Ciberseguridad para Administraciones
que tienen que cumplir, no rellenar papel.
Marco
ENS, NIS2 y CCN-STIC en un único proyecto.
El sector público español opera bajo varios marcos solapados. Te ayudamos a cumplirlos sin duplicar trabajo, alineando cada control con la norma que lo justifica.
Esquema Nacional de Seguridad
RD 311/2022. 73 medidas, 5 dimensiones. Obligatorio para todo el sector público y sus proveedores TIC. Categorización (BÁSICO / MEDIO / ALTO), declaración de aplicabilidad, plan de mejora y auditoría bienal o trienal según categoría.
Directiva (UE) 2022/2555
AAPP críticas como entidades esenciales. Exige gobernanza, gestión de incidentes con notificación a CSIRT, vigilancia de cadena de suministro TIC pública y formación obligatoria del órgano de gobierno. Reaprovechamos lo ya hecho en ENS.
Series 800 y guías de aplicación
Marco operativo del Centro Criptológico Nacional para implementar ENS. Guías técnicas para hardening, configuración segura (LINCE, ESPLA), gestión de incidentes y formación específica para personal del sector público.
Protección de datos en AAPP
El sector público gestiona datos especialmente sensibles: padrón, sanitarios, tributarios, judiciales. Esquema sancionador AEPD específico. Análisis de riesgos, EIPD, notificación en 72h y formación al personal con acceso a datos.
Riesgos
Lo que vemos cada mes contra AAPP españolas.
Patrones reales detectados por Ghostnet en mercados Tor, foros privados y canales cifrados orientados al sector público hispanohablante. No son escenarios hipotéticos.
Credenciales `.gob.es` en venta
Cuentas corporativas y de VPN de organismos públicos en mercados de Initial Access Brokers, frecuentemente vía stealers o credenciales reutilizadas. Acceso a sedes electrónicas, padrón o expedientes internos.
Ransomware dirigido a ayuntamientos
Grupos RaaS con preferencia explícita por administraciones locales medianas. Cifrado de padrón, contabilidad y registro. Extorsión doble con publicación parcial de expedientes para presionar al pago.
Filtraciones de padrón y datos tributarios
Volcados con DNI, dirección, datos fiscales o ayudas concedidas circulando en foros privados. Impacto reputacional inmediato y agravante AEPD por tratarse de AAPP.
Cadena de suministro TIC pública
Consultoras adjudicatarias, proveedores de sede electrónica y cloud público como vector indirecto. NIS2 exige vigilancia activa — Ghostnet la documenta con cadena de custodia.
Suplantación de cargos públicos
Phishing dirigido a personal con firma electrónica de alta autoridad, suplantación de alcaldes o consejeros en redes y kits de phishing específicos para portales de contratación.
Discusión activa del organismo como objetivo
Mención del organismo en canales de planificación previos al ataque. Ventana de horas o días para mitigar antes de que la amenaza se materialice en incidente.
Método
Cómo trabajamos con la administración.
Sabemos cómo se contrata en el sector público. Cuatro pasos: claros, presupuestables y compatibles con tu unidad de contratación.
Reunión de alcance
30–60 min con responsable TIC, secretaría y contratación. Definimos sistemas afectados, categoría ENS, ámbito NIS2 y modalidad contractual (contrato menor, procedimiento abierto, acuerdo marco).
Propuesta cerrada
Propuesta técnica y económica adaptada a tu pliego. Plantillas listas, facturación electrónica FACe, alta en Plataforma de Contratación del Sector Público y solvencia técnica acreditada.
Ejecución coordinada
Adecuación ENS+NIS2 reutilizando evidencias, hardening según CCN-STIC, formación al personal o monitorización dark web. Reportes periódicos a comité de seguridad y dirección.
Auditoría y traspaso
Acompañamiento a auditoría reglamentaria, declaración de aplicabilidad firmable y traspaso documental al equipo TIC interno. Sin dependencia, sin upsell escondido.
Caso
Caso representativo. Administración autonómica.
Oferta
Servicios diseñados para sector público.
Plantillas de pliego disponibles. Facturación a través de Plataforma de Contratación. Contratos menores, lotes de mantenimiento y acuerdos marco autonómicos.
Adecuación ENS + NIS2 conjunta
Auditoría inicial, plan director, declaración de aplicabilidad y acompañamiento a auditoría reglamentaria. Un solo proyecto cubre ENS y NIS2 reutilizando evidencias.
- Categorización de sistemas según ENS
- Gap-analysis NIS2 frente al ENS ya implementado
- Plan de mejora con responsables y plazos
- Acompañamiento hasta auditoría reglamentaria
Monitorización dark web del organismo
Ghostnet vigila dominios `.gob.es`, marcas, ejecutivos públicos y proveedores TIC. Alertas en menos de 5 minutos cuando aparezca cualquier mención.
- Vigilancia continua de dominios y marca
- Alertas en menos de 5 min con evidencia hash-verificada
- Coordinación con CCN-CERT e INCIBE-CERT
- Disponible en despliegue on-premise para entornos clasificados
Formación CCN-STIC y FCSE
Programas alineados con CCN-STIC para equipos técnicos, sesiones para alta dirección sobre NIS2/ENS, concienciación para todo el personal e investigación OSINT para FCSE.
- 9 programas formativos en ciberseguridad
- Adecuación CCN-STIC para personal técnico
- Investigación OSINT con cadena de custodia para FCSE
- Bonificable FUNDAE para personal laboral
Preguntas
Dudas frecuentes del sector público.
¿Estáis acreditados para trabajar con AAPP?
Neural Ghost cumple los requisitos de solvencia técnica y profesional de la Ley 9/2017 de Contratos del Sector Público. Estamos dados de alta en la Plataforma de Contratación del Sector Público y emitimos facturación electrónica FACe. Si tu organismo exige clasificación empresarial adicional o ENS de proveedor, lo validamos antes de presentar oferta.
¿Trabajáis con ayuntamientos pequeños?
Sí, especialmente a través de diputaciones provinciales que prestan servicios TIC mancomunados o por acuerdos marco autonómicos. Para municipios pequeños recomendamos partir del paquete pre-NIS2 Express o de lotes de formación antes de auditorías más extensas.
¿Cuánto cuesta una adecuación ENS completa?
Depende de la categoría del sistema (BÁSICO, MEDIO, ALTO), del número de sedes, del inventario de servicios y del estado actual de cumplimiento. Reservas 30 minutos de reunión inicial, nos cuentas el alcance real, y en menos de 72 horas tienes propuesta cerrada con categorización, declaración de aplicabilidad, plan de mejora y acompañamiento a auditoría — importe, plazos y condiciones por escrito.
¿NIS2 es además del ENS o lo sustituye?
Es además. ENS es la norma técnica española; NIS2 es directiva europea para servicios esenciales. Coinciden en cerca del 70 % de medidas, pero NIS2 añade obligaciones específicas (gobernanza, notificación a CSIRT, cadena de suministro, formación de directivos). Aprovechamos lo que ya tienes en ENS para acreditar NIS2 con coste marginal.
¿Hay convenios de I+D o investigación con universidades públicas?
Sí. Trabajamos con universidades públicas en proyectos de investigación en inteligencia dark web, OSINT y ciberseguridad aplicada. Si tu organismo participa en consorcios o convenios europeos con línea de ciberseguridad, podemos integrarnos como socio tecnológico.
Reunión inicial sin compromiso.
Si eres responsable TIC, CISO, secretario general o cargo de un organismo público, agendamos 30 minutos para entender tu situación y orientarte. Sin pliego, sin oferta, sin presión.