Question 1

¿Cómo se determina si mis sistemas son categoría Alta?

Accepted Answer

La categoría Alta se determina cuando el impacto potencial de un incidente de seguridad en alguna de las cinco dimensiones —confidencialidad, integridad, disponibilidad, autenticidad o trazabilidad— alcanza el nivel Alto: consecuencias muy graves, irreversibles o que afectan a la seguridad nacional, infraestructuras críticas o grandes volúmenes de ciudadanos. El análisis debe realizarse formalmente mediante metodología MAGERIT.

Question 2

¿El ENS Alto es más caro que el Medio?

Accepted Answer

Sí. El ENS Alto requiere la implementación de los 73 controles del Anexo II en su nivel máximo, lo que supone una inversión mayor en consultoría, controles técnicos (SIEM, criptografía avanzada, redundancia física) y una auditoría externa más extensa y costosa. El plazo también es mayor: entre 5 y 7 meses según la complejidad.

Question 3

¿Qué entidades pueden auditar el ENS Alto?

Accepted Answer

La auditoría del ENS Alto debe realizarla una entidad de certificación acreditada por ENAC para el esquema ENS, como Bureau Veritas, SGS, AENOR, Applus+ o BSI. Para sistemas con información clasificada o relacionados con defensa, pueden intervenir también auditores habilitados por el CCN (Centro Criptológico Nacional).

Question 4

¿El ENS Alto equivale a ISO 27001?

Accepted Answer

No son equivalentes, pero comparten una base significativa de controles (aproximadamente el 65%). El ENS Alto tiene requisitos específicos del contexto de la Administración Pública española y controles más estrictos en áreas como continuidad de servicio, criptografía y seguridad física. La ISO 27001 tiene alcance internacional y es más flexible. Ambas certificaciones se complementan y Avson las trabaja habitualmente en paralelo.

Question 5

¿Mis sistemas de categoría Alta necesitan también ENS Básico o Medio en otros sistemas?

Accepted Answer

Es posible que una misma organización tenga sistemas de distintas categorías ENS. La categorización se hace sistema por sistema, en función del impacto de cada uno. Los sistemas de apoyo o secundarios pueden ser Básico o Medio aunque los sistemas principales sean Alto. Avson ayuda a definir el alcance correcto para cada sistema y organización.