La resposta curta
Si construeixes programari per a una administració pública espanyola, l'Esquema Nacional de Seguretat també t'aplica a tu, no només al teu client.
El Reial decret 311/2022 ho diu explícitament: entra en el seu àmbit «els sistemes d'informació de les entitats del sector privat… quan… prestin serveis a les entitats del sector públic per a l'exercici per aquestes de les seves competències». I hi afegeix la conseqüència contractual: els contractes públics han d'exigir conformitat amb l'ENS i estendre aquests requisits a la cadena de subministrament segons l'anàlisi de riscos.
Traduït: no és un annex del plec que omple el client. És un requisit que condiciona com construeixes, què documentes i què lliures.
El primer de tot: la categoria
L'ENS classifica els sistemes en tres categories —BÀSICA, MITJANA i ALTA—, i la categoria es determina valorant l'impacte potencial sobre quatre dimensions: disponibilitat, integritat, confidencialitat i autenticitat.
- BÀSICA: impacte limitat.
- MITJANA: impacte significatiu en les operacions.
- ALTA: sistemes crítics el fallada dels quals afecta greument els objectius de l'organització.
Aquesta categoria no la decideixes tu: la determina el responsable del sistema a l'organisme, i d'ella depèn tota la resta. És la primera pregunta de la primera reunió, i sorprèn la freqüència amb què ningú l'ha feta.
Què canvia segons la categoria: la conformitat
Aquí hi ha la diferència que més afecta el calendari i el pressupost:
| Categoria | Com s'acredita |
|---|---|
| ALTA i MITJANA | Auditoria de certificació |
| BÀSICA | Autoavaluació declarativa |
I la periodicitat: auditoria regular com a mínim cada dos anys. Les declaracions de conformitat es publiquen en portals públics.
És a dir: si el sistema és de categoria mitjana o alta, hi ha un auditor extern mirant, amb el seu calendari i les seves troballes. Planificar el projecte sense reservar temps per a això és planificar-lo malament.
Els principis que es tradueixen en decisions d'arquitectura
L'ENS estableix principis bàsics —seguretat com a procés integral, gestió basada en riscos, prevenció, detecció i resposta, línies de defensa múltiples, vigilància contínua, reavaluació periòdica i diferenciació de responsabilitats— i un conjunt de requisits mínims que inclou política de seguretat formal, organització de rols, gestió de riscos, gestió de personal, control d'accessos, protecció d'instal·lacions, integritat dels sistemes, protecció de la informació, gestió d'incidents i continuïtat de l'activitat.
Per a un equip que construeix una app, això es tradueix en coses molt concretes:
- Control d'accessos amb rols definits, i el principi de mínim privilegi aplicat també al vostre equip.
- Traçabilitat: registres d'accés i d'acció, amb retenció decidida i protegits davant de modificació.
- Gestió d'identitats documentada: qui dona d'alta, qui revoca, en quant de temps.
- Xifratge en repòs i en trànsit, amb gestió de claus separada de les dades.
- Gestió d'incidents amb procediment escrit i responsable amb nom, no un canal de xat.
- Continuïtat: còpies, restauració provada i temps objectiu acordats.
- Diferenciació de responsabilitats: qui decideix, qui opera i qui audita no poden ser la mateixa persona.
Què cal lliurar, a més del programari
Aquesta és la part que gairebé mai està pressupostada i sol costar tant com un mòdul funcional:
- Documentació d'arquitectura i de fluxos de dades.
- Anàlisi de riscos del sistema, o l'aportació tècnica al que fa l'organisme.
- Evidències de les mesures implantades, en el format que demani l'auditor.
- Procediments operatius: desplegament, gestió de canvis, resposta a incidents.
- Registre d'accessos consultable.
I una honestedat que convé posar per escrit des de l'oferta: la certificació l'obté el sistema de l'organisme, no el proveïdor de desenvolupament. Vosaltres lliureu el sistema i les evidències que la sostenen. Un proveïdor que promet «et certifico l'ENS» està venent una cosa que no li correspon.
Errors cars
- Descobrir la categoria tard. Un sistema que resulta ser MITJANA quan ja està construït implica refer decisions d'arquitectura, no afegir un mòdul.
- Confondre ENS amb RGPD. Són coses diferents i totes dues apliquen. Un protegeix el sistema; l'altre, les dades personals.
- Tractar la documentació com l'últim sprint. Es genera durant el projecte o s'inventa al final, i un auditor distingeix les dues coses.
- Oblidar la cadena de subministrament. Si feu servir serveis de tercers, entren en l'anàlisi. Aquesta dependència cal declarar-la abans, no quan l'auditor la trobi.
Abans d'estimar
- Quina categoria té el sistema, i qui l'ha determinada?
- Hi ha ja política de seguretat i anàlisi de riscos de l'organisme on enganxar-se?
- Qui és el responsable de seguretat del client i quan entra al projecte?
- Quines evidències exigeix el seu auditor, i en quin format?
- Quins serveis de tercers farem servir, i encaixen en l'àmbit?
Les cinc són del client i les cinc canvien el pressupost. La primera el canvia per un múltiple.
Forma part de la feina prèvia en qualsevol projecte d'apps per al sector públic: saber en quin règim ets abans de decidir com es construeix.
Font primària, consultada el 14 d'agost de 2026: Reial decret 311/2022, pel qual es regula l'Esquema Nacional de Seguretat.
