Esquema Nacional de Seguridad

What it is

The Esquema Nacional de Seguridad is Spain's national security framework for information systems, set out in Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191, BOE no. 106 of 4 May 2022). Systems are placed in one of three security categories — BÁSICA, MEDIA or ALTA — and the category decides the route to conformity: article 38.1 provides that MEDIA and ALTA systems "precisarán de una auditoría para la certificación de su conformidad", while BÁSICA systems "solo requerirán de una autoevaluación para su declaración de la conformidad". Certificates are issued by bodies accredited by ENAC "conforme a la norma UNE-EN ISO/IEC 17065:2012".

Who owns it

The framework is set by Spanish royal decree and administered through the Centro Criptológico Nacional (CCN).

Who assesses it

Certification is carried out by bodies accredited by the Entidad Nacional de Acreditación (ENAC): "La Entidad Nacional de Acreditación (ENAC) pone a disposición de los interesados el esquema de acreditación", and "una entidad debe estar acreditada por ENAC en el ámbito de aplicación del Esquema Nacional de Seguridad conforme a la norma UNE-EN ISO/IEC 17065:2012".

Security categories

• BÁSICA — los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoria de certificación. (RD 311/2022, art. 38.1)
• MEDIA — los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad, sin perjuicio de la auditoría de la seguridad prevista en el artículo 31 que podrá servir asimismo para los fines de la certificación. (RD 311/2022, art. 38.1)
• ALTA — los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad. (RD 311/2022, art. 38.1)

Who asks for it

Statutory (scoped). Statutory under Real Decreto 311/2022: the whole Spanish public sector as defined by article 2 of Ley 40/2015, plus private-sector information systems that, under a contractual relationship, provide services or solutions to public-sector entities. Outside that scope this record documents no verified demand driver.

The obligation is statutory and its scope is drawn by article 2 of the royal decree. Article 2.1: "El presente real decreto es de aplicación a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015, de 1 de octubre." Article 2.3 extends it to private-sector information systems "cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas". Article 2.2 adds systems processing classified information, and article 2.4 adds public-sector 5G deployments.