El ENS cuando hay una planta detrás
El Esquema Nacional de Seguridad (Real Decreto 311/2022) obliga al sector público español y a las empresas que le prestan servicios. Si su compañía opera agua, residuos, transporte o cualquier infraestructura para una administración, el ENS es su marco.
El ENS se piensa a menudo como algo «de administraciones y expedientes», y esa lectura deja fuera lo importante: muchas infraestructuras operadas para el sector público son industriales. Una depuradora, una potabilizadora, un sistema de transporte o una instalación portuaria tienen SCADA, PLC y telecontrol, y todo ello entra en el alcance cuando el servicio se presta a una administración.
El esquema clasifica cada sistema en categoría básica, media o alta según el impacto de un incidente, y de la categoría depende qué medidas del anexo II son exigibles y con qué rigor. La conformidad se declara (categoría básica) o se certifica por una entidad acreditada (media y alta), y los pliegos públicos la piden cada vez más como condición para contratar.
| Requisito | Qué significa en OT |
|---|---|
| Categorización del sistema | Si el sistema controla un proceso físico esencial, la disponibilidad manda: la categoría sube por el impacto de una parada, no por los datos que maneja. |
| org — Marco organizativo | Política y responsables de seguridad que cubran también OT. El responsable del sistema debe saber que su sistema incluye una planta. |
| op.pl — Planificación | Arquitectura de seguridad documentada: en OT, el plano de zonas y conductos y el inventario de activos son esa documentación. |
| op.acc — Control de acceso | Cuentas nominales, mínimo privilegio y MFA en accesos remotos, también para contratas y telecontrol. La cuenta compartida de mantenimiento incumple directamente. |
| op.exp — Explotación | Inventario, gestión de configuración, mantenimiento y gestión de cambios sobre los sistemas de control; registro de actividad suficiente para reconstruir un incidente. |
| op.mon — Monitorización | Detección de intrusiones y gestión de eventos también en la red industrial: una sonda OT y alguien que la mire. |
| op.cont — Continuidad | Análisis de impacto, plan de continuidad y pruebas periódicas que contemplen el proceso físico, incluidas las copias de configuración de los equipos de control. |
| mp — Medidas de protección | De la protección física de salas de control al borrado de soportes: en planta hay armarios de PLC en zonas de paso que son parte del alcance. |
| Certificación de conformidad | Para categoría media y alta, auditoría por entidad certificadora acreditada cada dos años, con evidencias; para básica, autoevaluación y declaración. |
Si presta servicio al sector público con infraestructura industrial, el camino habitual es:
- Diagnóstico OT — la categorización y la brecha frente al anexo II parten de saber qué hay.
- Segmentación IT/OT — cubre el grueso de op.pl y op.acc en la parte industrial.
- Servicios gestionados IT/OT — op.mon con analistas que entienden telecontrol.
- Inventario gestionado — op.exp con evidencia continua, lista para la auditoría bienal.