Si trabajas en una administración u organismo público en España, el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es tu marco de referencia. El ENS se alinea con la norma internacional ISO 27001/27002 y plantea un requisito claro de concienciación: el personal, y cuando proceda también el personal externo, debe recibir formación adecuada y mantenerse informado con regularidad sobre las reglas que afectan a su función. En el ENS esto se concreta en las medidas relativas al personal (concienciación y formación). Este artículo muestra cómo cumplir ese requisito paso a paso y de forma demostrable.
¿Qué pide el ENS en materia de concienciación?
Como se alinea con la ISO 27002, el requisito de concienciación es coherente. Lo esencial es que la concienciación no es una acción puntual, sino un proceso continuo. Una formación al incorporarse no basta; el personal debe mantenerse al día de las reglas aplicables a su trabajo durante toda su relación laboral.
El requisito es también de formación adecuada, es decir, con un contenido que se ajusta al rol y a los riesgos de la persona. Una administradora de aplicaciones afronta riesgos distintos a los de una persona de atención al público, y la concienciación debe reflejar esa diferencia. Por último, el ENS exige demostrabilidad: debes poder mostrar que el proceso existe y funciona.
Paso 1: Define tus públicos y sus riesgos
Empieza con un breve inventario de riesgos por grupo de funciones. ¿Qué datos maneja una persona, qué sistemas usa y qué saldría mal en caso de error? No hace falta convertirlo en un gran proyecto; unas pocas conversaciones por área ya dan una imagen útil.
El resultado es una visión de los públicos con los riesgos que les importan. Esa visión guía el resto de tu enfoque y constituye, al mismo tiempo, la prueba de que has diseñado la concienciación con base en el riesgo.
Paso 2: Establece formación y repetición
Elige contenidos que se ajusten a los públicos del paso 1 y prográmalos con un ritmo fijo. Módulos breves y recurrentes funcionan mejor que una única sesión anual larga. Incorpora la concienciación también a la acogida, para que el personal nuevo participe desde el primer día.
No olvides al personal externo. El ENS lo menciona expresamente cuando tiene acceso a información o sistemas. Documenta cómo se incluye a los externos, aunque no estén en tu propio entorno de formación.
Paso 3: Garantiza la demostrabilidad
Un auditor no quiere oír que haces algo, sino verlo. Documenta por tanto de forma sistemática:
- Participación: quién completó qué formación y cuándo, incluido el personal nuevo y el externo.
- Contenido y frecuencia: los temas que tratas y con qué frecuencia repites.
- Vínculo con el riesgo: la justificación de por qué un público recibe ciertos temas.
- Resultados: métricas como la tasa de notificación en las simulaciones de phishing, para mostrar mejora.
Paso 4: Mejora a partir de lo que mides
La demostrabilidad no es un fin en sí misma. Las cifras que recoges sirven para ajustar. Si la conducta de notificación se queda atrás en un área, sabes dónde hace falta atención adicional.
Así el requisito no se convierte en una casilla que marcar, sino en un motor de mejora real. No solo cumples la norma, sino que reduces el riesgo de forma demostrable, que es en definitiva la finalidad de la norma.
Artículos relacionados
FAQ
¿A quién se aplica el ENS?
El ENS es obligatorio para todo el sector público español y para los proveedores que le prestan servicios, conforme al Real Decreto 311/2022. El personal externo con acceso a información o sistemas también queda incluido.
¿Cómo aborda el ENS la concienciación?
El ENS recoge las exigencias de la ISO 27002 mediante las medidas relativas al personal: formación adecuada al rol y comunicación periódica de reglas y procedimientos. La concienciación debe ser un proceso continuo, no una acción puntual.
¿Con qué frecuencia hay que formar?
El ENS no fija una frecuencia única, pero exige un proceso continuo. En la práctica, módulos breves y recurrentes funcionan mejor que una sesión anual. Incorpora la concienciación a la acogida del personal nuevo.
¿Qué quiere ver un auditor?
Pruebas de que el proceso existe y funciona: registros de participación, los temas tratados y su frecuencia, el vínculo entre público y riesgo, y resultados como la tasa de notificación en las simulaciones de phishing. La combinación es la prueba más sólida.
¿Cómo se relaciona el ENS con NIS2?
El ENS es el marco nacional basado en la ISO 27001/27002; NIS2 es legislación europea que a menudo se aplica además. Las expectativas de concienciación se solapan en gran medida: basadas en el riesgo, continuas y demostrables. Un programa bien diseñado cubre ambos.