El RD 311/2022 obliga ajuntaments, consells i entitats locals a complir l’Esquema Nacional de Seguretat (ENS). Els vostres proveïdors TIC també hi estan subjectes si administren o custodien dades públiques. Si no teniu un programa ENS actiu, esteu en incompliment normatiu, i una inspecció, una auditoria de la Sindicatura o la renovació d’un contracte ho posarà de manifest.
El RD 311/2022 és exigent i poc flexible. Requereix documentar la governança de seguretat, desplegar les mesures segons la categoria del sistema (bàsica, mitjana, alta), registrar incidents i validar que els controls funcionen. Els ajuntaments petits solen començar sense estructura de governança, sense equips de seguretat dedicats i sense documentació prèvia.
Les consultories de gran firma són cares i lentes (6-12 setmanes només per al diagnòstic). Els clients públics demanen conformitat ENS als seus proveïdors TIC sense una guia clara de què significa. I un risc afegit: els vostres propis proveïdors TIC també han de demostrar conformitat ENS, cosa que sovint no fan perquè desconeixen l’obligació. Això genera risc indirecte per a vosaltres.
Inclou pla d’adequació, matriu de responsabilitats i plantilles d’evidència. Entrega: pla ENS en PDF + plantilles editables.
Ajuntaments i entitats locals que comencen el programa ENS des de zero. Consells comarcals i diputacions que necessiten un pla ENS unificat per a tota l’organització o per a entitats adscrites. Proveïdors de serveis digitals a l’administració pública (cloud, processament de dades, serveis gestionats). Empreses que subministren programari o solucions TIC al sector públic.
Per a qui NO és: entitats amb programa ENS en marxa i certificació externa recent (menys de 12 mesos). Grans administracions amb estructures de governança complexes que requereixen un disseny totalment personalitzat. Entitats que busquen la certificació formal per part de tercers (aquest servei és acompanyament a la implementació; la certificació correspon a una entitat acreditada).
Fase 1: Diagnosi (setmanes 1-2)
entrevistes amb direcció, responsable TIC i secretaria/gerència per entendre mida, dades gestionades, proveïdors crítics i estructura actual. Revisió de la documentació ENS existent i avaluació de les mesures de categoria bàsica que ja funcionen.
Fase 2: Disseny del pla (setmanes 2-3)
definició de la governança ENS (qui és responsable de què), selecció de mesures prioritàries, matriu de responsabilitats i plantilles de documentació adaptades al vostre procediment administratiu.
Fase 3: Implementació guiada (setmanes 4-12)
suport setmanal (reunions de 60 minuts) per desplegar les mesures. BeSec aporta plantilles auditables (polítiques, procediments, registres d’incidents, plans de resposta) que l’equip local personalitza i aprova.
20-30 pàgines amb governança, mesures seleccionades, responsabilitats i calendari de desplegament.
política de seguretat, procediments d’incidents, pla de resposta, anàlisi de riscos i registres de control. Entre 8 i 12 documents auditor-ready.
mapa de mesures implementades i pendents, amb evidència dels buits.
Suport setmanal i referència de mesures ENS
12 reunions de seguiment (una per setmana durant 3 mesos) amb el consultor sènior. Referència de mesures ENS: guia viva dels marcs organitzatiu, operacional i de protecció amb la descripció de cada mesura aplicable.
Inici en menys de 7 dies. Cicle de 3 mesos: 2-3 setmanes de diagnosi i disseny, 9-10 setmanes d’implementació guiada amb reunions setmanals. Extensible si hi ha complexitat addicional (per exemple, organitzacions amb 10 o més entitats adscrites).
En 60-90 dies, les mesures ENS més crítiques estan operatives amb documentació auditable. L’equip sap registrar incidents, validar controls periòdicament i mantenir evidència viva. Davant una inspecció, podeu demostrar un programa actiu de conformitat. I sabeu exactament quina documentació heu d’exigir als vostres proveïdors TIC.
No. BeSec no és un organisme de certificació i no pot emetre certificats. El que fem és preparar la teva organització perquè superi amb èxit l’auditoria d’un organisme certificador acreditat. Això inclou: diagnòstic de bretxes, pla d’acció complet, documentació auditor-ready i, si cal, acompanyament presencial durant l’auditoria externa. El resultat: arribes a l’auditoria preparat i amb les evidències que el certificador necessita.
No necessàriament com a certificació formal, però sí que hauràs de complir amb l’ENS si prestes serveis tecnològics a l’administració pública. La certificació ISO 27001 sovint es demana com a criteri de valoració en licitacions i puntua favorablement. En la pràctica, molts proveïdors opten per alinear-se primer amb ISO 27001 perquè facilita significativament el compliment posterior de l’ENS: els dos marcs comparteixen gran part dels controls.
