseguridad.

Disposición adicional cuarta. Formación

Se impulsarán programas de formación y concienciación en ciberseguridad.

Disposición adicional quinta. Esquema Nacional de Interoperabilidad

La aplicación del ENS se realizará de forma coordinada con el Esquema Nacional de Interoperabilidad.

Disposiciones transitorias

Disposición transitoria primera. Adecuación de sistemas existentes

1. Los sistemas existentes dispondrán de un plazo de veinticuatro meses para su adecuación.

2. Los sistemas de nueva implantación deberán aplicar lo previsto desde su concepción.

Disposición transitoria segunda. Utilización de medios electrónicos

Hasta la plena aplicación del ENS, se garantizará la seguridad conforme a la normativa anterior.

Disposición derogatoria única

Queda derogado el Real Decreto 3/2010, de 8 de enero.

Disposiciones finales

Disposición final primera. Título competencial

Este real decreto se dicta al amparo del artículo 149.1.18.ª de la Constitución.

Disposición final segunda. Entrada en vigor

El presente real decreto entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

Referencias

• BOE-A-2022-7191: Publicación oficial del Real Decreto 311/2022
• CCN-STIC Serie 800: Guías de implementación del ENS
• Portal CCN: https://www.ccn.cni.es

Nota sobre el documento

Este documento contiene el texto completo del Real Decreto 311/2022 para facilitar su consulta dentro del sistema de gestión de calidad. Para el texto oficial, consulte el BOE.