Opinión ridad en los sistemas de seguridad física es claramente mejorable. Esto se debe a la percepción por parte de proveedores y usuarios de que no existe una reglamentación clara aplicable al ámbito de la seguridad física y, sobre todo, a la inexistencia de mecanismos de control y auditoría que obliguen al cumplimiento bajo la amenaza de sanción. Aunque esta transición será gradual y llevará aún cierto tiempo, el impacto derivado de la obligatoriedad del ENS impulsará a las entidades públicas y a sus proveedores a aplicar la normativa de ciberseguridad. Sin duda, esto ejercerá una gran influencia en la redacción de los pliegos de prescripciones técnicas para los próximos concursos públicos de adquisición de sistemas. Marco normativo Bajo el Real Decreto 311/2022, una cámara IP, una controladora de accesos o un grabador de vídeo ya no se consideran simples elementos de protección perimetral o de control electrónico. El ENS los redefine formalmente como sistemas de información distribuidos o nodos IoT que procesan, transportan y almacenan activos críticos (imágenes, datos, metadatos biométricos y telemetría de control). La ley obliga a que cualquier sistema de seguridad electrónica desplegado en el sector público o por sus proveedores tecnológicos garantice las dimensiones CIDAT (Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad). Por tanto, resulta legalmente imposible cumplir con el ENS protegiendo solo el entorno físico (barreras o vigilantes) si los componentes lógicos carecen de defensas contra ciberataques. Categorización La primera gran imposición técnica del ENS surge del proceso de categorización del sistema (Anexo I del RD 311/2022). Por la propia naturaleza de la videovigilancia y del control de accesos modernos, estos sistemas quedan excluidos por norma general del nivel Básico y son clasificados en las categorías Media o Alta debido a los siguientes factores: Tratamiento de datos de carácter personal. Esta condición categoriza automáticamente a estos sistemas, como mínimo, en el nivel Medio. Tratamiento de datos de categorías especiales. El uso de analíticas para el reconocimiento facial o la comparación de patrones biométricos eleva el sistema al nivel Alto, en consonancia con el RGPD. Protección de infraestructuras críticas o estratégicas. Las exigencias de disponibilidad de estos entornos clasifican de forma automática a los sistemas en el nivel Alto. Imposiciones técnicas Como consecuencia directa de esta categorización, el Anexo II del Real Decreto impone medidas técnicas obligatorias para que los ingenieros de diseño apliquen principios estrictos de ciberseguridad desde la concepción del proyecto (Security by Design). Estas medidas se enfocan, entre otros aspectos, en: a)Gestión de Identidades y Autenticación Perimetral [op.acc.1]. b)Protección de los Canales de Comunicación y Almacenamiento [mp. com.1 y mp.info.1]. c) Uso obligatorio del Catálogo CPSTIC [op.pl.5]. Homologación Para los niveles Medio o Alto, el ENS determina taxativamente que se utilizará para la adquisición de productos de seguridad el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del Centro Criptológico Nacional (CCN). Este catálogo, creado en 2017 y consolidado tras la revisión del RD 311/2022, constituye la referencia única y obliga- / Septiembre-Octubre 2026 57
RkJQdWJsaXNoZXIy MTI4MzQz