Desde sus orígenes, la Fundación Borredá ha defendido una idea que hoy resulta evidente pero que hace años suponía una apuesta casi pionera: la seguridad no puede entenderse de forma fragmentada. La protección física y la ciberseguridad no son compartimentos estancos, sino dos caras de una misma disciplina llamada a converger. Aquel planteamiento, que compartimos también en el Foro Nacional de Ciberseguridad y que después impulsamos activamente desde el Grupo de Cultura de Ciberseguridad, era entonces más una aspiración de futuro que una realidad tangible.
Hoy, esa aspiración se ha materializado gracias a la profesionalidad que caracteriza al Centro Criptológico Nacional. A través del Esquema Nacional de Seguridad y de su Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC), el CCN ha dado forma a un marco normativo que convierte en obligación legal lo que durante años defendimos como necesidad: que una cámara IP, una controladora de accesos o un grabador de vídeo dejen de entenderse como simples elementos de protección perimetral y se reconozcan como lo que realmente son, sistemas de información que exigen garantías de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
Ser impulsores y testigos de este avance nos llena de orgullo, y más aún poder compartirlo de la mano de uno de nuestros socios protectores, AXIS Communications, y de la experiencia de Alberto Alonso, quien nos explica en el siguiente artículo cómo el ENS ha convertido la ciberseguridad en la columna vertebral de la ingeniería de seguridad física, y por qué esta convergencia, antes solo una idea sobre el papel, es ya una realidad operativa e ineludible para el sector. Nuestra sincera enhorabuena a AXIS Comunications por haber conseguido la certificación
Cómo el ESQUEMA NACIONAL DE SEGURIDAD Impone la Ciberseguridad en la Ingeniería de Seguridad Física. La Convergencia Inevitable
Históricamente, la Seguridad Física y la Ciberseguridad han operado como disciplinas estancas, gestionadas por departamentos independientes con presupuestos y tecnologías desconectados.
La vigente Ley de Seguridad Privada de 2014 hace referencia a la seguridad informática y digital; sin embargo, la ausencia de desarrollo reglamentario impide que esta se plasme en requerimientos aplicables a los Sistemas de Seguridad Física. No obstante, el marco normativo de la Seguridad Privada alude a diferentes normas y estándares de la industria que, en sus sucesivas actualizaciones, añadirían dichos requisitos de ciberseguridad a los sistemas y dispositivos. Desafortunadamente, al carecer de un mecanismo de control y de un régimen sancionador, estas medidas técnicas y organizativas se reducen a meras recomendaciones de buenas prácticas.
Por todo ello, el sector de la Seguridad Privada —y más concretamente el de los Sistemas de Seguridad Física— ha evolucionado en gran medida ajeno a las exigencias de protección frente al cibercrimen perpetrado contra los propios sistemas encargados de proteger instalaciones e infraestructuras.
Para eliminar esta barrera, diversos organismos, instituciones e iniciativas públicas y privadas se han esforzado en los últimos años por contribuir a la convergencia y desarrollar una cultura de Seguridad Integral, trasladando el entorno ciber al espacio de los Sistemas de Seguridad Física.
En el marco regulatorio español, el Esquema Nacional de Seguridad (ENS) se implantó para proteger los sistemas informáticos, garantizar la seguridad de los datos públicos y asegurar la continuidad de los servicios electrónicos de la Administración Pública. Este esquema se publicó por primera vez en el año 2010 mediante Real Decreto y ha sido actualizado sucesivamente en 2015 y 2022 a través de sus respectivos Reales Decretos reguladores.
El ENS ha derribado definitivamente la frontera entre la Seguridad Física y la Ciberseguridad. Este marco no solo propicia, sino que impone de manera vinculante la ciberseguridad sobre las infraestructuras de Seguridad Física, situando a los Sistemas de Seguridad en el centro de una convergencia inevitable impulsada por el cumplimiento normativo y la evolución técnica.
Actualmente, el grado de cumplimiento de las medidas técnicas de ciberseguridad en los Sistemas de Seguridad Física es claramente mejorable. Esto se debe a la percepción por parte de proveedores y usuarios de que no existe una reglamentación clara aplicable al ámbito de la Seguridad Física y, sobre todo, a la inexistencia de mecanismos de control y auditoría que obliguen al cumplimiento bajo la amenaza de sanción.
Aunque esta transición será gradual y llevará aún cierto tiempo, el impacto derivado de la obligatoriedad del ENS impulsará a las entidades públicas y a sus proveedores a aplicar la normativa de ciberseguridad. Sin duda, esto ejercerá una gran influencia en la redacción de los pliegos de prescripciones técnicas para los próximos concursos públicos de adquisición de sistemas.
El Marco Normativo como Catalizador de la Convergencia
Bajo el Real Decreto 311/2022, una cámara IP, una controladora de accesos o un grabador de vídeo ya no se consideran simples elementos de protección perimetral o de control electrónico.
El ENS los redefine formalmente como sistemas de información distribuidos o nodos IoT que procesan, transportan y almacenan activos críticos (imágenes, datos, metadatos biométricos y telemetría de control).
La ley obliga a que cualquier sistema de seguridad electrónica desplegado en el sector público o por sus proveedores tecnológicos garantice las dimensiones CIDAT (Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad). Por tanto, resulta legalmente imposible cumplir con el ENS protegiendo solo el entorno físico (barreras o vigilantes) si los componentes lógicos carecen de defensas contra ciberataques.
La Categorización Media/Alta: El Fin de la «Seguridad Física Básica»
La primera gran imposición técnica del ENS surge del proceso de categorización del sistema (Anexo I del RD 311/2022). Por la propia naturaleza de la videovigilancia y del control de accesos modernos, estos sistemas quedan excluidos por norma general del nivel Bajo y son clasificados en las categorías Media o Alta debido a los siguientes factores:
- Tratamiento de datos de carácter personal: Esta condición categoriza automáticamente a estos sistemas, como mínimo, en el nivel Medio.
- Tratamiento de datos de categorías especiales: El uso de analíticas para el reconocimiento facial o la comparación de patrones biométricos eleva el sistema al nivel Alto, en consonancia con el RGPD.
- Protección de infraestructuras críticas o estratégicas: Las exigencias de disponibilidad de estos entornos clasifican de forma automática a los sistemas en el nivel Alto.
Imposiciones Técnicas del ENS a la infraestructura de Videovigilancia y Control de Accesos
Como consecuencia directa de esta categorización, el Anexo II del Real Decreto impone medidas técnicas obligatorias para que los ingenieros de diseño apliquen principios estrictos de ciberseguridad desde la concepción del proyecto (Security by Design). Estas medidas se enfocan, entre otros aspectos, en:
- Gestión de Identidades y Autenticación Perimetral [op.acc.1]
- Protección de los Canales de Comunicación y Almacenamiento [mp.com.1] y [mp.info.1]
- Uso obligatorio del Catálogo CPSTIC [op.pl.5]
Homologación de hardware y software: Para los niveles Medio o Alto, el ENS determina taxativamente que se utilizará para la adquisición de productos de seguridad, el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del Centro Criptológico Nacional (CCN). Este catálogo, creado en 2017 y consolidado tras la revisión del RD 311/2022, constituye la referencia única y obligatoria para certificar que los productos y servicios cumplen con los Requisitos Fundamentales de Seguridad (RFS) definidos por el CCN y su Organismo de Certificación (OC-CCN) para cada familia de productos.- Desde el año 2023, el catálogo CPSTIC incorpora una categoría de productos de Seguridad Física, con familias tales como Cámaras IP y Herramientas de Gestión de Vídeo (VMS); posteriormente se añadió la familia de Control de Acceso Físico y se encuentran en vías de incorporar otras familias de productos como los sistemas PSIM.
- Los dispositivos y componentes de seguridad prescritos en los proyectos deben superar rigurosas evaluaciones de laboratorios independientes bajo las metodologías LINCE o Common Criteria para obtener la cualificación en el catálogo. No basta con que el componente sea funcionalmente adecuado para la vigilancia o protección; debe acreditar su ciberseguridad. Tampoco resultan suficientes otras certificaciones comerciales o internacionales. Los componentes del sistema deben estar certificados contra vulnerabilidades lógicas y de código, siendo su inclusión en el catálogo CPSTIC la vía legal para verificarlo. De no existir elementos cualificados en el catálogo —como ocurría anteriormente—, se podrán aplicar de forma excepcional otros criterios de selección.
Auditoría Bienal y la Cadena de Confianza Jurídica
La convergencia impuesta por el ENS se consolida mediante el régimen de control y fiscalización del Artículo 34, el cual exige una auditoría formal ordinaria cada dos años, ejecutada por una Entidad Acreditada por la ENAC. Esta auditoría evalúa la infraestructura como un único Sistema Conforme.
Esta exigencia técnica reestructura la relación con los proveedores de seguridad física tradicional y establece una cadena de confianza obligatoria:
- El rol del integrador: Las empresas de seguridad privada que liciten para instalar o mantener sistemas de Seguridad Física (especialmente videovigilancia y control de accesos) en la Administración Pública deben ostentar obligatoriamente su propia Certificación de Conformidad con el ENS. Sus ingenieros, técnicos e instaladores deben estar capacitados en ciberseguridad y bastionado de firmwares (hardening), demostrando que sus procesos internos protegen la información del cliente y que los sistemas ofertados serán conformes a la normativa del ENS.
Conclusión: Una Fusión Inevitable
El Esquema Nacional de Seguridad demuestra que la convergencia entre la Ciberseguridad y la Seguridad Física no es una tendencia tecnológica opcional ni un concepto teórico, sino una realidad operativa y legal imperativa en España.
La ingeniería de seguridad electrónica ya no puede diseñar soluciones basándose únicamente en lentes, ángulos de visión, iluminación, lectores de credenciales o almacenamiento físico.
Hoy en día, la resiliencia de un perímetro físico depende directamente de la robustez de sus protocolos criptográficos, la segmentación de sus redes y la certificación de sus componentes lógicos. El ENS ha convertido la ciberseguridad en la columna vertebral de la seguridad física moderna.
La transposición de las Directivas NIS 2 y CER al derecho español, prevista mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad y la Ley de Protección y Resiliencia de Entidades Críticas, intensificará la convergencia entre la Seguridad Física y la Ciberseguridad, responsabilizando directamente a la alta dirección por negligencias graves en la protección de infraestructuras críticas. Esta normativa ampliará al ámbito privado el alcance de lo que hoy emana del ENS y exigirá la adopción de medidas de ciberseguridad rigurosas, convirtiendo la conformidad con el ENS en un pasaporte de cumplimiento esencial para los Sistemas de Seguridad Física.
No se debe olvidar que las normativas, aunque actúen de un modo coercitivo, tienen como objetivo garantizar los más altos niveles de protección contra una actividad delictiva que constituye, en la actualidad, la principal amenaza para nuestras infraestructuras.
AUTOR: Alberto Alonso – Solutions Engineer Southern Europe de Axis Communications
