Marco aplicable, de la norma al plazo de un parche

En el sector público español el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, asigna a cada sistema una categoría (BÁSICA, MEDIA o ALTA) y pide medidas proporcionales a ella. Entre esas medidas está la de mantenimiento y actualizaciones de seguridad, que exige un procedimiento para analizar, priorizar y decidir cuándo aplicar las actualizaciones. Fíjate en lo que no dice: no fija un número de días.

Los días los pone cada administración en su instrucción interna. Por eso el analista trabaja con dos capas: la norma, que dice que debe haber un procedimiento, y la instrucción, que dice cuánto tarda cada categoría. Abre leeme.txt y politica-parches.txt y compara.

La categoría de un sistema decide su plazo, y el plazo decide cuánto se le puede pedir al equipo que lo opera. Un sistema de categoría ALTA pesa más que uno BÁSICA porque su fallo afecta más a la ciudadanía o a la administración. Abre sistemas.csv y mira la columna de categoría.

Una crítica está vencida cuando su edad supera el plazo de la categoría del sistema al que pertenece. La edad sola no basta: una crítica de 28 días en un portal BÁSICA puede estar en plazo mientras una de 8 días en una sede ALTA ya lo ha superado. Cruza criticas-abiertas.csv con sistemas.csv y aplica la instrucción.

Para decidir por dónde empezar, el exceso (edad menos plazo) dice más que la edad. Una crítica antigua en un sistema de categoría leve puede llevar menos retraso que una más reciente en un sistema de categoría alta. Calcula el exceso de cada vencida y compáralo con la que tiene más días de edad.

Con la lista ordenada llega la decisión. El procedimiento de actualizaciones del ENS pide analizar y priorizar, no aplicarlo todo a la vez. La prioridad se explica con tres datos que ya tienes: la categoría, el exceso sobre el plazo y si el sistema depende de un proveedor externo.