¿Estás seguro de que la plantilla que utilizas para evaluar riesgos cumple de verdad con lo que exige el Esquema Nacional de Seguridad? Porque no basta con rellenar un documento genérico: un análisis mal planteado puede generar una falsa sensación de cumplimiento y dejar grietas críticas sin cubrir.
Muchos responsables de seguridad TIC en administraciones públicas y entidades del sector privado piensan que con tener una matriz de riesgos básica ya han hecho lo necesario. Lo que no ven es que, si esa plantilla no está alineada con los niveles de seguridad del ENS, puede invalidar el cumplimiento global del marco normativo. Y en una auditoría, eso no es solo un problema técnico: puede ser un detonante legal.
Uno de los errores más frecuentes que vemos al revisar proyectos es el uso de formatos heredados de normativas como ISO 27001, que aunque parezcan similares, no responden a los criterios ni al enfoque de categorización y proporcionalidad que impone el ENS. Por eso, desde el principio, es clave trabajar con una plantilla diseñada específicamente para el Esquema Nacional de Seguridad, como la que se aplica en el servicio de Esquema Nacional de Seguridad.
El riesgo de creer que “ya cumples”
Puede que pienses que tu análisis de riesgos está cubierto porque alguien en tu organización lo hizo hace un par de años. Pero ¿se actualiza con cada cambio significativo? ¿Refleja la categorización del sistema según confidencialidad, integridad y disponibilidad? ¿Están trazadas las amenazas reales y su impacto en el nivel de seguridad exigido?
Este error lo hemos visto decenas de veces: una plantilla tipo Excel, con riesgos genéricos, sin trazabilidad, ni contexto ENS. El problema no es solo el formato, sino la falta de conexión con las medidas concretas que exige el Esquema Nacional de Seguridad. Y eso, al final, se traduce en:
Auditorías fallidas
Informes de cumplimiento incompletos
Medidas técnicas no justificadas
Responsabilidad directa en caso de incidente
Si estás trabajando con información de categoría MEDIA o ALTA, los errores en el análisis de riesgos pueden tener consecuencias serias. Más aún si no se han asociado correctamente las amenazas a los activos, o si los niveles de riesgo residual no están documentados conforme al enfoque de proporcionalidad del ENS.
¿La plantilla lo soluciona todo? No. Pero es el primer filtro crítico.
Una plantilla alineada al Esquema Nacional de Seguridad no solo organiza los riesgos, sino que establece el marco sobre el que se fundamenta todo el ciclo de seguridad. Desde la adopción de medidas hasta la supervisión continua. Es, literalmente, la base sobre la que se construye tu declaración de aplicabilidad.
Por eso, el servicio de Esquema Nacional de Seguridad parte de una metodología de análisis que se adapta al nivel de exigencia de cada sistema, integra las categorías definidas en el ENS y genera un informe útil para auditoría y toma de decisiones.
¿Qué pasa si no actualizas tu análisis de riesgos?
No es solo una obligación documental. Es un requisito vivo. Según el artículo 11 del Real Decreto 311/2022, el análisis de riesgos debe ser periódico y dinámico, ajustado a los cambios tecnológicos, organizativos o de amenazas. Y si no lo haces bien:
Las medidas de seguridad pueden ser inadecuadas
Los responsables pueden responder por omisión
Pierdes trazabilidad ante el regulador o el auditor
¿Y si todo esto estuviera mal planteado desde la plantilla inicial?
La mayoría cree que cumple, pero pocos pueden demostrarlo de forma clara y alineada al marco ENS. Si tu plantilla de análisis de riesgos no cumple con estos criterios, es probable que todo el sistema de seguridad esté en una falsa zona de confort.
En Audidat trabajamos con entidades que necesitan más que una checklist. Analizamos tu caso, adaptamos la evaluación a tu realidad operativa y normativa, y te acompañamos sin generar dependencia. Lo hacemos desde el conocimiento práctico, con informes que pasan auditorías y sirven para decidir.
Puedes consultarnos sin compromiso y evaluar si tu análisis de riesgos cumple de verdad con lo que exige el Esquema Nacional de Seguridad.
Preguntas frecuentes sobre el análisis de riesgos en el ENS
¿Cada cuánto tiempo debe actualizarse el análisis de riesgos según el ENS?
Debe actualizarse periódicamente y siempre que se produzcan cambios significativos en el sistema o su entorno.
¿Una plantilla genérica sirve para cumplir con el ENS?
No. El ENS exige un enfoque propio, basado en la categorización de los sistemas y la proporcionalidad de medidas.
¿Puedo reutilizar el análisis de riesgos de una ISO?
No es recomendable. Aunque hay puntos en común, el ENS tiene requisitos y estructura propios que deben respetarse.
¿Qué debe contener una plantilla válida para el ENS?
Activos, amenazas, niveles de impacto, análisis de riesgo residual y trazabilidad con medidas de seguridad del ENS.
¿Es obligatorio tener evidencia documental del análisis de riesgos?
Sí. Es un requisito exigido por el ENS y debe estar disponible en auditorías o revisiones por parte del órgano competente.
