El Esquema Nacional de Seguridad (ENS) y el cortafuegos: qué medidas pide

El Esquema Nacional de Seguridad (ENS) es la norma que fija cómo deben proteger sus sistemas de información la Administración pública española y quienes trabajan para ella. Lo regula el Real Decreto 311/2022, de 3 de mayo, que sustituyó al Real Decreto 3/2010. Su anexo II es un catálogo de medidas de seguridad, y varias tocan directamente al cortafuegos.

A quién obliga el ENS

Según su artículo 2, se aplica a:

• Todo el sector público: Administración del Estado, comunidades autónomas, entidades locales, organismos y entidades de derecho público, universidades públicas…
• Los sistemas que manejan información clasificada.
• Las empresas privadas que prestan servicios o dan soluciones al sector público por contrato. Los pliegos de esos contratos tienen que exigirles la declaración o la certificación de conformidad con el ENS.

Por eso el ENS interesa a muchas empresas tecnológicas: proveedores de nube, de software, de mantenimiento o de servicios gestionados que trabajan para ayuntamientos o ministerios.

Las tres categorías

Cada sistema se clasifica en categoría básica, media o alta según el daño que haría un incidente en cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cuanto más alta la categoría, más medidas y refuerzos se aplican.

Qué pide el ENS al cortafuegos

mp.com.1: perímetro seguro

Es la medida central y se aplica igual en las tres categorías, sin refuerzos:

• Tiene que haber un sistema de protección perimetral que separe la red interna del exterior, y todo el tráfico tiene que pasar por él.
• Todo flujo de información que cruce el perímetro tiene que estar autorizado previamente.

Es exactamente lo que hace un cortafuegos configurado para denegar por defecto. Los requisitos concretos de cada interconexión los desarrolla la Instrucción Técnica de Seguridad de Interconexión.

mp.com.4: separación de flujos en la red

Pide segmentar el tráfico para que cada equipo acceda solo a lo que necesita, y llevar la red inalámbrica a un segmento aparte. Tiene cuatro refuerzos:

• R1: redes virtuales (VLAN) con, al menos, subredes separadas para usuarios, servicios y administración.
• R2: segmentos unidos por VPN.
• R3: segmentación física.
• R4: control de lo que entra y sale de cada segmento, con el punto de interconexión asegurado, mantenido y vigilado como en mp.com.1. Es decir, un cortafuegos entre segmentos.

Otras medidas que afectan al cortafuegos

• op.ext.4, interconexión de sistemas: todo intercambio con otros sistemas está prohibido salvo autorización expresa, y cada interconexión se documenta.
• mp.com.2 y mp.com.3, confidencialidad e integridad: las comunicaciones que salen del dominio de seguridad van por VPN cifradas. En categoría media, con algoritmos autorizados por el CCN; en alta, la norma pide dispositivos hardware y productos certificados para la VPN, algo que muchos cortafuegos hacen.
• op.mon.1, detección de intrusiones: herramientas de detección o prevención de intrusiones en las tres categorías, basadas en reglas desde la media y con procedimientos de respuesta en la alta. Es el IPS que llevan los NGFW y los UTM.
• op.exp.2 y op.exp.3, configuración: quitar cuentas y contraseñas por defecto, dejar activo solo lo necesario («mínima funcionalidad») y llevar control de los cambios de configuración.

El catálogo CPSTIC del CCN

La medida op.pl.5 obliga, en las categorías media y alta, a elegir los productos de seguridad del Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del Centro Criptológico Nacional. El catálogo distingue entre productos cualificados (para sistemas del ENS) y aprobados (para información clasificada), y los ordena por familias. Dentro de la protección del perímetro están, entre otras, las de cortafuegos, IDS e IPS, cortafuegos de aplicaciones web (WAF), pasarelas seguras de intercambio, diodos de datos y VPN IPsec y SSL.

Cada producto se cualifica con una versión concreta de su sistema y lleva su procedimiento de empleo seguro, una guía de configuración del CCN. A 6 de noviembre de 2026 figuran, por ejemplo, los SonicWall TZ, NSa, NSv y NSsp con SonicOS 7.0.1 (cualificados para la categoría alta; los TZ, desde el 21 de febrero de 2025) y un cortafuegos basado en Clavister cOS Core 15.00. Antes de comprar hay que consultar el catálogo, porque cambia.

Cómo se demuestra que se cumple

• Categoría básica: basta una autoevaluación y una declaración de conformidad, aunque también se puede certificar.
• Categorías media y alta: hace falta una auditoría y una certificación de conformidad.
• La auditoría se repite al menos cada dos años, y también tras un cambio sustancial (artículo 31).
• Las declaraciones y certificaciones se publican en la web o la sede electrónica.

Las certificaciones las emiten entidades acreditadas por ENAC según la norma UNE-EN ISO/IEC 17065, y el CCN publica la lista en su web del ENS.

Para las empresas privadas que no trabajan con la Administración, la norma que viene es la directiva europea NIS2, cuya ley española aún no se ha aprobado.