Soy Ángel Ortega Castro, consultor ENS independiente: tengo base en Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y me desplazo en persona cuando el proyecto lo requiere. Acompaño a empresas de A Coruña y de toda la provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Xunta de Galicia, el Concello da Coruña, la Diputación Provincial de A Coruña o la Universidade da Coruña (UDC) sin quedar excluidas de los pliegos.
A Coruña no es la sede de la Xunta de Galicia —esa está en Santiago de Compostela—, pero es la capital de la provincia de A Coruña, la segunda ciudad más poblada de Galicia y la sede del Concello da Coruña y de la Diputación Provincial de A Coruña. Además, la Xunta de Galicia mantiene en la ciudad delegaciones territoriales y organismos dependientes —como el IGAPE (Instituto Galego de Promoción Económica) o el Servizo Galego de Saúde (Sergas)— que gestionan sistemas de información sujetos al ENS igual que en Santiago. El resultado es que en A Coruña se concentra una parte muy significativa de la demanda de servicios digitales del sector público gallego.
La Diputación Provincial de A Coruña impulsa la digitalización de los municipios de la provincia y gestiona su propia sede electrónica y sus sistemas de contratación, sujetos al ENS como cualquier otra administración local. El Concello da Coruña, por su parte, tramita buena parte de su actividad administrativa —perfil del contratante, registro electrónico, sede digital— bajo el mismo marco normativo, y traslada esa exigencia a sus proveedores TIC en los pliegos de contratación.
A este ecosistema se suma la Universidade da Coruña (UDC), que dispone de sede electrónica propia (sede.udc.gal) para expedientes académicos, registro y administración electrónica, y que como institución pública universitaria tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público. Y en el ámbito sanitario, el Servizo Galego de Saúde (Sergas) opera en la ciudad el Complexo Hospitalario Universitario A Coruña (CHUAC), uno de los grandes hospitales públicos gallegos, con sistemas de historia clínica y gestión asistencial sujetos al mismo marco.
Buena muestra de la prioridad que da la Xunta de Galicia a la ciberseguridad de su tejido empresarial es el programa Empresa Cibersegura, cuya convocatoria de 2025 vincula explícitamente la homologación de entidades proveedoras de servicios de ciberseguridad con la alineación a normativas como la Directiva NIS2 o el Esquema Nacional de Seguridad. Para las empresas privadas que quieran licitar en categoría media o alta, la certificación de conformidad sigue correspondiendo a una entidad acreditada por ENAC, pero el contexto confirma que el Esquema Nacional de Seguridad ya no es una opción en Galicia: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos gallegos lo recogen cada vez con más frecuencia como requisito de solvencia técnica.
Los contratos TIC de la Xunta de Galicia y de la Diputación Provincial de A Coruña exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Concello da Coruña incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidade da Coruña y el Complexo Hospitalario Universitario A Coruña (CHUAC), del Sergas, están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de dar el primer paso conviene tener claro el marco completo: lo explico con detalle en la guía ENS completa, y si prefieres ver cómo planteo el acompañamiento de principio a fin, están los detalles del servicio de consultoría ENS para empresas.
La contratación pública en A Coruña —Xunta, Concello, Diputación y universidad incluidos— no distingue entre organismo y proveedor: el ENS alcanza a todo el sector público y a las empresas privadas que le prestan servicios mediante relación contractual. En la provincia coruñesa, ese alcance cubre a un número considerable de empresas locales.
En A Coruña, estos son algunos perfiles que encajan en ese alcance:
El plazo transitorio que concedía el RD 311/2022 para adecuar los sistemas ya existentes —24 meses desde su entrada en vigor— venció el 5 de mayo de 2024, y todo sistema nuevo o modificado de forma sustancial debe cumplir desde su puesta en marcha. Para las empresas coruñesas que aún no han empezado, cada licitación publicada en el perfil del contratante local es una llamada de atención: el margen sigue estrechándose.
En cualquier expediente de contratación de la Xunta de Galicia, el Concello da Coruña o la Diputación Provincial de A Coruña, la documentación de conformidad tiene que aguantar una revisión seria. Por eso sigo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría, para que tu empresa llegue con papeles sólidos ante cualquier organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con las exigencias del ENS y delimito el alcance: qué sistemas de información quedan afectados. | Informe de diagnóstico que fija la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y le asigno su categoría: básica, media o alta. | Aplico el Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos junto con el plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección—, acompañando a tu equipo paso a paso. | Evidencias de implantación, medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre: en categoría básica, apoyo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III: preparo el expediente de conformidad, aunque la certificación en media o alta la emite siempre un tercero acreditado por ENAC. |
Cuando un pliego de la Diputación Provincial de A Coruña o de la Xunta pide categoría básica o media, no es una etiqueta arbitraria: sale de valorar el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión que alcance el nivel más alto es la que determina la categoría final.
Se aplica cuando un incidente tendría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas afectadas. Es la categoría más habitual entre proveedores de servicios auxiliares.
Corresponde a un incidente que causaría un perjuicio grave, con al menos una dimensión en nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Se da cuando el perjuicio de un incidente sería muy grave, incluso irreparable, porque alguna dimensión llega al nivel alto. Es propio de sistemas críticos o con datos especialmente sensibles.
Si tu sistema es de categoría básica, la conformidad se acredita con una declaración de conformidad autoevaluada: es la propia organización quien verifica su cumplimiento siguiendo las guías CCN-STIC. Yo me encargo de dejarte la documentación y las evidencias preparadas para que esa declaración resista cualquier revisión del organismo contratante, sea la Xunta, el Concello o la Diputación.
En categoría media o alta, en cambio, la conformidad solo se acredita con una certificación emitida por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es prepararte para superarla con garantías; quien certifica es siempre la entidad acreditada, nunca el consultor que te acompaña.
En un expediente de licitación de la Diputación Provincial de A Coruña o del Concello da Coruña, un PDF que nadie ha vuelto a abrir no sirve de nada. Por eso te entrego el cuerpo documental y técnico completo que sostiene la conformidad: el mismo que el auditor, la Xunta de Galicia o cualquier otro organismo contratante va a querer ver en el expediente.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Opero desde Valladolid y Las Palmas, con clientes en toda España, y combino el seguimiento en remoto con sesiones presenciales en A Coruña cuando el proyecto así lo pide. El ecosistema de licitación pública gallego —sus plazos, sus pliegos, las exigencias de organismos como la Xunta de Galicia, el Concello da Coruña, la Diputación Provincial de A Coruña y la UDC— lo conozco de primera mano.
Trabajo con acompañamiento real, persona a persona: nada de entregar un manual y desaparecer. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, al cerrar el proyecto, tu equipo queda capacitado para sostener la conformidad por su cuenta.
Soy claro sobre dónde llega mi trabajo: preparo y adecúo tu organización hasta dejarla lista para la conformidad; la certificación en categorías media o alta siempre la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me separa de las consultoras genéricas.
Integradoras o desarrolladoras de software con sede en A Coruña que tienen contratos con la Xunta de Galicia o sus organismos dependientes, como el Instituto Galego de Promoción Económica (IGAPE), y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en los polígonos de A Grela o Pocomaco que prestan servicios de mantenimiento, ciberseguridad o soporte TIC al Concello da Coruña, la Diputación Provincial de A Coruña o la Universidade da Coruña, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas de ciberseguridad o integración de sistemas que dan soporte a la Autoridad Portuaria de A Coruña o al Complexo Hospitalario Universitario A Coruña (CHUAC), del Sergas, y que ven en el ENS el primer requisito de solvencia técnica para mantener o ampliar esos contratos.
Si alguien te da una cifra cerrada para tu licitación con la Xunta de Galicia o el Concello da Coruña sin haber mirado tu caso, desconfía. No existe un precio único: la inversión depende del alcance (cuántos sistemas entran en juego), de la categoría resultante (básica, media o alta), de tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categorías media o alta, además de mis honorarios de consultoría hay que contar con el coste de la entidad certificadora acreditada por ENAC: es un gasto aparte, que factura directamente el tercero que audita la conformidad.
Sí. La Xunta de Galicia, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Organismos dependientes como el IGAPE (Instituto Galego de Promoción Económica) o el Servizo Galego de Saúde (Sergas) exigen conformidad con el RD 311/2022 en sus licitaciones. Si tu empresa presta o aspira a prestar servicios digitales a cualquier organismo dependiente de la Xunta, la conformidad es ya un requisito habitual de solvencia técnica en los pliegos. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidade da Coruña (UDC) es una institución pública universitaria sujeta al ENS, con sede electrónica propia (sede.udc.gal) que gestiona expedientes académicos, plataformas de investigación y trámites administrativos. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Tanto el Concello da Coruña como la Diputación Provincial de A Coruña son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Sí, en la medida en que ambos son organismos del sector público sujetos al ENS. El Complexo Hospitalario Universitario A Coruña (CHUAC), integrado en el Servizo Galego de Saúde (Sergas), gestiona sistemas de historia clínica y gestión asistencial que requieren proveedores TIC conformes con el RD 311/2022. La Autoridad Portuaria de A Coruña, como entidad del sector público estatal que gestiona el primer puerto gallego por toneladas, aplica el mismo criterio a sus contratistas de sistemas.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión para el Concello da Coruña, la Diputación Provincial o la Xunta se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Xunta de Galicia, el Concello da Coruña o la Diputación Provincial de A Coruña, lo que el pliego exige es el ENS.
La primera conversación es gratuita y sin ningún compromiso. En ella repasamos el alcance de tu empresa, la categoría que previsiblemente le corresponde y el tipo de contratación pública al que aspiras en A Coruña. Si el encaje tiene sentido, te llevas una propuesta cerrada; si no, sales con criterio claro para arrancar por tu cuenta.