Esquema Nacional de Seguridad
Generated by GPT-5-miniExpansion Funnel Raw 36 → Dedup 0 → NER 0 → Enqueued 0
| Esquema Nacional de Seguridad | |
|---|---|
| Name | Esquema Nacional de Seguridad |
| Jurisdiction | Spain |
| Established | 2010 |
| Legislation | Royal Decree 3/2010; Law 40/2015; Law 39/2015 |
| Responsible agency | Centro Criptológico Nacional; Consejo de Seguridad Nacional (España) |
Esquema Nacional de Seguridad
El Esquema Nacional de Seguridad es un marco normativo español diseñado para garantizar la protección de la información y los servicios en los sistemas de información de las administraciones públicas. Inspirado en estándares internacionales y promovido por organismos nacionales, establece requisitos, niveles y procedimientos para la gestión de riesgos y la protección frente a amenazas cibernéticas. Está vinculado con iniciativas europeas y marcos técnicos que afectan a entidades, proveedores y proyectos tecnológicos empleados por la administración.
Introducción
El esquema surge como respuesta a demandas contemporáneas de resiliencia ante incidentes tecnológicos y coordinación entre instituciones como el Ministerio del Interior (España), el Ministerio de Asuntos Económicos y Transformación Digital, y el Centro Criptológico Nacional, además de conectar con marcos de la Unión Europea y organismos internacionales como la Agencia de la Unión Europea para la Ciberseguridad y la OTAN. Sus disposiciones impactan a administraciones autonómicas como la Generalitat de Cataluña y ayuntamientos como el de Madrid, así como a operadores esenciales regulados por directivas europeas como la NIS Directive.
Marco legal y normativa
El marco se apoya en instrumentos legislativos y reglamentarios nacionales y europeos, entre los que figuran Royal Decree 3/2010, la Ley 39/2015 y la Ley 40/2015, y se alinea con normas internacionales como la ISO/IEC 27001 y la ISO/IEC 27002. También interactúa con directivas de la Unión Europea y reglamentos como el Reglamento General de Protección de Datos en materias de tratamiento y custodia de datos. Entidades como la Agencia Española de Protección de Datos y el Centro Criptológico Nacional emiten guías y criterios técnicos aplicables a contratos y expedientes.
Objetivos y principios
Los objetivos incluyen garantizar la disponibilidad, integridad, confidencialidad y trazabilidad de los activos informáticos de las administraciones, siguiendo principios de proporcionalidad, gestión de riesgos y continuidad operativa contemplados en documentos de referencia como los del Instituto Nacional de Ciberseguridad y la Organización Internacional de Normalización. Promueve la colaboración entre órganos como el Consejo de Obras Públicas y la Comisión Interministerial para establecer políticas coherentes con planes estratégicos nacionales y europeos.
Requisitos y medidas de seguridad
Define requisitos técnicos y organizativos aplicables a sistemas, redes y servicios, incluyendo mecanismos criptográficos, controles de acceso, gestión de incidentes, auditoría y planes de continuidad. Las medidas referencian tecnologías y prácticas difundidas por instituciones como NIST, la Agencia de la Unión Europea para la Ciberseguridad, y proveedores tecnológicos que suministran soluciones a proyectos en entidades como la Administración General del Estado. Los contratos públicos deben incorporar cláusulas conforme a normas aplicables y a criterios publicados por el Centro Criptológico Nacional.
Clases de información y niveles de protección
Establece categorías de información con niveles de protección creciente que orientan la adopción de controles; estas categorías se alinean conceptualmente con marcos de clasificación empleados por organismos como la Administración General del Estado, la Defensa Nacional (España), y estándares extranjeros adoptados por gobiernos como el Reino Unido o Estados Unidos. La clasificación condiciona requisitos criptográficos, técnicas de segregación y protocolos de gestión de accesos y auditoría aplicables en proyectos de entidades como los servicios autonómicos de salud o sistemas tributarios.
Implementación en la administración pública
La adopción exige planes de adecuación en ministerios, consejerías y ayuntamientos, y afecta a procesos de contratación, gestión documental e interoperabilidad entre plataformas como las gestionadas por la Agencia Tributaria (España) o la Seguridad Social (España). La ejecución implica coordinación con centros técnicos, auditorías internas y formación proporcionada por agencias como el Instituto Nacional de Administración Pública y capacitación dirigida a personal de órganos como las unidades de seguridad informática de universidades públicas y hospitales.
Certificación, auditoría y conformidad
La conformidad se verifica mediante auditorías y mecanismos de control que pueden implicar acreditaciones y certificaciones basadas en criterios similares a los de la ISO/IEC 27001 y guías técnicas del Centro Criptológico Nacional. Entes de control y supervisión como la Intervención General de la Administración del Estado y tribunales jurisdiccionales administrativos participan en la revisión del cumplimiento, mientras que la rendición de cuentas se articula en procedimientos de contratación y contratación electrónica regulados por la Ley 9/2017 y directrices de la Comisión Europea.
Category:Cybersecurity in Spain