La iniciativa, única en su género, ayudará a las empresas y responsables de tratamiento a validar su trabajo como profesionales.

La certificación y la formación son dos de los pilares de ISMS Forum en materia de ciberseguridad, protección de datos y seguridad de la información. Elementos clave que permiten a las organizaciones y personas físicas garantizar sus capacidades.

En esta XVII edición del Foro de la Privacidad del Data Privacy, que congregó alrededor de 500 profesionales, uno de los temas que más interés suscitó fue el esquema de certificación de servicios prestados por un encargado de tratamiento de ISMS Forum, presentado por Wasim Escribano, responsable del área de certificación de esta entidad, en colaboración con Nikola Kovacic, socio director de Ecix Barcelona, y Edison Hernández, DPO de Sofinco.

Wasim Escribano define la tradición certificadora de ISMS Forum en los últimos años indicando que “la empresa y el profesional pueden elegir la certificación profesional que se adapte mejor a sus aspiraciones”.

“En la actualidad, tenemos ya impulsadas certificaciones como 𝗖𝗗𝗣𝗣– Protección de datos; 𝗖𝗖𝗦𝗣– Ciberseguridad; 𝗖𝗣𝗖𝗖– Cyber Compliance, esto es, cumplimiento normativo en ciberseguridad; 𝗖𝗔𝗜𝗣– Inteligencia Artificial en ciber y protección de datos; y la 𝗖𝗖𝗚𝗣– Gobierno de la ciberseguridad en la Nube”, comenta.

“Adicionalmente, operamos como entidad certificadora oficial reconocida bajo el esquema de la AEPD y acreditada por ENAC bajo la ISO 17024, gestionando la certificación DPD de 0 a 100. Por otro lado, hemos impulsado una certificación privada que es la CTFO, dirigida exclusivamente a la figura del CISO”.

Escribano asegura que “estas son certificaciones de personas y desde el 2023 estamos trabajando para sacar este Esquema de Certificación de Servicios, como elemento a resaltar. En la actualidad, estamos a la espera de la evaluación por parte de ENAC como entidad acreditadora única, y por nuestra parte, en presentar a la propia ENAC la documentación final para poder acreditarnos bajo el esquema y certificar servicios de encargo de tratamiento”.

Sobre los plazos, este experto nos indica que “lo ideal es que se lograra la certificación en este primer semestre del año. Nos gustaría que nuestro esquema de servicios de encargo de tratamiento se convirtiera en un estándar como lo es el Esquema de la AEPD para el DPD”.

El trabajo se viene realizando desde el 2023 a través de un grupo de trabajo creado desde ISMS Forum con expertos como Nikola Kovacic, e integrado por los miembros del Comité de Gestión del Esquema, en representación de las partes interesadas: responsables de tratamiento, encargados de tratamiento y auditores.

Ayuda importante a las empresas

Para Kovacic, “desde un punto de vista normativo, el origen de esta idea surge desde el requisito normativo para las empresas que externalizan el tratamiento de datos a terceros. Como gestión habitual, las empresas tienen que hacer esas comprobaciones de que esas terceras empresas pueden hacer esa labor de tratamiento de datos conforme a la normativa. Se trata de estandarizar toda esta carga de trabajo para facilitar la certificación de dicho cumplimiento”.

A su juicio, dicha homogeneización, “busca no solo garantizar el cumplimiento normativo, sino también agilizar la carga de trabajo de los responsables y encargados de tratamiento. Así surge la idea de este esquema de certificación, que otorga garantías tanto a las empresas responsables que lo adoptan para controlar a sus proveedores como a las empresas que desempeñan funciones de tratamiento, asegurando su capacidad para este trabajo”.

De cara a la relación con el regulador, este experto indica que “no se puede pensar que contar con un esquema de certificación suponga un eximente de cara a cualquier sanción que pueda aplicar la AEPD. Sin duda, contar con un sistema centralizado y robusto ayuda a demostrar el cumplimiento de estas obligaciones de diligencia debida”.

Estos expertos señalan la tendencia que hay al outsourcing en cualquier tipo de servicios, lo que aligera costes a las pymes. “En este caso, aquí se extiende a cualquier actividad, desde el servicio de recogida de basuras que supone un tratamiento de datos, al tratamiento de una nómina en la nube de un proveedor tecnológico. Todos esos proveedores, si tratan datos de las empresas, deben pasar por este filtro de homologación”.

Los esquemas de certificación se han convertido en aval para las empresas en cualquier actividad, “no solo de protección de datos, sino en otras actividades donde sube cada vez más la carga de trabajo en acreditar ese deber de diligencia. Ahí es donde entran en juego certificaciones y estándares de este tipo. En este caso, empresas de tratamiento, responsables y clientes requieren esa certeza para garantizar que sus socios tienen la capacidad necesaria para realizar el trabajo”, apunta Escribano.

Al final, con esta certificación, este experto indica que “ambas partes implicadas en la gestión del tratamiento de datos tienen claro que por parte de cada una de ellas se está haciendo el trabajo bien y, de hecho, en nuestra trayectoria, ya de tres años, una de las cosas que hicimos fue reunirnos con potenciales clientes para conocer sus necesidades en este campo concreto de los tratamientos de datos. Las respuestas fueron positivas, y eso nos llevó a desarrollar este esquema de certificación”.

En cuanto a la implementación de este esquema de certificación, “los pasos iniciales pasan por contestar los formularios que les enviamos, para saber cuál es el servicio que quieren certificar y así encajarlo en la categoría concreta de servicio. Posteriormente, se designan unos controles que formarán parte de la auditoría que llevamos a cabo. La auditoría es el elemento clave a la hora de certificar el servicio”.

Con este análisis, Escribano señala que “sabemos entonces cuál es el grado de cumplimiento de esa auditoría por parte del servicio. Una vez se supera ese proceso de auditoría, la revisión posterior que hacemos y la emisión del certificado es casi inmediata”.

Una certificación que acredita la profesionalidad

Para Nikola Kovacic, “esta auditoría no difiere mucho de otras habituales. Este tipo de esquemas a nivel de certificación es similar a la 27000 en temas de seguridad de la información. Es una operativa estandarizada que ya sabemos que funciona en otros sectores de actividad. El objetivo es comprobar que todo está conforme. La certificación tiene una validez prolongada en el tiempo por tres años, lo que ayuda a mantener esos estándares de calidad”.

A juicio de Wasim Escribano, “durante los dos primeros años de esos tres se realiza una autoevaluación por parte del ET que ha certificado su servicio. Ahí le exigimos mediante un formulario y una declaración para que todos los requisitos que ha superado en la auditoría se mantengan al día sin cambios radicales que puedan obligar a someter el servicio a una nueva auditoría. En el tercer año es un requisito indispensable que la certificación se someta a una nueva auditoría, para determinar si puede renovarla”.

Desde ISMS Forum se espera que para el año 2026 cuenten con servicios que ya han sido certificados bajo su esquema SPET y bajo la acreditación de ENAC. “Ante las sanciones del regulador por las malas prácticas de terceros, las empresas ven con interés contar con dicha certificación que avala el trabajo y la profesionalidad de su empresa encargada de tratamiento”, comenta Kovacic.

De hecho, este profesional recuerda la presentación del informe que presentó Francisco Pérez Bes, socio de Ecix, sobre las sanciones del regulador en este último XVII Foro de la Privacidad del Data Privacy Institute, escenario también de la presentación de dicho esquema de certificación.

“La gestión de los tratamientos de datos hecha por terceros debe responder a estándares de calidad, y el esquema SPET certifica las buenas prácticas que se hacen, subraya.