El pasado 23 de octubre el Consejo de Ministros aprobaba los cambios en relación al ENS (Real Decreto del 8 de enero de 2010, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica), con el fin de reforzar la protección de las Administraciones Públicas frente a las ciberamenazas, permitir una adaptación a la rápida evolución de las tecnologías, y en base a la experiencia derivada de la implantación del mismo y al contexto regulatorio cambiante, tanto internacional como europeo.
Posteriormente, y con fecha 4 de noviembre de 2015, ha sido publicado en BOE el Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
Entre otros cambios, los más significativos son:
- En el artículo 11, la gestión continuada de la seguridad como un aspecto clave que ha de acompañar a los servicios disponibles por medios electrónicos 24 horas al día.
- En el artículo 15, la exigencia, de manera objetiva y no discriminatoria, de profesionales cualificados a las organizaciones que presten servicios de seguridad a las Administraciones Públicas.
- En el artículo 18, la utilización, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, de aquellos productos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición.
- En el artículo 24, el despliegue de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información.
- En el artículo 27, la formalización de las medidas de seguridad en un documento denominado ‘declaración de aplicabilidad’ y la posibilidad de reemplazar medidas de seguridad por otras compensatorias cuando se justifique documentalmente.
- En el artículo 29, la figura de las “Instrucciones técnicas de seguridad” que regularán aspectos tales como el informe del estado de la seguridad, la auditoría de la seguridad, la conformidad con el Esquema, la notificación de incidentes de seguridad, la adquisición de productos de seguridad, la criptología empleada en el ámbito del Esquema y los requisitos de seguridad en entornos externalizados, entre otras.
- En el artículo 35, referencias expresas a la articulación de los procedimientos necesarios para la recogida y consolidación de la información para el informa anual de estado de la seguridad y organismos responsables de su realización.
- En el artículo 36, la notificación al Centro Criptológico Nacional de aquellos incidentes que tengan un impacto significativo en la seguridad de la información manejada y de los servicios prestados.
- En el artículo 37, las evidencias necesarias para la investigación de incidentes de seguridad por parte del Centro Criptológico Nacional.
- La mejora de diversas medidas de seguridad para mejorar su eficacia y para adecuarse a lo previsto en el Reglamento nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE. En particular, los apartados 3.4, 4.1.2, 4.1.5, 4.2.1, 4.2.5, 4.3.3, 4.3.7, 4.3.8, 4.3.9, 4.3.11, 4.4.2, 4.6.1, 4.6.2, 5.2.3, 5.3.3, 5.4.2, 5.4.3, 5.5.2, 5.5.5, 5.6.1, 5.7.4, 5.7.5, 5.7.7 y 5.8.2.
- También se concreta el Anexo III, referido a la auditoría de seguridad, se modifica el Glosario de términos recogido en el Anexo IV, se actualiza la redacción de la cláusula administrativa particular contenida en el Anexo V, se elimina la referencia a INTECO (ahora INCIBE), y se establece mediante disposición transitoria un plazo de veinticuatro meses contados a partir de la entrada en vigor para la adecuación de los sistemas a lo dispuesto en la modificación.
Áudea Seguridad de la Información