Consultor ENS en Andalucía
La Junta de Andalucía, el SAS, las ocho Diputaciones provinciales y las nueve universidades públicas del sistema andaluz forman uno de los mayores mercados de contratación pública del sur de Europa. La adecuación al Esquema Nacional de Seguridad es el requisito técnico que separa a los proveedores que pueden licitar de los que se quedan fuera.
La comunidad autónoma más poblada de España, con el mayor aparato público autonómico.
Andalucía no es solo una de las diecisiete comunidades autónomas: es la más extensa en cuanto a administración pública regional. La Junta de Andalucía, organizada desde julio de 2026 en trece consejerías —entre ellas Presidencia, Sanidad y Emergencias; Economía, Hacienda y Fondos Europeos; Educación; y la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, competente en la digitalización de la Administración autonómica—, genera un volumen de contratos TIC que pocas regiones europeas igualan a ese nivel autonómico. A esto se añade que la comunidad alberga ocho organismos provinciales con plena capacidad de gasto propio: las Diputaciones de Almería, Cádiz, Córdoba, Granada, Huelva, Jaén, Málaga y Sevilla, que financian y coordinan los servicios de administración electrónica de cientos de municipios pequeños, muchos de ellos incapaces de acometer la adecuación ENS de forma independiente.
El RD 311/2022 establece que cualquier empresa privada que trate información de una entidad pública o dé soporte a sus sistemas queda dentro del alcance del ENS. En Andalucía, ese perímetro es excepcionalmente amplio: comprende desde los grandes integradores TIC que trabajan con la Consejería de Economía, Hacienda y Fondos Europeos hasta los ISV regionales que proveen módulos de gestión clínica al Servicio Andaluz de Salud (SAS), pasando por las empresas de ciberseguridad gestionada que protegen las redes de las universidades públicas andaluzas.
El ecosistema andaluz tiene hoy un habilitador tecnológico transversal que amplifica el alcance del ENS: la Agencia Digital de Andalucía (ADA), adscrita a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, que coordina la digitalización de la Junta y cuyos contratos con proveedores privados exigen conformidad ENS como condición de acceso a los entornos de producción corporativos. De la ADA depende, como entidad adscrita, Sandetel (Sociedad Andaluza para el Desarrollo de las Telecomunicaciones), que despliega y gestiona la infraestructura de telecomunicaciones regional. Cualquier empresa que mantenga contratos con la ADA o con Sandetel —ya sea de desarrollo, integración, operación o soporte— debe tener su sistema de información adecuado al ENS o en proceso documentado de adecuación.
A diferencia de otras comunidades, Andalucía dispone de un pliego marco corporativo que la Junta aplica de forma transversal en contratos de servicios TIC: la conformidad ENS es un criterio de solvencia técnica incorporado en la documentación tipo que utilizan las consejerías y los organismos dependientes. Esto significa que la adecuación bien construida para un organismo de la Junta resulta directamente reutilizable ante cualquier otro, reduciendo el coste marginal de cada licitación adicional una vez completado el expediente inicial.
Desde el punto de vista sectorial, la economía andaluza aporta varios segmentos con presencia significativa en la contratación pública: el sector agroalimentario —aceite de oliva, vinos de Jerez y la hortofruticultura de Almería, la mayor plataforma de hortalizas de Europa— tiene proveedores logísticos y de trazabilidad que trabajan con sistemas de información de organismos autonómicos de agricultura; el sector turístico —Costa del Sol, Costa de la Luz y turismo monumental en ciudades como Granada, Córdoba y Jerez— conecta con patronatos provinciales que son entidades públicas sujetas al ENS; el sector aeronáutico, con la planta de Airbus en Sevilla y la industria auxiliar en la bahía de Cádiz, genera proveedores de gestión documental y sistemas de información que trabajan bajo contratos con el Ministerio de Defensa, cuyos requisitos de seguridad son en muchos casos más exigentes que el ENS básico; y el polo TIC del PTA de Málaga (Parque Tecnológico de Andalucía), donde se concentran empresas de software, ciberseguridad y transformación digital que tienen entre sus clientes a consejerías y organismos autonómicos.
La Agencia para la Promoción del Comercio Exterior de Andalucía (Trade), aunque orientada a la internacionalización empresarial, gestiona sistemas de información de carácter público y es entidad sujeta al RD 311/2022. Sus proveedores de plataformas digitales, CRM y gestión de expedientes de comercio exterior entran igualmente dentro del alcance del ENS. Para tener el marco normativo completo antes de dar el primer paso, consulta la guía ENS completa. Si ya sabes que necesitas apoyo externo, el detalle del proceso está en la página de consultoría ENS para empresas.
Junta de Andalucía · trece consejerías activas
Desde la Consejería de Presidencia, Sanidad y Emergencias hasta la de Inteligencia Artificial, Desarrollo Digital y Administración Pública, todas las unidades orgánicas de la Junta incorporan la conformidad ENS en sus pliegos TIC. Una adecuación bien construida sirve transversalmente para cualquier organismo autonómico andaluz.
SAS · hospitales de referencia en las 8 provincias
El Servicio Andaluz de Salud gestiona datos clínicos especialmente protegidos en hospitales como el Virgen del Rocío (Sevilla), Puerta del Mar (Cádiz), Reina Sofía (Córdoba), Virgen de las Nieves (Granada), Regional de Málaga, Torrecárdenas (Almería) y Juan Ramón Jiménez (Huelva). Sus proveedores quedan habitualmente en categoría media o alta.
Sistema universitario andaluz · 9 universidades
US (Sevilla), UPO (Sevilla), UGR (Granada), UMA (Málaga), UCO (Córdoba), UAL (Almería), UCA (Cádiz), UHU (Huelva) y UJA (Jaén) son entidades públicas sujetas al RD 311/2022. Sus licitaciones de plataformas académicas e infraestructura de red exigen conformidad ENS a los adjudicatarios.
ADA, Sandetel y Trade · habilitadores autonómicos
La Agencia Digital de Andalucía (ADA) coordina los sistemas TIC corporativos de la Junta. Sandetel, entidad adscrita a la ADA, gestiona la infraestructura de telecomunicaciones regional. Trade impulsa el comercio exterior andaluz. Los tres son entidades públicas cuyos proveedores quedan dentro del alcance del ENS.
Tres tipos de licitación autonómica donde el ENS figura ya como requisito de solvencia.
La Plataforma de Contratación de la Junta de Andalucía recoge con creciente sistematicidad la conformidad con el RD 311/2022 en los pliegos de prescripciones técnicas de los contratos TIC de mayor cuantía. Estos son tres tipos de expediente donde el requisito ENS aparece de forma reiterada y verificable.
| Organismo contratante | Tipo de contrato | Por qué exige el ENS |
|---|---|---|
| Junta de Andalucía · Consejería de Presidencia, Sanidad y Emergencias / Servicio Andaluz de Salud (SAS) | Contratos de desarrollo, mantenimiento y operación de sistemas de historia clínica electrónica (Diraya), plataformas de gestión de pacientes, ERP hospitalario y telecomunicaciones sanitarias en los hospitales de referencia de las ocho provincias andaluzas, incluyendo el Hospital Regional de Málaga, el Hospital Clínico Virgen de la Victoria (Málaga), el Hospital Universitario Reina Sofía (Córdoba), el Hospital Universitario San Cecilio (Granada), el Hospital Universitario Virgen de las Nieves (Granada) y el Hospital Universitario de Torrecárdenas (Almería). Puedes consultar los expedientes vigentes en la Plataforma de Contratación de la Junta de Andalucía. | El SAS procesa datos de salud de categoría especialmente protegida bajo el art. 9 del RGPD y el RD 311/2022. Los proveedores de sistemas de información clínica, PACS/RIS, sistemas de laboratorio y plataformas de teleasistencia quedan dentro del alcance del ENS, habitualmente en categoría media, con certificación obligatoria por entidad acreditada por ENAC. La conformidad figura como requisito de solvencia técnica en los pliegos de prescripciones del SAS. |
| Junta de Andalucía · Agencia Digital de Andalucía (ADA) | Servicios de desarrollo, integración y mantenimiento de aplicaciones corporativas transversales de la Administración autonómica; contratos de infraestructura cloud, microservicios, conectividad de área amplia y ciberseguridad gestionada para los sistemas de información de las consejerías y organismos dependientes de la Junta de Andalucía. Puedes consultar el perfil del contratante de la ADA en la Plataforma de Contratación de la Junta de Andalucía. | La ADA, adscrita a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, actúa como habilitador tecnológico central de toda la Junta de Andalucía: los sistemas corporativos que gestiona dan soporte a las trece consejerías y a organismos autónomos dependientes. Sus contratos con empresas proveedoras exigen la conformidad con el RD 311/2022 como condición para acceder a los entornos de producción y preproducción de la Administración andaluza. El incumplimiento implica la exclusión inmediata del perímetro operativo de la Junta. |
| Diputaciones Provinciales de Andalucía · servicios de asistencia TIC a municipios | Las ocho Diputaciones andaluzas —Almería, Cádiz, Córdoba, Granada, Huelva, Jaén, Málaga y Sevilla— licitan servicios de plataformas de administración electrónica, sede electrónica, gestión de expedientes, archivo digital y soporte TIC destinados tanto a sus propias dependencias como a los municipios de sus respectivas provincias que se acogen a los servicios de asistencia. Puedes consultar los expedientes vigentes en la Plataforma de Contratación de la Junta de Andalucía. | Las Diputaciones son entidades locales plenamente sujetas al RD 311/2022. Sus contratos TIC de mayor cuantía incorporan la conformidad ENS como criterio de solvencia técnica, especialmente en proyectos que involucran el acceso a sistemas con datos personales de ciudadanos, gestión tributaria municipal o servicios de emergencias locales. La coordinación interprovincial que gestionan amplía adicionalmente el perímetro de datos afectados. |
La conformidad ENS suele figurar en el apartado de solvencia técnica o en las prescripciones especiales de seguridad de la información de los pliegos. Consulta los expedientes activos directamente en la Plataforma de Contratación de la Junta de Andalucía.
Estos perfiles empresariales andaluces ya tienen la obligación activa.
El RD 311/2022 extiende el ENS más allá del sector público: afecta a cada empresa privada que trata información de organismos públicos o da soporte a sus sistemas de información. En Andalucía, dado el peso y la dimensión del aparato institucional autonómico, el perímetro de obligados es especialmente amplio e incluye a proveedores de todos los tamaños y especialidades.
En la primera conversación suelo repasar con cada cliente estos perfiles, porque casi siempre alguno le resulta muy próximo a su situación real:
- Si tu empresa desarrolla, mantiene o integra software de gestión para alguna consejería de la Junta de Andalucía —con especial atención a la Consejería de Economía, Hacienda y Fondos Europeos, que centraliza los sistemas de gestión económica corporativos, o a la Consejería de Educación, que opera Séneca y los sistemas de gestión educativa de más de 4.000 centros públicos— la obligación ENS es inmediata y el alcance se extiende a todos los entornos de producción de la Junta a los que accede tu equipo técnico.
- Si tu empresa provee sistemas de información clínica, HIS, ERP hospitalario, plataformas de teleasistencia o servicios de conectividad al Servicio Andaluz de Salud (SAS) —que gestiona hospitales de referencia como el Virgen del Rocío y el Virgen Macarena en Sevilla, el Hospital Juan Ramón Jiménez en Huelva, el Torrecárdenas en Almería, el Reina Sofía en Córdoba, el San Cecilio y el Virgen de las Nieves en Granada, el Puerta del Mar en Cádiz o el Regional y el Clínico Virgen de la Victoria en Málaga— estás dentro del alcance, probablemente en categoría media o alta dado el carácter especialmente protegido de los datos de salud.
- Si presta servicios de coordinación de emergencias, gestión de plataformas de despacho o soporte a sistemas de comunicaciones críticas a la Empresa Pública de Emergencias Sanitarias (EPES), que opera el servicio 061 para toda Andalucía y gestiona datos de disponibilidad crítica en tiempo real, la categoría requerida es con frecuencia alta, dado el impacto potencial de un fallo de disponibilidad sobre la coordinación de emergencias sanitarias.
- Si eres empresa TIC instalada en el Sevilla TechPark (el parque tecnológico de la Cartuja, rebautizado en julio de 2025) o en el PTA de Málaga y entre tus clientes figuran consejerías, el SAS, el IAAP, las Diputaciones o las universidades públicas andaluzas, la conformidad ENS aparecerá de forma sistemática en los pliegos de renovación y ampliación de esos contratos. Ambos parques tecnológicos concentran el grueso de la oferta TIC andaluza orientada al sector público.
- Si suministras plataformas de gestión académica, sistemas de expedientes universitarios, infraestructura de red o servicios de ciberseguridad gestionada a alguna de las nueve universidades públicas del sistema andaluz —US (Sevilla), UPO (Sevilla), UGR (Granada), UMA (Málaga), UCO (Córdoba), UAL (Almería), UCA (Cádiz), UHU (Huelva), UJA (Jaén)— la conformidad ENS es un requisito de acceso a sus licitaciones de servicios digitales y de infraestructura.
- Si trabajas con el Instituto Andaluz de Administración Pública (IAAP), encargado de la formación y modernización de la función pública en Andalucía, o con la Agencia Digital de Andalucía (ADA) como integradora de sistemas corporativos de la Junta —ambos adscritos a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública—, el alcance del ENS abarca los sistemas a los que accede tu equipo en los entornos de producción de la Administración autonómica.
- Si prestas servicios logísticos, de trazabilidad documental o de gestión de expedientes de comercio exterior a la Agencia Trade, que coordina la internacionalización de la empresa andaluza, los datos que manejas pertenecen a un organismo público sujeto al ENS y quedan dentro de su alcance.
- Si eres proveedor de sistemas de administración electrónica para municipios pequeños de cualquiera de las ocho provincias andaluzas a través de los servicios de asistencia de las Diputaciones —especialmente la Diputación de Jaén, cuya red de municipios rurales tiene una dependencia especialmente alta de los servicios TIC provinciales—, la obligación ENS se traslada a tu contrato con la entidad provincial.
El plazo transitorio del RD 311/2022 para adaptar los sistemas existentes expiró el 5 de mayo de 2024. Cualquier sistema puesto en funcionamiento o sometido a modificación sustancial desde esa fecha debe cumplir el ENS desde su arranque, sin periodo de gracia adicional. En Andalucía, donde el volumen de licitaciones TIC de la Junta y del SAS es especialmente elevado, cada expediente publicado en la Plataforma de Contratación es una oportunidad que las empresas sin adecuación no pueden aprovechar.
Tres escenarios andaluces con estrategia diferenciada.
No todas las empresas que proveen al sector público andaluz tienen el mismo punto de partida ni el mismo perímetro de obligaciones. El enfoque de la adecuación depende de a quién se presta el servicio, del tipo de datos que se tratan y del número de organismos implicados.
Empresa TIC del Sevilla TechPark que licita con la Junta y con la ADA
Una empresa TIC instalada en el Sevilla TechPark que provee servicios a varias consejerías y a la Agencia Digital de Andalucía (ADA) se enfrenta a un alcance ENS que no es el de un solo organismo, sino el del conjunto de sistemas corporativos de la Junta a los que accede su equipo técnico. En este escenario construyo un único expediente de adecuación que cubra los sistemas relevantes bajo un alcance compartido, de forma que la declaración de conformidad resultante sea válida ante cualquier consejería que la solicite durante el proceso de licitación o de renovación contractual. El objetivo es que la inversión en adecuación se amortice sobre el mayor número posible de contratos activos y futuros con la Administración andaluza.
ISV que sirve al Servicio Andaluz de Salud y a los hospitales de referencia de las ocho provincias
Un ISV que provee su plataforma de gestión clínica al SAS y que tiene instalaciones activas en hospitales de referencia de todas las provincias —desde el Virgen del Rocío y el Virgen Macarena en Sevilla hasta el Torrecárdenas en Almería, el Reina Sofía en Córdoba, el Puerta del Mar en Cádiz, los hospitales San Cecilio y Virgen de las Nieves en Granada, el Regional y el Clínico de Málaga, y el Juan Ramón Jiménez en Huelva— trabaja con datos de salud de categoría especialmente protegida en ocho entornos diferentes. La estrategia de adecuación parte de la categorización conjunta de los sistemas de información implicados —habitualmente en categoría media o alta— y construye el expediente documental de forma que una única auditoría de ENAC cubra el mayor alcance posible, evitando procesos paralelos e incompatibles por hospital.
Consultora que coordina simultáneamente dos o tres Diputaciones andaluzas y universidades públicas del sistema
Una consultora tecnológica que presta servicios de administración electrónica a la Diputación de Jaén, a la Diputación de Córdoba y a la UCO y a la UJA de forma simultánea tiene que gestionar cuatro alcances normativos diferentes sin cuatro expedientes independientes. En este escenario diseño un marco de adecuación común que identifique los sistemas compartidos, aproveche las medidas transversales ya implantadas y defina alcances específicos únicamente donde los organismos tienen requisitos diferenciados. El resultado es un único expediente base con anexos de alcance por organismo, lo que reduce significativamente el coste de auditoría y la carga documental de mantenimiento posterior.
De la brecha inicial a la conformidad válida ante cualquier organismo andaluz.
El orden lo fijan las guías CCN-STIC: comienzo midiendo la distancia real entre la situación actual de tu empresa y lo que exige el ENS para los sistemas de información implicados, y termino con el expediente documentado y revisado para que puedas presentarlo con garantías ante la Junta de Andalucía, el SAS, las Diputaciones provinciales, las universidades del sistema andaluz o cualquier otro organismo contratante que lo solicite en el pliego.
| Etapa | En qué consiste | Entregable y referencia normativa |
|---|---|---|
| Etapa 01 Diagnóstico inicial | Identifico los sistemas de información implicados y los organismos andaluces contratantes, delimito el alcance del proyecto y mido la distancia real entre tu punto de partida y los requisitos del ENS para ese alcance concreto. | Informe de diagnóstico (análisis GAP) con las brechas cuantificadas y ordenadas por prioridad de cierre, adaptado al contexto operativo andaluz. |
| Etapa 02 Categorización | Evalúo cada sistema aplicando las cinco dimensiones CIDAT del Anexo I del RD 311/2022. Cuando el alcance incluye al SAS u hospitales de referencia, la dimensión de confidencialidad eleva frecuentemente la categoría a media o alta. | Documento de categorización que fija la categoría resultante y la vía de conformidad que corresponde según la guía CCN-STIC 803. |
| Etapa 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. Construyo el mapa de riesgo residual con las medidas de tratamiento priorizadas según el tipo de organismo andaluz que contrata el servicio. | Informe de análisis de riesgos con su plan de tratamiento, referenciado a las guías CCN-STIC aplicables al contexto de la Administración andaluza. |
| Etapa 04 Plan de adecuación y DdA | Redacto la política de seguridad de la información, selecciono las medidas del Anexo II aplicables al alcance y construyo la Declaración de Aplicabilidad (DdA), justificando cada control con referencia a los requisitos específicos de los pliegos andaluces. | Plan de adecuación conforme a CCN-STIC 806 y Declaración de Aplicabilidad completa, con anotaciones de aplicabilidad específica para el SAS, las Diputaciones y las universidades del sistema. |
| Etapa 05 Implantación | Pongo en marcha junto a tu equipo las medidas del marco organizativo, operacional y de protección del Anexo II, generando las evidencias que respaldan cada control ante una revisión del organismo contratante andaluz o una auditoría acreditada por ENAC. | Evidencias de implantación medida por medida, ordenadas para resistir revisión documental de la Consejería de Economía, Hacienda y Fondos Europeos, el SAS o cualquier Diputación andaluza. |
| Etapa 06 Conformidad final | Reviso el expediente completo: preparo la declaración autoevaluada si la categoría es básica; si es media o alta —lo más habitual en el contexto del SAS y de la ADA—, acompaño durante la auditoría de la entidad acreditada por ENAC. | Declaración de conformidad lista para presentar en licitación o expediente completo para auditoría acreditada, conforme al Anexo III del RD 311/2022. |
Básica, media, alta: la define el impacto potencial de un incidente sobre el servicio público.
La categoría no se decide de forma discrecional: la determina el análisis de las cinco dimensiones de seguridad del Anexo I del RD 311/2022 —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT). En Andalucía, la presencia de datos clínicos del SAS, de datos de gestión tributaria municipal de las Diputaciones y de datos académicos de las universidades hace que la categoría media sea la más frecuente en los contratos TIC de mayor cuantía.
Impacto limitado
La categoría más habitual entre proveedores de software de gestión para municipios pequeños asistidos por las Diputaciones provinciales andaluzas, herramientas auxiliares de administración electrónica y servicios de soporte TIC de segundo nivel para las consejerías de la Junta. También frecuente en empresas que dan servicio a Trade o al IAAP con sistemas de información de carácter auxiliar o de gestión interna.
- Ninguna dimensión CIDAT supera el nivel bajo
- Se acredita mediante declaración de conformidad autoevaluada
- Conjunto de medidas proporcional al tamaño de la organización
Impacto grave
La más frecuente en el contexto andaluz para proveedores del SAS que gestionan datos clínicos de los hospitales de referencia provinciales, ISV que dan servicio a las plataformas de gestión académica de las universidades del sistema —US, UGR, UMA, UCO, UAL, UCA, UHU, UJA, UPO— y empresas que operan sistemas de gestión tributaria o catastral para las Diputaciones. También aparece en contratos de la ADA que involucran sistemas corporativos de la Junta con datos personales de ciudadanos.
- Al menos una dimensión CIDAT alcanza el nivel medio
- Obligatoria certificación por entidad acreditada por ENAC
- Auditoría de conformidad bienal
Impacto muy grave
Reservada a sistemas cuyo fallo causaría consecuencias irreversibles para la ciudadanía andaluza o para servicios esenciales. En el contexto autonómico aparece en las plataformas de coordinación de emergencias sanitarias de la EPES (servicio 061), en infraestructuras críticas del SAS, en sistemas de gestión de servicios esenciales de la Junta y en plataformas de telecomunicaciones gestionadas por Sandetel que dan soporte a servicios públicos de continuidad crítica.
- Al menos una dimensión CIDAT llega al nivel alto
- Certificación obligatoria por entidad acreditada por ENAC
- Auditoría bienal de conformidad
Las dos rutas hacia la conformidad ENS en Andalucía
Básica → declaración de conformidad propia
Para sistemas en categoría básica, la organización acredita el cumplimiento mediante una declaración de conformidad autoevaluada, apoyándose en las guías CCN-STIC y en el expediente que construimos juntos. Cuando la Junta de Andalucía, una Diputación provincial o el IAAP la soliciten durante el proceso de licitación o de renovación contractual, tiene que resistir cualquier comprobación sin explicaciones adicionales. Eso es exactamente lo que garantizo al preparar la documentación.
Media o alta → certificación de entidad acreditada por ENAC
Cuando el sistema alcanza la categoría media o alta —lo más habitual en contratos con el SAS, con la ADA o con organismos de la Junta que gestionan datos personales de ciudadanos—, la conformidad requiere certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo contigo la totalidad del expediente y te acompaño durante la auditoría. Quien firma el certificado es siempre la entidad acreditada, nunca el consultor. Cualquier servicio que prometa «garantizar la certificación» incumple lo que establece la norma.
Ángel Ortega Castro
Llevo años acompañando a empresas privadas en la adecuación al Esquema Nacional de Seguridad para que puedan presentarse con garantías a licitaciones del sector público. Mi trabajo con la Administración andaluza empezó con proyectos del entorno de la Junta de Andalucía y del SAS, y desde entonces he seguido la evolución del marco normativo de cerca: desde el anterior ENS regulado por el RD 3/2010 hasta el vigente RD 311/2022, y sus guías CCN-STIC de desarrollo.
Trabajo como consultor independiente, lo que significa que mi única lealtad es hacia el éxito técnico del expediente que preparamos juntos. No tengo acuerdos comerciales con entidades certificadoras ni con plataformas de cumplimiento. Mi objetivo es que la documentación que entrego resista cualquier revisión —sea del departamento TIC de la Consejería de Hacienda, del servicio de contratación del SAS o del tribunal de una Diputación andaluza— sin que tengas que añadir ni explicar nada.
La adecuación ENS para el contexto autonómico andaluz tiene particularidades que no aparecen en los formularios genéricos: el pliego marco de la Junta, los requisitos específicos de la ADA para el acceso a entornos corporativos, los criterios de categorización de los datos clínicos del SAS y la coordinación necesaria entre organismos cuando una empresa presta servicio simultáneamente a varias entidades andaluzas. Eso es lo que aporto desde el primer día.
Lo que me preguntan los proveedores de la Junta, el SAS y las Diputaciones.
¿La Junta de Andalucía tiene un pliego marco ENS aplicable a las ocho provincias?
Sí. La Junta de Andalucía dispone de una documentación tipo de prescripciones técnicas para contratos TIC que se aplica de forma transversal en las trece consejerías y en los organismos autónomos dependientes. Este pliego marco incorpora la conformidad con el RD 311/2022 como criterio de solvencia técnica para los contratos que implican acceso a sistemas de información de la Administración autonómica, con independencia de la provincia donde se preste el servicio. Esto significa que una empresa que trabaja con la Consejería de Educación en Jaén y con la Consejería de Economía, Hacienda y Fondos Europeos en Sevilla puede construir un único expediente de adecuación ENS que cubra ambos alcances, siempre que los sistemas de información implicados queden dentro del mismo alcance normativo. La gestión centralizada de la Agencia Digital de Andalucía (ADA) refuerza esta homogeneidad: sus exigencias de conformidad ENS para el acceso a los entornos corporativos de la Junta son uniformes para todos los proveedores, independientemente de la consejería con la que trabajen.
¿El SAS coordina el ENS de sus hospitales o cada área sanitaria lo aplica de forma independiente?
El SAS tiene una política corporativa de seguridad de la información que se aplica a toda su red hospitalaria, lo que incluye los hospitales de referencia de las ocho provincias andaluzas. Sin embargo, la aplicación práctica de los requisitos ENS en los pliegos de contratación puede variar entre las distintas áreas sanitarias, ya que los contratos de mantenimiento de sistemas clínicos se licitan a menudo a nivel de hospital o de área de gestión sanitaria. La consecuencia práctica para los proveedores es que pueden recibir requerimientos de conformidad ENS de varios hospitales del SAS de forma simultánea o sucesiva. La estrategia que recomiendo en este escenario es construir un expediente de alcance amplio desde el primer contrato, de forma que cubra los sistemas de información comunes a todos los centros donde opera la plataforma, y añadir anexos de alcance específico únicamente donde los requisitos de un área sanitaria concreta se desvíen de la norma corporativa del SAS.
¿Cómo se coordina el ENS entre las ocho Diputaciones andaluzas?
Las ocho Diputaciones provinciales de Andalucía —Almería, Cádiz, Córdoba, Granada, Huelva, Jaén, Málaga y Sevilla— son entidades locales con plena autonomía administrativa y presupuestaria. No existe un pliego tipo interprovincial que unifique sus requisitos de conformidad ENS, aunque hay iniciativas de coordinación a través de la Federación Andaluza de Municipios y Provincias (FAMP) para homogeneizar los criterios de seguridad de la información en la administración local andaluza. En la práctica, cada Diputación incluye la conformidad ENS en sus contratos TIC de forma independiente, con criterios que pueden diferir en matices de redacción aunque converjan en los requisitos esenciales del RD 311/2022. Para una empresa que presta servicios a dos o más Diputaciones andaluzas, el camino más eficiente es construir un expediente de adecuación con un alcance amplio que cubra los sistemas comunes, identificando las diferencias de aplicación específica de cada organismo y documentándolas como anexos al expediente principal.
¿Las universidades del sistema andaluz (US, UPO, UGR, UMA, UCO, UAL, UCA, UHU, UJA) tienen requisitos ENS coordinados por la Agencia Andaluza del Conocimiento?
La Agencia Andaluza del Conocimiento (AAC) ejerce funciones de evaluación y acreditación del sistema universitario andaluz, pero sus competencias no se extienden a la coordinación de los sistemas de seguridad de la información de las universidades. Cada una de las nueve universidades públicas andaluzas —US, UPO, UGR, UMA, UCO, UAL, UCA, UHU y UJA— tiene autonomía plena para definir sus políticas de seguridad y sus requisitos de conformidad ENS en los pliegos de contratación. En la práctica, la adecuación ENS de las universidades andaluzas sigue la misma norma que cualquier entidad del sector público —el RD 311/2022 y las guías CCN-STIC—, pero con criterios de categorización propios para sus sistemas de información académica, de investigación y de administración electrónica. Los proveedores que trabajan con varias universidades del sistema encontrarán que los requisitos son equivalentes en lo sustancial, aunque los pliegos pueden variar en su redacción. Un expediente de adecuación bien construido, con un alcance que cubra las tipologías de sistemas más habituales en el entorno universitario, es válido como base para todos ellos.
¿La Agencia Digital de Andalucía centraliza los servicios TIC de la Junta o cada Consejería contrata por su cuenta?
La Agencia Digital de Andalucía (ADA), adscrita a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, actúa como habilitador tecnológico transversal de la Junta de Andalucía: gestiona la infraestructura corporativa común, coordina la estrategia de digitalización, la inteligencia artificial aplicada a la Administración y —a través de Sandetel, la entidad adscrita a la propia ADA— los servicios de telecomunicaciones y red de área amplia. Sin embargo, las consejerías mantienen capacidad para licitar directamente sus propios sistemas específicos —aquellos que dan soporte a las funciones singulares de cada consejería y que no están cubiertos por los servicios comunes de la ADA—. En la práctica, un proveedor TIC puede tener contratos directamente con la ADA, contratos directos con una o varias consejerías, o ambos tipos simultáneamente. Lo relevante desde el punto de vista del ENS es que los contratos con la ADA suelen exigir conformidad ENS porque dan acceso a los entornos corporativos de la Junta, mientras que los contratos directos con las consejerías pueden incluir ese requisito o no en función de la naturaleza del sistema y del tipo de datos tratados. En cualquier caso, la adecuación ENS que se construye para la ADA cubre por defecto los entornos comunes de la Junta, lo que simplifica las auditorías posteriores de los contratos de consejería.
¿Cuánto tarda la adecuación ENS para una empresa que trabaja con la Junta de Andalucía?
El plazo depende de la categoría del sistema y de la brecha inicial que detectemos en el diagnóstico. Para sistemas en categoría básica, un proceso bien organizado puede completar el expediente documental en ocho a doce semanas desde el diagnóstico. Para sistemas en categoría media o alta —los más habituales en contratos con el SAS o con la ADA—, el proceso incluye la implantación de medidas técnicas y organizativas, la generación de evidencias y la auditoría de una entidad acreditada por ENAC, lo que habitualmente lleva entre cuatro y nueve meses. El factor que más alarga el proceso no es la documentación, sino la implantación de las medidas técnicas que todavía no están en marcha en la organización: autenticación multifactor, cifrado, gestión de parches, copias de seguridad verificadas, control de acceso basado en roles. Si la empresa ya tiene buena higiene de seguridad, el plazo se reduce significativamente.
Documentación completa para presentar ante cualquier organismo contratante andaluz.
El expediente ENS que construyo para empresas proveedoras de la Junta de Andalucía, el SAS, las Diputaciones y las universidades del sistema andaluz incluye todos los documentos que un tribunal de contratación o un auditor de ENAC puede solicitar durante el proceso de revisión de la conformidad.
- Análisis GAP inicial: informe de brechas cuantificado, ordenado por prioridad de cierre y contextualizado para el tipo de organismo andaluz con el que trabaja tu empresa.
- Documento de categorización: determinación de la categoría básica, media o alta del sistema de información, con la justificación de cada dimensión CIDAT aplicada al contexto de datos de la Administración andaluza.
- Informe de análisis de riesgos MAGERIT: mapa de activos, amenazas, vulnerabilidades y riesgo residual con el plan de tratamiento priorizando las medidas más relevantes para el contexto de la Junta, el SAS o las Diputaciones.
- Política de seguridad de la información: documento aprobado por la dirección, adaptado al tamaño y tipología de la organización, con referencias a los sistemas que dan servicio a organismos andaluces.
- Declaración de Aplicabilidad (DdA): selección justificada de cada medida del Anexo II del RD 311/2022, con el estado de implantación y las evidencias de soporte ordenadas por control.
- Plan de adecuación: hoja de ruta con las medidas a implantar, los responsables, los plazos y las dependencias técnicas, organizado para que el equipo pueda ejecutarlo de forma autónoma con mi supervisión.
- Evidencias de implantación: conjunto de documentos, capturas, registros y procedimientos que acreditan la ejecución de cada control ante el organismo contratante andaluz o ante el auditor de ENAC.
- Declaración de conformidad (categoría básica) o acompañamiento completo en la auditoría de ENAC (categoría media y alta): según la categoría del sistema, el expediente se cierra con la declaración autoevaluada lista para presentar en licitación o con el proceso de certificación externa coordinado y acompañado.
Trabajo en todo el territorio andaluz, con presencia en las ocho provincias.
La adecuación ENS no requiere presencia física permanente, pero sí conocimiento del ecosistema institucional de cada provincia. He trabajado con empresas proveedoras de organismos públicos en las ocho provincias de Andalucía, desde entidades del entorno de la Junta en Sevilla hasta proveedores del SAS en hospitales de Almería, Huelva o Jaén.
Inversión adaptada al alcance real del proyecto.
El coste final depende de la categoría del sistema, del número de organismos andaluces implicados en el alcance y de la brecha inicial que detectemos en el diagnóstico. No cobro una tarifa plana que ignora la complejidad real: dimensiono cada proyecto en función de lo que de verdad necesita para resistir la revisión del organismo contratante.
Por qué la adecuación ENS es una inversión, no un gasto
- Accede a licitaciones de la Junta de Andalucía, el SAS y las ocho Diputaciones provinciales de las que hoy estás excluido por falta de conformidad ENS.
- La declaración de conformidad o el certificado ENS construido correctamente es válido ante cualquier organismo andaluz, no solo ante el que lo solicita por primera vez.
- Las renovaciones anuales del expediente tienen un coste marginal sensiblemente inferior al de la adecuación inicial, porque el grueso del trabajo ya está hecho.
- En contratos de categoría media con el SAS, la certificación de ENAC es la única vía para mantener el acceso a los entornos de producción hospitalarios. No adecuarse significa perder contratos en curso, no solo renunciar a los futuros.
¿Tu empresa provee servicios a la Junta de Andalucía, al SAS o a las Diputaciones? Hablamos.
Una primera llamada de treinta minutos basta para determinar si tu empresa está dentro del alcance del ENS, qué categoría le corresponde y cuánto tiempo lleva construir el expediente. Sin compromiso y sin formularios de doce páginas.