Implantación técnica del ENS en Tenerife

Sí. El artículo 2 del RD 311/2022 establece que el ENS aplica a las entidades del sector público y a los sistemas de información de los proveedores que les presten servicios o suministren soluciones. El Cabildo de Tenerife, los ayuntamientos de la isla y la Universidad de La Laguna son entidades del sector público sujetas al ENS. Sus contratistas tecnológicos —empresas de software, servicios en la nube, mantenimiento de sistemas, procesamiento de datos— deben adecuarse al mismo nivel que los sistemas de la Administración con la que trabajan. El régimen fiscal especial de Canarias (IGIC en lugar de IVA) no modifica esta obligación: el ENS es normativa estatal y rige en todo el territorio nacional, incluido el archipiélago.

MAGERIT es la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información elaborada por el Ministerio de Administraciones Públicas y mantenida por el CCN. El RD 311/2022 no obliga a usar MAGERIT de forma explícita, pero la guía CCN-STIC 803 (Valoración de sistemas en el ENS) establece MAGERIT como la referencia metodológica oficial para el análisis de riesgos y la categorización del sistema. La herramienta PILAR, desarrollada por el CCN, implementa MAGERIT de forma automatizada y genera los informes de riesgo en el formato que los auditores de conformidad acreditados por ENAC esperan encontrar. Usar MAGERIT y PILAR no es obligatorio por ley, pero es la vía que garantiza trazabilidad, reproducibilidad y aceptación en el proceso de certificación.

Para sistemas de categoría básica, la organización puede autoevaluar su cumplimiento del ENS y emitir una declaración de conformidad propia, siguiendo el procedimiento de la CCN-STIC 809. No requiere un tercero externo: la responsabilidad es de la propia organización. Para sistemas de categoría media o alta, la conformidad debe certificarla una entidad de inspección acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Sistemas no emite ningún certificado de conformidad —eso es competencia exclusiva de las entidades acreditadas por ENAC—; nuestro papel es preparar los sistemas para que superen ese proceso con las evidencias técnicas en orden.

Sí, y cada vez más. La familia op.nub del Anexo II del ENS regula los requisitos de seguridad cuando los sistemas en alcance utilizan infraestructura, plataforma o software como servicio de terceros. Para un proveedor que sirve una aplicación SaaS al Cabildo de Tenerife o a la Universidad de La Laguna y que tiene esa aplicación alojada en un proveedor cloud, op.nub exige documentar el modelo de responsabilidad compartida, verificar los controles aplicables al arrendatario y asegurarse de que el proveedor cloud dispone de las certificaciones o informes de seguridad (como el Esquema Nacional de Seguridad para proveedores cloud del CCN) que permiten confiar en la cadena de custodia. Summum Sistemas revisa y documenta este aspecto como parte de la implantación técnica.

Depende de la categoría del sistema, el grado de madurez técnica previo y el número de sistemas en alcance. Para un proveedor con sistemas de categoría básica y prácticas de seguridad parcialmente implantadas, la implantación técnica puede completarse en tres a cinco meses. Para categoría media, con sistemas más complejos y sin hardening previo documentado, el plazo habitual está entre seis y doce meses, incluyendo el análisis MAGERIT/PILAR, la implantación de medidas técnicas y la compilación del paquete de evidencias. En todos los casos, la coordinación con Summum Calidad para el plano documental se hace en paralelo, sin alargar el plazo total.

El régimen del IGIC (Impuesto General Indirecto Canario) aplica a las empresas establecidas en Canarias que prestan servicios en el archipiélago. En los contratos entre una empresa tecnológica canaria y un organismo público canario (Cabildo, ayuntamiento, ULL), la facturación se rige por las normas del IGIC, no del IVA peninsular. Esto afecta a la fiscalidad de los servicios de implantación técnica del ENS que Summum Sistemas presta en Tenerife, pero no modifica ni el contenido de los requisitos del ENS ni el calendario de adecuación. El RD 311/2022 rige en todo el territorio nacional con independencia del régimen fiscal autonómico.