FAQ: Reglyze y el ENS
Ocho respuestas concretas sobre Reglyze y la conformidad con el Esquema Nacional de Seguridad (ENS, RD 311/2022) en España. Son las preguntas que más escuchamos en las conversaciones con entidades del sector público, proveedores del sector público y proveedores de servicios gestionados (MSP).
Primero, con honestidad. Reglyze NO es un proveedor español. Es una plataforma SaaS europea creada en Francia y alojada en Alemania. Preferimos decirlo de entrada antes que prometer un origen español que no corresponde a la realidad. Toda la infraestructura cumple el RGPD y ningún dato sale de la Unión Europea. Todos los detalles técnicos y el contrato de encargo, aquí.
El ENS (Real Decreto 311/2022) es de aplicación a todo el sector público en la protección de la información que maneja y los servicios que presta, y alcanza a los proveedores del sector privado en la medida en que prestan servicios a las entidades públicas. Si no está seguro, el diagnóstico gratuito sitúa su organización en pocos minutos.
La base es el Real Decreto 311/2022, de 3 de mayo, que regula el ENS y está en vigor. La organización debe categorizar sus sistemas (básica, media o alta), aplicar de forma proporcional las medidas del Anexo II, mantener la documentación de seguridad y sostener la conformidad (autoevaluación para la categoría básica; auditoría de certificación para media y alta).
La categoría se determina por el mayor nivel de impacto (bajo, medio o alto) entre las cinco dimensiones de seguridad: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. Si todas son de impacto bajo, el sistema es de categoría básica; si alguna alcanza impacto medio (y ninguna alto), es media; si alguna alcanza impacto alto, es alta.
El incidente se notifica al CSIRT de referencia: INCIBE-CERT para el sector privado y los ciudadanos, y CCN-CERT para el sector público. La clasificación de la peligrosidad y el impacto sigue las guías CCN-STIC. Reglyze prepara el contenido de la notificación, pero es la organización quien la presenta ante el CSIRT correspondiente.
El Centro Criptológico Nacional (CCN) es la autoridad técnica en ciberseguridad del sector público y desarrolla la capa metodológica del ENS a través de las guías CCN-STIC de la serie 800. El CCN también opera el CCN-CERT, el CSIRT de referencia del sector público, y publica los distintivos de conformidad del ENS. Reglyze refleja esta capa en un único panel.
Reglyze guía por las medidas del Anexo II, ordenadas en los tres marcos (organizativo, operacional y de protección). El asistente basado en inteligencia artificial conduce la evaluación, genera la documentación y las políticas, vigila el proceso de notificación de incidentes y mantiene las evidencias listas para acreditar la conformidad.
No. Reglyze es una plataforma SaaS europea creada en Francia, con infraestructura de producción en Alemania (Hetzner, Falkenstein). Preferimos decirlo de frente antes que prometer un origen español que no corresponde a la realidad. Toda la infraestructura cumple el RGPD y los datos permanecen en la Unión Europea. Como España y Alemania aplican el mismo Reglamento (UE) 2016/679 (RGPD), no hay transferencias fuera de la UE. Los detalles técnicos están en la página de seguridad y alojamiento.
En la práctica, la organización debe categorizar sus sistemas, aplicar y documentar las medidas del Anexo II en los tres marcos, designar responsables, establecer un proceso de gestión y notificación de incidentes al CSIRT de referencia y vigilar a los proveedores y la cadena de suministro. Reglyze convierte estos requisitos en una lista de pasos concretos con evidencias, en lugar de dejarlos como texto normativo.
¿Quién debe cumplir el ENS?
El ámbito del ENS y cómo se categoriza cada sistema.
Medidas de seguridad (Anexo II)
Las 73 medidas del Anexo II en tres marcos.
Notificación de incidentes
El CSIRT de referencia (INCIBE-CERT y CCN-CERT) y el procedimiento.
Diagnóstico gratuito (2 min)
Compruebe en 2 minutos si está dentro del ámbito del ENS y en qué categoría, sin tarjeta de crédito.