Hay dos siglas que se cruzan constantemente en las conversaciones con pymes que trabajan con datos o con la Administración: ENS y RGPD. Y como suenan parecido y las dos van de «seguridad», mucha gente las mezcla o cree que cumpliendo una ya cumple la otra. No es así. Son cosas distintas, con objetivos distintos, pero que en la práctica comparten bastante trabajo. Si lo entiendes bien, puedes cumplir las dos sin hacer el trabajo dos veces.
Qué protege cada una
El RGPD (y su desarrollo en España, la LOPDGDD) protege los datos personales. Su pregunta de fondo es: ¿estás tratando información de personas con respeto a sus derechos y con medidas de seguridad razonables? Aplica a prácticamente cualquier empresa, porque casi todas manejan datos de clientes, de empleados o de proveedores. No depende de tu tamaño ni de tu sector: si tratas datos personales, te aplica.
El ENS, el Esquema Nacional de Seguridad, protege la información y los servicios del sector público. Su pregunta es otra: ¿los sistemas que dan servicio a la Administración tienen el nivel de seguridad que les corresponde? Aplica a las administraciones y, esto es lo que pilla a muchas pymes, a las empresas privadas que les prestan servicios. Si licitas o trabajas para un organismo público, el ENS te va a aparecer en los pliegos.
Resumiendo la diferencia en una frase: el RGPD va de proteger a las personas cuyos datos manejas; el ENS va de proteger la información con la que sirves al sector público. Una empresa puede estar sujeta a ambos a la vez sin ningún problema, y de hecho es lo normal.
El ENS por niveles: básico, medio y alto
El ENS, regulado por el Real Decreto 311/2022, clasifica los sistemas en tres categorías según el impacto que tendría un incidente: básica, media y alta. No eliges el nivel por gusto: sale de valorar la información y los servicios que manejas.
La categoría marca también cómo demuestras que cumples. Para la básica basta con una declaración de conformidad, que puede apoyarse en una autoevaluación. Para la media y la alta hace falta una certificación con auditoría formal, realizada por una entidad acreditada, que se renueva periódicamente. Cuanto más sensible es lo que proteges, más exigente es la prueba.
En cuanto a tiempos y coste, depende mucho del nivel y de la complejidad de tus sistemas, pero un proceso de adecuación y certificación para una pyme suele moverse en varios meses de trabajo. Lo importante no es el número exacto, sino entender que no es un trámite de una tarde: hay que adecuar de verdad los sistemas antes de certificar.
Las 72 horas del RGPD que todo el mundo debería saber
Hay una obligación del RGPD que conviene tener grabada, porque pilla por sorpresa una y otra vez. Si sufres una brecha de seguridad que afecta a datos personales y supone un riesgo para las personas, tienes que notificarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas. Y el reloj empieza a contar desde que la detectas, no desde que terminas de analizarla con calma.
Además, una brecha no es solo «nos han hackeado». Mandar un correo con datos personales al destinatario equivocado, perder un portátil sin cifrar o enviar una hoja de cálculo con información sensible a quien no toca también cuentan. Y aunque concluyas que el incidente no supone riesgo y decidas no notificarlo, sigues teniendo que documentarlo internamente. No notificar a tiempo, o no hacerlo cuando debías, es sancionable.
Dónde se solapan (y cómo aprovecharlo)
Aquí está la buena noticia. Aunque persiguen objetivos distintos, ENS y RGPD piden muchas de las mismas medidas prácticas: control de accesos, cifrado de información sensible, copias de seguridad, registro de actividad, gestión de incidentes y formación del personal. Si montas estos controles pensando en los dos a la vez, el esfuerzo extra es pequeño comparado con hacerlos por separado.
El error que veo a menudo es tratar cada normativa como un proyecto aislado, con su consultor, sus reuniones y su carpeta. Acabas pagando dos veces por controles que en el fondo son el mismo. Lo eficiente es partir de un análisis de riesgos común y construir encima lo específico de cada marco. El RGPD añadirá su parte de derechos de los interesados, registro de actividades de tratamiento y gestión de brechas; el ENS añadirá su categorización y sus controles por nivel. Pero la base de seguridad es compartida.
Por dónde empezar
Si no tienes claro qué te aplica, el orden sensato es este. Primero, da por hecho que el RGPD te aplica y comprueba lo básico: qué datos tratas, con qué base legal, quién accede y qué harías ante una brecha. Segundo, si trabajas o quieres trabajar con la Administración, revisa el ENS y averigua qué categoría te correspondería. Tercero, junta los dos análisis y planifica una sola hoja de ruta de seguridad en lugar de dos. Así evitas duplicar trabajo y, de paso, tu empresa queda mejor protegida de verdad, que al final es de lo que va todo esto.
Cómo te ayudamos en CiberPYME
Fuentes oficiales
Si el ENS te ha llegado por un pliego de la Generalitat o de un ayuntamiento, en ciberseguridad para empresas en Valencia detallamos categorías, declaración frente a certificación y el calendario de auditorías del Real Decreto 311/2022.
