Tu conformidad con el ENS, control a control, con la evidencia delante.
Para administraciones y proveedores públicos con TI limitada: HodeiShield puntúa 74 controles propios, basados en el Anexo II del RD 311/2022, por categoría básica, media y alta, y te dice qué falta antes de la auditoría.
- Certificado ENS (categoría Media), nº 34/5704/26/09103 · Hodeitek S.L., con alcance que incluye el servicio SaaS HodeiShield
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué exige el ENS, en breve
El ENS fija los principios y requisitos mínimos de seguridad de los sistemas de información del sector público y de quien le presta servicios.
Resumen informativo, no asesoramiento jurídico. Consulta el texto oficial y las guías del Centro Criptológico Nacional.
- Categoría según el impacto
- Cada sistema se categoriza como Básica, Media o Alta a partir del nivel de cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
- Medidas del Anexo II
- Las medidas se agrupan en marco organizativo, marco operacional y medidas de protección. A mayor categoría, más medidas aplican y con más exigencia.
- Servicios externos y cadena de suministro
- El marco operacional incluye los servicios externos, con la contratación, la gestión diaria y la protección de la cadena de suministro. Es donde tus proveedores entran en tu conformidad.
- Conformidad demostrable
- Los sistemas de categoría Básica emiten una declaración de conformidad; los de categoría Media y Alta se someten a una auditoría de certificación.
Tres categorías, cada una exige más que la anterior
La categoría la determina el nivel más alto de las cinco dimensiones. HodeiShield la registra en el perfil de tu sistema y puntúa las medidas que le aplican; decidir la categoría es cosa tuya.
Básica
Cumplir y declarar
El nivel de entrada. Se evalúa la conformidad y se emite una declaración.
Media
Cumplir y certificar
Más medidas, más exigencia en las que ya había, y auditoría formal para certificar la conformidad.
Alta
Máxima exigencia
Las medidas con su mayor grado de exigencia y la misma auditoría de certificación.
HodeiShield puntúa las tres categorías sobre el conjunto de 74 controles basados en el Anexo II del ENS.
De cada obligación del ENS a una capacidad de HodeiShield
Qué hace la plataforma con cada exigencia y en qué fase del ciclo cae.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Categorizar el sistema y fijar el perfil
Anexo I
Qué hace HodeiShield:Guardas la categoría y las dimensiones de seguridad de tu sistema; con ese perfil se decide qué medidas aplican. La decisión de categoría es tuya.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Aplicar las medidas de seguridad según la categoría
Anexo II
Qué hace HodeiShield:Descompone el ENS en los 74 controles de HodeiShield, puntúa cada uno por categoría básica, media y alta y muestra el avance agregado.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceDirecto - Obligación:
Sostener cada medida con evidencia
Anexo II
Qué hace HodeiShield:Cada evidencia tiene responsable, fecha de validez y estado; la caducada deja de contar hasta que se renueve. La evidencia se sube o se enlaza a mano.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEAlcanceDirecto - Obligación:
Controlar los servicios externos y la cadena de suministro
Marco operacional (op.ext)
Qué hace HodeiShield:Grafo de dependencias, cuestionarios a proveedores por token, escaneo externo periódico, sincronización diaria de CVE y SBOM de proveedores. Los acuerdos de nivel de servicio los negocias tú.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Mantener actualizados los sistemas y vigilar vulnerabilidades
Marco operacional
Qué hace HodeiShield:El agente de endpoint reporta 172 comprobaciones con observaciones firmadas. Las líneas base abiertas que incluye aún no alimentan la puntuación ENS.
Docs · Agente de endpoint (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Priorizar y planificar la adecuación
Mejora continua
Qué hace HodeiShield:Hoja de ruta priorizada por peso del control y esfuerzo. HodeiAI puede proponer una entrada en el registro de riesgos; la aprueba una persona con rol de escritura.
Docs · HodeiAI (se abre en una pestaña nueva)FasePREDICTACTAlcanceDirecto - Obligación:
Demostrar el estado a un cliente o a una entidad contratante
Declaración / certificación
Qué hace HodeiShield:Trust Center y atestación ATTEST con la banda por marco, verificable sin conexión. Prueba integridad y origen, no que la evidencia sea veraz.
Docs · Verificador ATTEST (se abre en una pestaña nueva)FaseATTESTAlcanceParcial - Obligación:
Auditoría de conformidad y certificación
Categorías Media y Alta
Qué hace HodeiShield:La realiza una entidad de certificación acreditada. HodeiShield prepara tu evidencia; no audita ni certifica.
FaseFuera del cicloAlcanceNo cubre
Lo que HodeiShield no hace con el ENS
Para que decidas con la información completa.
No certifica el ENS de tu organización
Hodeitek S.L. está certificada en ENS categoría Media y el alcance incluye HodeiShield, pero eso no certifica a tu organización. HodeiShield tampoco figura en el catálogo CPSTIC, que es otra cosa.
No audita ni declara conformidad por ti
La puntuación orienta tu trabajo. La declaración o certificación de conformidad la emites tú o una entidad acreditada.
No recoge la evidencia sola de la nube
La evidencia documental se sube o se enlaza. Los colectores cloud están planificados, no operativos.
No te dice si estás listo para auditar
«Listo para auditoría» depende de tu evidencia. HodeiShield muestra qué falta y qué caduca, nada más.
Preguntas sobre el ENS
Respuestas directas, con sus límites.
¿HodeiShield está certificado en ENS?
Sí. Hodeitek S.L. está certificada en ENS categoría Media (certificado nº 34/5704/26/09103, OCA Instituto de Certificación) y el alcance de la certificación incluye el servicio SaaS HodeiShield. Eso no certifica el ENS de tu organización: HodeiShield mide tu postura. El catálogo CPSTIC es otra cosa y no lo reclamamos.
¿Qué categoría me corresponde?
La determina tu organización según el Anexo I: el nivel más alto entre las cinco dimensiones de seguridad. HodeiShield guarda el resultado en el perfil de tu sistema, pero no lo decide por ti.
Soy proveedor de una administración. ¿Me afecta el ENS?
El ENS alcanza también a las entidades privadas que prestan servicios o soluciones al sector público. Qué categoría y qué medidas te corresponden depende del sistema y del contrato; tu cliente público o tu asesoría lo concretan.
¿Sustituye a la auditoría de certificación?
No. Ordena tu evidencia y señala lo que falta para llegar a la auditoría con menos sorpresas. La certificación la concede una entidad acreditada.
¿La telemetría del endpoint cuenta para la puntuación ENS?
Todavía no. Las líneas base abiertas del agente se muestran como evidencia de endpoint, pero no alimentan la puntuación de cumplimiento.
¿Dónde se alojan los datos?
En la UE: aplicación, base de datos y almacenamiento gestionados por OVH en Gravelines (Francia). Cloudflare, en EE. UU., actúa como DNS, CDN y TLS en la ruta de la petición.
Mide tu ENS con una persona de TI generalista delante
En la demo cargamos un perfil de sistema de ejemplo y recorremos los controles, la evidencia y la hoja de ruta.
Sin compromiso. Te decimos también lo que HodeiShield no cubre.