Ángel Ortega Castro al habla: consultor independiente especializado en ENS, con sede en Valladolid y Las Palmas. Trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide. Acompaño a empresas de Albacete y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Albacete, la Diputación Provincial o la Universidad de Castilla-La Mancha (UCLM) sin quedar excluidas de los pliegos.
Albacete no es la sede del Gobierno regional —esa capitalidad corresponde a Toledo—, pero es la ciudad más poblada de Castilla-La Mancha y una de las plazas de contratación pública y tejido TIC más activas de la región. La Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha en Albacete, con sede en el edificio Casa Perona, coordina en la provincia las competencias de las distintas consejerías y traslada a sus proveedores tecnológicos la misma exigencia de conformidad con el ENS que cualquier consejería con sede en Toledo.
A esa delegación se suman el Ayuntamiento de Albacete, con una agenda activa de digitalización de sus trámites y servicios municipales, y la Diputación Provincial de Albacete, que gestiona Sedipualba, su plataforma de administración electrónica en modalidad SaaS creada en 2017. Sedipualba no solo da servicio al Ayuntamiento de Albacete: la Diputación la pone a disposición de los 87 municipios de la provincia, y su solvencia técnica ha llevado a otras administraciones —como los ayuntamientos de Arroyo de la Encomienda, L'Alfàs del Pi o Haro, o el Cabildo de Tenerife— a adoptarla también fuera de Castilla-La Mancha. Cualquier empresa que dé soporte, mantenimiento o alojamiento a esa plataforma debe poder acreditar conformidad con el ENS ante la propia Diputación.
A ese ecosistema se añade el Campus de Albacete de la Universidad de Castilla-La Mancha (UCLM) —el mayor de los tres campus de la UCLM— con facultades como Medicina, Farmacia, Derecho y Ciencias Económicas y Empresariales, y escuelas como la de Ingeniería Informática o Ingeniería Industrial, además del Instituto de Investigación en Informática de Albacete (I3A). Como institución pública universitaria, la UCLM está sujeta al ENS igual que cualquier otra entidad del sector público. Lo mismo ocurre con el Complejo Hospitalario Universitario de Albacete (CHUA), integrado en el Servicio de Salud de Castilla-La Mancha (SESCAM), que gestiona historia clínica electrónica y traslada esa exigencia a sus proveedores TIC.
Alrededor de estas administraciones se ha desarrollado un tejido empresarial propio: el Parque Científico y Tecnológico de Castilla-La Mancha, con sede en Albacete y especializado en TIC, aeronáutica, energías renovables y biomedicina, junto a sectores tradicionales como la cuchillería albaceteña —casi un centenar de empresas y una feria internacional propia, Ibercut—, la plataforma logística del Puerto Seco y la Ciudad del Transporte, o el sector agroalimentario y vitivinícola ligado a las denominaciones de origen La Mancha, Manchuela, Almansa y Jumilla. Para las empresas TIC, integradoras y consultoras tecnológicas que trabajan o aspiran a trabajar con alguno de los organismos públicos citados, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha en Albacete y de sus organismos dependientes exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Albacete y la Diputación Provincial —a través de Sedipualba, su plataforma para 87 municipios— incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
El Campus de Albacete de la UCLM y el Complejo Hospitalario Universitario de Albacete (CHUA) gestionan sistemas de información sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Para llegar con las ideas claras a la primera reunión, conviene repasar antes el marco completo: lo explico en la guía ENS completa, y puedes ver cómo lo aplico paso a paso en la consultoría ENS para empresas.
El Esquema Nacional de Seguridad rige para las administraciones públicas y, en cascada contractual, para cada proveedor privado que trabaja para ellas. Cuando alguien de Albacete o de algún pueblo de la provincia me llama para preguntarme si le afecta, lo primero que aclaramos juntos es con qué administración factura.
Los perfiles que más se repiten en mis conversaciones por aquí son estos:
Hay un dato que saco casi siempre en la primera llamada: la disposición transitoria única del RD 311/2022 concedía 24 meses para poner al día los sistemas que ya funcionaban, plazo que expiró el 5 de mayo de 2024. Para los sistemas nuevos, o para los que cambian de forma sustancial, la exigencia rige desde el primer minuto. Quien todavía no se ha movido debería leer cada licitación publicada como una señal de que el margen se acorta.
El orden de trabajo respeta la secuencia que marcan las guías CCN-STIC: arranca en el diagnóstico y termina, según el caso, en la declaración de conformidad o en la auditoría. El objetivo es llegar con método y con una documentación capaz de resistir la revisión de la Junta de Comunidades de Castilla-La Mancha, del Ayuntamiento de Albacete, de la Diputación Provincial o de cualquier otro organismo que te esté contratando.
| Fase | En qué consiste | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto el punto de partida de tu organización frente a lo que pide el ENS y acoto el alcance: qué sistemas de información quedan dentro del proyecto. | Informe de diagnóstico que cuantifica la distancia hasta el cumplimiento y jerarquiza las brechas encontradas. |
| Fase 02 Categorización | Someto cada sistema a las cinco dimensiones de seguridad —CIDAT— y de ahí sale su categoría: básica, media o alta. | Anexo I del ENS: fija el nivel de exigencia aplicable y marca qué vía de conformidad tocará seguir. |
| Fase 03 Análisis de riesgos | Cartografío activos, amenazas y salvaguardas con la metodología MAGERIT. | Informe de análisis de riesgos acompañado de su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Doy forma a la política de seguridad, decido qué medidas encajan y dejo lista la Declaración de Aplicabilidad (DdA), con la justificación de cada control incluido. | Guía CCN-STIC 806: de aquí salen el plan de adecuación y el borrador de la declaración de conformidad. |
| Fase 05 Implantación | Ponemos en marcha las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo implicado en cada paso. | Evidencias de implantación ordenadas medida por medida, preparadas para la auditoría. |
| Fase 06 Conformidad final | Hago una revisión final antes de cerrar el expediente. Si la categoría es básica, respaldo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III: yo preparo el terreno para la conformidad; la certificación en media/alta siempre la firma un tercero acreditado por ENAC. |
Nada de asignar la categoría al tuntún: resulta de medir qué consecuencias tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Se impone siempre la dimensión que llegue más alto.
Corresponde a los casos en que un incidente dejaría un daño acotado sobre la organización, sus activos o las personas. Suele tocarles a proveedores de servicios auxiliares.
Aparece cuando un incidente supondría un perjuicio grave: al menos una dimensión sube a nivel medio. Es habitual en sistemas de gestión administrativa o que manejan datos sensibles.
Se reserva para un perjuicio muy grave, a veces irreparable: alguna dimensión alcanza el nivel alto. Hablamos de sistemas críticos o con información especialmente delicada; en la provincia aparece sobre todo en la historia clínica electrónica del entorno CHUA/SESCAM.
Para la categoría básica es suficiente una declaración de conformidad autoevaluada: la propia empresa verifica su cumplimiento apoyándose en las guías CCN-STIC. Mi papel es dejar lista la documentación y las evidencias para que esa declaración resista cualquier revisión del organismo que contrata.
Para media o alta se necesita la certificación de una entidad acreditada por ENAC, según la norma UNE-EN ISO/IEC 17065:2012. Mi función es dejarte preparado para superarla con solvencia; quien certifica es siempre la entidad acreditada, nunca yo.
Esto no acaba en un PDF olvidado en una carpeta. Lo que recibes es el conjunto documental y técnico que sostiene la conformidad, exactamente lo que un auditor, la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Albacete o cualquier otro organismo contratante reclamará ver dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente especializado en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y en Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —también a Albacete y al resto de Castilla-La Mancha—. Conozco de cerca el circuito de licitación pública castellanomanchego: los plazos, los pliegos y lo que suelen pedir organismos como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Albacete, la Diputación Provincial, el Complejo Hospitalario Universitario de Albacete (CHUA) o el Campus de Albacete de la UCLM.
Mi forma de trabajar es de acompañamiento real, persona a persona: no te suelto un manual y desaparezco. Estoy contigo en cada fase, convierto la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad cuando el proyecto termine.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización de cara a la conformidad; la certificación en categorías media o alta la emite una entidad acreditada por ENAC. Esa claridad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Empresas de base tecnológica instaladas en el Parque Científico y Tecnológico de Castilla-La Mancha, en Albacete, especializado en TIC, aeronáutica y biomedicina, que prestan servicios a la Junta de Comunidades de Castilla-La Mancha o a organismos dependientes y necesitan acreditar conformidad con el ENS para renovar o ampliar sus contratos. Suelen estar en categoría básica o media.
Integradoras o proveedores de servicios cloud que dan soporte, mantenimiento o alojamiento a Sedipualba, la plataforma de administración electrónica de la Diputación de Albacete que sirve al Ayuntamiento y a los 87 municipios de la provincia. La sensibilidad y el alcance de la plataforma exigen acreditar conformidad con el ENS ante la propia Diputación.
Organizaciones privadas de Albacete o su provincia —incluidas empresas ligadas a sectores tradicionales como la cuchillería, la logística o el sector vitivinícola que digitalizan su gestión— que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia el Ayuntamiento, la Diputación o la UCLM. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No doy una cifra cerrada sin conocer tu caso, y te recomiendo desconfiar de quien sí lo haga. Lo que pagues depende del alcance (cuántos sistemas entran), de la categoría (básica, media o alta), de tu punto de partida y de si necesitas certificación acreditada o te basta la declaración de conformidad.
A mis honorarios se suma, en categorías media o alta, el coste de la entidad certificadora acreditada por ENAC: es un coste aparte, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. La Junta de Comunidades de Castilla-La Mancha, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a la Delegación Provincial en Albacete, a alguna consejería o a un organismo dependiente como el Parque Científico y Tecnológico de Castilla-La Mancha, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Castilla-La Mancha (UCLM) concentra en Albacete su campus más grande, con facultades como Medicina o Farmacia, escuelas como la de Ingeniería Informática y el Instituto de Investigación en Informática de Albacete (I3A). Como entidad del sector público, la UCLM está sujeta al ENS y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información académicos o de investigación.
Sí. Tanto el Ayuntamiento de Albacete como la Diputación Provincial son entidades locales sujetas al ENS por el RD 311/2022. La Diputación gestiona además Sedipualba, su plataforma de administración electrónica en modalidad SaaS que presta servicio al propio Ayuntamiento y a los 87 municipios de la provincia; cualquier proveedor que dé soporte, mantenimiento o alojamiento a esa plataforma o a sistemas equivalentes debe poder acreditar conformidad con el ENS ante el organismo contratante.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de mantenimiento de aplicaciones de gestión municipal se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación; los proveedores con acceso a datos clínicos del CHUA suelen situarse en categorías media o alta.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Comunidades de Castilla-La Mancha o el Ayuntamiento de Albacete, lo que el pliego exige es el ENS.
Reserva una primera videollamada sin coste: repasamos el alcance de tus sistemas, qué categoría te tocaría previsiblemente y qué tipo de contrato público persigues. Si veo que encajamos, recibes una propuesta cerrada; si no, sales con una hoja de ruta clara para arrancar por tu cuenta.