Cumplimiento y seguridad · Huesca · Teruel · Zaragoza
Consultor ENS en Aragón
Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas aragonesas —TIC, logísticas y agroindustriales— que necesitan la adecuación al Esquema Nacional de Seguridad (RD 311/2022) para licitar con la DGA, el Servicio Aragonés de Salud, las tres Diputaciones o la Universidad de Zaragoza. La Comunidad tiene organismos propios, sectores distintos en cada provincia y una dinámica de contratación autonómica que no se explica desde ninguna capital aislada.
Zaragoza, capital de Aragón. Foto: caccamo from Milan, Italy · CC BY-SA 2.0 · Wikimedia Commons
Aragón en el mapa del ENS · por qué la Comunidad es un caso singular
Tres provincias, cuatro administraciones y un ecosistema logístico que generan exigencias ENS propias en cada nivel territorial.
Aragón es una de las pocas comunidades autónomas españolas donde la demanda de conformidad con el Esquema Nacional de Seguridad llega simultáneamente desde el nivel autonómico, el provincial y el universitario, con tres capitales de provincia que concentran organismos con perfiles de contratación muy distintos entre sí. Esa superposición no se observa en la mayoría de las CCAA de territorio más homogéneo y hace que una empresa aragonesa pueda encontrarse, en un mismo año fiscal, con pliegos de la Diputación General de Aragón (DGA), de la Diputación de Huesca, del Servicio Aragonés de Salud (SALUD) y de la Universidad de Zaragoza (Unizar), todos ellos con requisito ENS y con grados de rigor documental diferentes.
El primer vector autonómico lo protagonizan los Departamentos de la DGA: Presidencia, Sanidad, Educación, Hacienda y Ciencia canalizan la mayor parte del gasto TIC de la administración autonómica. Cada departamento puede lanzar su propia licitación, pero todos comparten el marco normativo del ENS que el Gobierno de Aragón aplica a sus sistemas de información. Los organismos instrumentales —el Instituto Aragonés de Fomento (IAF), la agencia de internacionalización Aragón Exterior y la empresa pública SARGA— añaden una segunda capa de licitaciones que también incorporan el ENS en sus pliegos cuando los sistemas implicados tratan información pública. Las Cortes de Aragón, como institución legislativa, tienen su propio perímetro TIC con exigencias equivalentes.
El segundo vector es sanitario. El Servicio Aragonés de Salud (SALUD Aragón) opera una red que cubre las tres provincias con centros de referencia muy distintos en perfil: el Hospital Universitario Miguel Servet en Zaragoza —el de mayor volumen asistencial—, el Hospital Clínico Universitario Lozano Blesa también en la capital, el Hospital San Jorge en Huesca y el Hospital Obispo Polanco en Teruel. Los proveedores de sistemas de historia clínica electrónica, ERP hospitalario o plataformas de teleasistencia que dan servicio a cualquiera de estos centros quedan dentro del alcance del ENS en categoría media o alta, por la sensibilidad especial de los datos clínicos. Un ISV que sirva a los cuatro hospitales necesita una adecuación que contemple los nodos de la red sanitaria en las tres provincias.
El tercer vector es universitario. La Universidad de Zaragoza (Unizar) es la única universidad pública aragonesa y opera cuatro campus: el campus Río Ebro y el campus San Francisco en Zaragoza, el campus de Huesca y el campus de Teruel. Sus licitaciones de plataformas académicas, administración electrónica e infraestructura de red aplican el ENS de forma idéntica a cualquier otro organismo público. Además, la Escuela Universitaria Politécnica de La Almunia de Doña Godina —adscrita a Unizar— genera contratación TIC propia. Un ISV que licite con Unizar debe acreditar la conformidad para el alcance concreto de los sistemas implicados, sin importar en cuál de los cuatro campus estén desplegados.
El cuarto vector, con peso propio, es el logístico-industrial. La Plataforma Logística de Aragón (Plaza) en Zaragoza es la mayor plataforma logística de Europa por superficie y alberga a operadores que prestan servicio a clientes del sector público peninsular. Estos operadores quedan dentro del alcance del ENS cuando los sistemas que gestionan procesan datos de organismos públicos, aunque ese cliente esté físicamente en otra comunidad. El circuito Plaza–DGA–Diputaciones es uno de los más frecuentes en los proyectos que acompaño. Junto a Plaza, el complejo de Stellantis en Figueruelas y el tejido agroindustrial —DO Somontano en Huesca, DO Cariñena en Zaragoza, jamón de Teruel DOP y aceite del Bajo Aragón DOP— concentran empresas de software de trazabilidad y gestión que incorporan financiación pública y quedan dentro del alcance por esa vía. Motorland Aragón, el circuito internacional de Alcañiz, también genera contratación TIC propia con cofinanciación autonómica.
DGA y sus Departamentos
Presidencia, Sanidad, Educación, Hacienda y Ciencia canalizan el gasto TIC autonómico junto a organismos como el IAF, Aragón Exterior y SARGA. Todos aplican el ENS en sus pliegos.
SALUD · 4 hospitales en 3 provincias
Miguel Servet y Lozano Blesa en Zaragoza, San Jorge en Huesca y Obispo Polanco en Teruel. Los proveedores de HIS y ERP hospitalario operan en categoría media o alta.
Unizar · Campus en las 3 provincias
Cuatro campus —Zaragoza, Huesca, Teruel y La Almunia— con licitaciones de plataformas académicas e infraestructura TIC sujetas al ENS.
Plaza · logística con datos públicos
Operadores instalados en la Plataforma Logística de Aragón que gestionan datos de clientes públicos peninsulares necesitan acreditar el ENS para el perímetro de esos sistemas.
Para tener el marco completo antes de dar el primer paso, consulta la guía ENS completa. Si ya sabes que necesitas acompañamiento, el detalle del proceso está en la página de consultoría ENS para empresas.
Contratación pública aragonesa · ejemplos reales
Tres licitaciones aragonesas donde el ENS ya figura en el pliego como requisito de solvencia.
La conformidad ENS no es una condición abstracta: aparece de forma explícita en los pliegos de prescripciones técnicas de una parte relevante de la contratación pública aragonesa. Estos ejemplos pertenecen a los tipos de contrato que se publican con más regularidad en el perfil del contratante de la DGA y en la plataforma Aragoncompra.
Ejemplos de licitaciones aragonesas con requisito ENS documentado
Organismo contratante
Tipo de contrato
Por qué exige el ENS
Diputación General de Aragón · Departamento de Ciencia, Universidad, Conocimiento y Sociedad del Conocimiento
Contratos de desarrollo, mantenimiento e integración de aplicaciones corporativas de la administración autonómica aragonesa; servicios de alojamiento gestionado y nube privada para sistemas de la DGA.
La DGA es administración autonómica sujeta al RD 311/2022. Sus contratos TIC de cierta cuantía exigen que el adjudicatario acredite la conformidad con el ENS para el alcance de los sistemas implicados. Los pliegos lo incorporan como criterio de solvencia técnica en la mayoría de los expedientes publicados en Aragoncompra.
Servicio Aragonés de Salud (SALUD Aragón) · Red hospitalaria de las tres provincias
Contratos de mantenimiento evolutivo de sistemas de historia clínica electrónica (HCE) y ERP hospitalario en centros de SALUD: Hospital Universitario Miguel Servet, Hospital Clínico Lozano Blesa, Hospital San Jorge de Huesca y Hospital Obispo Polanco de Teruel.
Los sistemas sanitarios procesan datos de salud de categoría especialmente protegida. SALUD exige conformidad ENS en categoría media o alta a los proveedores de HIS y ERP. La certificación por entidad acreditada por ENAC es obligatoria en estos contratos.
Universidad de Zaragoza (Unizar) · Servicio de Informática y Comunicaciones
Licitaciones de plataformas de gestión académica, identidad digital universitaria, sistemas de expedientes electrónicos y contratos de infraestructura de red para los campus de Zaragoza, Huesca, Teruel y La Almunia de Doña Godina.
Unizar es entidad del sector público sujeta al ENS como universidad pública. Sus contratos TIC heredan la obligación de conformidad; el nivel de exigencia documental varía según la criticidad del sistema y los datos que gestiona. Los pliegos se publican en la Plataforma de Contratación de Aragón (Aragoncompra).
Puedes consultar los expedientes vigentes en el Portal de Contratación del Estado y en Aragoncompra, el perfil del contratante de la DGA y las administraciones aragonesas. La conformidad ENS suele figurar en el apartado de criterios de solvencia técnica de los pliegos de prescripciones.
¿Está tu empresa dentro del alcance del ENS en Aragón?
Estos perfiles empresariales aragoneses ya están obligados al ENS.
El Esquema Nacional de Seguridad extiende su alcance más allá de la Administración: llega a cada empresa privada que trata información de organismos públicos bajo cualquier modalidad contractual. En Aragón, ese perímetro alcanza a empresas de las tres provincias con perfiles muy distintos.
Estos son los casos que reconozco con más frecuencia en los proyectos aragoneses:
Quien desarrolla, mantiene o integra software corporativo para los Departamentos de la DGA —Presidencia, Sanidad, Educación, Hacienda o Ciencia— o para sus organismos instrumentales: el IAF, Aragón Exterior, SARGA o la administración de las Cortes de Aragón.
Quien presta servicios de historia clínica electrónica, ERP hospitalario o teleasistencia a cualquier centro de la red del Servicio Aragonés de Salud (SALUD Aragón): desde el Hospital Universitario Miguel Servet hasta el Hospital Obispo Polanco en Teruel, pasando por el Hospital San Jorge de Huesca.
Quien licita con la Diputación de Huesca, la Diputación de Teruel o la Diputación de Zaragoza contratos de soporte TIC, administración electrónica o digitalización de servicios provinciales que estas instituciones prestan a los municipios de su demarcación.
Quien desarrolla o mantiene plataformas académicas, sistemas de identidad digital universitaria o infraestructura de red para la Universidad de Zaragoza en cualquiera de sus campus: Zaragoza (Río Ebro y San Francisco), Huesca, Teruel o La Almunia de Doña Godina.
Empresas tecnológicas y operadores logísticos instalados en Plaza que tratan datos de clientes del sector público peninsular y que necesitan acreditar la conformidad para renovar o ampliar contratos, con independencia de dónde esté ubicado ese cliente.
Empresas del sector agroindustrial y automoción —DO Somontano, DO Cariñena, jamón de Teruel DOP, aceite del Bajo Aragón DOP, proveedores del complejo de Stellantis en Figueruelas o del Motorland Aragón— que digitalizan procesos con cofinanciación pública y quedan dentro del alcance por la parte del contrato sujeta al ENS.
La disposición transitoria única del RD 311/2022 fijó el plazo de adaptación hasta el 5 de mayo de 2024. Todo sistema que entre en funcionamiento o sufra una modificación sustancial desde esa fecha nace dentro del alcance. Cada pliego que se publica en Aragoncompra es una señal de que el margen se estrecha.
El recorrido de la adecuación ENS
Seis fases que van del diagnóstico a la conformidad documentada.
El orden lo marcan las guías CCN-STIC: comienzo midiendo la distancia real entre tu situación y el ENS, y termino con el expediente listo para presentar ante la DGA, SALUD, las Diputaciones aragonesas o la Universidad de Zaragoza.
Recorrido de la adecuación ENS · de la fase 01 a la 06
Etapa
En qué consiste
Entregable y referencia
Fase 01 Diagnóstico inicial
Mido la distancia real entre tu situación y las exigencias del ENS, identifico los sistemas de información implicados y acoto el alcance del proyecto en el contexto aragonés.
Informe de diagnóstico (análisis GAP) con las brechas cuantificadas y ordenadas por prioridad de cierre.
Fase 02 Categorización
Evalúo cada sistema de información aplicando las cinco dimensiones de seguridad —CIDAT— del Anexo I del RD 311/2022. La dimensión más alta determina la categoría del conjunto.
Documento de categorización que fija si el sistema es básico, medio o alto, y qué vía de conformidad le corresponde.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas siguiendo la metodología MAGERIT, y construyo el mapa de riesgo residual con las medidas de tratamiento ordenadas.
Informe de análisis de riesgos y plan de tratamiento, referenciados a las guías CCN-STIC correspondientes.
Fase 04 Plan de adecuación y DdA
Redacto la política de seguridad de la información, selecciono las medidas del Anexo II que aplican y construyo la Declaración de Aplicabilidad (DdA), justificando control por control.
Plan de adecuación conforme a la guía CCN-STIC 806 más la Declaración de Aplicabilidad completa.
Fase 05 Implantación
Pongo en marcha junto a tu equipo las medidas del marco organizativo, operacional y de protección del Anexo II, generando las evidencias que acreditan cada una.
Evidencias de implantación medida por medida, ya estructuradas para presentar en auditoría o revisión documental.
Fase 06 Conformidad final
Reviso el conjunto del expediente antes del cierre: preparo la declaración autoevaluada en básica o acompaño durante la auditoría de entidad acreditada en media o alta.
Declaración de conformidad lista para presentar o expediente completo para la certificación acreditada, según el Anexo III del RD 311/2022.
Básica, media, alta: la categoría la decide el impacto potencial.
La categoría no se elige ni se negocia: la determina el análisis de las cinco dimensiones de seguridad del Anexo I —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT). La dimensión que alcance el nivel más alto marca la categoría de todo el sistema.
Categoría básica
Perjuicio limitado
La más habitual entre proveedores de software de gestión municipal y provincial que licitan con las Diputaciones de Huesca, Teruel o Zaragoza, o con administraciones locales a las que estas asisten. También frecuente en empresas de servicios avanzados que acceden a licitaciones de la DGA en Departamentos con datos de menor sensibilidad.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita mediante declaración de conformidad autoevaluada
Medidas proporcionadas al tamaño y perfil de la organización
Categoría media
Perjuicio grave
Frecuente en ISV que dan servicio al Servicio Aragonés de Salud, en plataformas de gestión de expedientes de la Universidad de Zaragoza o en sistemas que tratan datos de carácter personal de categoría sensible en el contexto de contratos con la DGA.
Al menos una dimensión alcanza el nivel medio
Obligatoria certificación por entidad acreditada por ENAC
Auditoría de conformidad con periodicidad bienal
Categoría alta
Perjuicio muy grave
Reservada a sistemas cuyo fallo causaría consecuencias irreversibles. En Aragón aparece en infraestructuras críticas del Servicio Aragonés de Salud, en sistemas de gestión de emergencias o en servicios esenciales cuya interrupción afectaría a miles de ciudadanos en las tres provincias.
Al menos una dimensión llega al nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Las dos rutas hacia la conformidad ENS
Básica → declaración de conformidad propia
Para los sistemas en categoría básica, la organización acredita el cumplimiento mediante una declaración de conformidad autoevaluada, apoyándose en las guías CCN-STIC y en el expediente documental que yo preparo. Cuando la DGA, las Diputaciones de Huesca, Teruel o Zaragoza, o cualquier otro organismo aragonés solicite la documentación durante el proceso de licitación, el expediente debe aguantar la revisión sin explicaciones adicionales. Mi trabajo consiste en dejarlo en ese nivel de solidez.
Media o alta → certificación acreditada por ENAC
Cuando el sistema alcanza la categoría media o alta, la conformidad requiere certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo contigo la totalidad del expediente y te acompaño durante la auditoría; quien firma el certificado es siempre la entidad acreditada, nunca el consultor. Cualquier servicio que prometa «garantizar la certificación» está incumpliendo lo que establece la norma.
Lo que obtienes al final del proyecto
Un expediente técnico que responde a cualquier revisión documental.
Cada pieza del expediente refleja tus sistemas reales, las decisiones que hemos tomado juntos y las evidencias que respaldan cada medida. No es un paquete de plantillas genéricas: es el mismo expediente que revisará el técnico de la DGA, el auditor de SALUD o el equipo de compras de Unizar.
El informe de diagnóstico (análisis GAP), con la distancia real entre tu punto de partida y las exigencias del ENS, brecha cuantificada por fases.
El documento de categorización, que asigna el nivel CIDAT a cada sistema e identifica la categoría resultante según el Anexo I del RD 311/2022.
El análisis de riesgos bajo metodología MAGERIT: inventario de activos, mapa de amenazas, valoración del riesgo residual y plan de tratamiento con prioridades.
La política de seguridad de la información aprobada por la dirección, junto con toda la normativa interna que el ENS exige como marco organizativo.
El plan de adecuación conforme a la guía CCN-STIC 806, con hitos, responsables y criterios de aceptación para cada fase del proyecto.
La Declaración de Aplicabilidad (DdA) con justificación individualizada de cada medida del Anexo II: aplicable, excluida y por qué en cada caso.
Las evidencias de implantación de las medidas organizativas, operacionales y de protección, ordenadas y listas para presentar en auditoría.
La declaración de conformidad o el expediente para auditoría acreditada, según la categoría del sistema, con revisión final previa y acompañamiento hasta el cierre.
Ángel Ortega Castro consultor ENS · Aragón
Por qué trabajar conmigo en Aragón
Conozco la contratación autonómica aragonesa desde los pliegos, no desde los folletos.
Soy Ángel Ortega Castro, consultor independiente especializado en adecuación al Esquema Nacional de Seguridad y en cumplimiento normativo para empresas que trabajan con el sector público español. Tengo sede en Valladolid y en Las Palmas de Gran Canaria, y trabajo en toda España en remoto, con desplazamientos presenciales cuando el proyecto los requiere.
Con las empresas aragonesas trabajo en los frentes que define el ecosistema de la Comunidad: proveedores de los Departamentos de la DGA, ISV que dan servicio al Servicio Aragonés de Salud en sus cuatro hospitales de referencia, empresas que licitan con las Diputaciones de Huesca, Teruel y Zaragoza, operadores logísticos de Plaza con clientes públicos peninsulares y empresas que quieren acreditar la conformidad ante la Universidad de Zaragoza para cualquiera de sus cuatro campus. Conozco los pliegos de prescripciones de esas administraciones y sé en qué punto del proceso suelen pedir la documentación y qué nivel de detalle exigen.
Soy transparente sobre lo que hago y lo que no: preparo el expediente y acompaño hasta la conformidad, pero en categorías media o alta es siempre una entidad acreditada por ENAC quien emite el certificado. Esa claridad, junto a la especialización exclusiva en seguridad y cumplimiento, es la razón por la que los clientes terminan el proyecto con la documentación que aguanta cualquier auditoría.
Consultor ENS independienteRD 311/2022 · Anexos I-IVMAGERIT v3 · análisis de riesgosGuías CCN-STICProyectos en Huesca · Teruel · Zaragoza
Escenarios que acompaño con frecuencia en Aragón
Tres perfiles que reconocerás si operas en el ecosistema aragonés.
TIC logístico · Plaza + DGA + 3 Diputaciones
Empresa TIC de Plaza que licita simultáneamente con la DGA y las tres Diputaciones aragonesas.
Un proveedor tecnológico instalado en la Plataforma Logística de Aragón que gestiona datos de expedientes de la DGA, de la Diputación de Huesca, de la Diputación de Teruel y de la Diputación de Zaragoza en contratos distintos y necesita una sola adecuación ENS que cubra el alcance común a todas esas relaciones contractuales sin multiplicar el coste documental. La adecuación delimita el perímetro de los sistemas que tratan información pública de cada organismo y genera un expediente único válido para los cuatro.
ISV sanitario · SALUD Aragón · 4 hospitales
ISV de gestión hospitalaria que da servicio a SALUD en los cuatro hospitales de referencia aragoneses.
Una empresa de software clínico o ERP hospitalario que opera en el Hospital Universitario Miguel Servet y en el Hospital Clínico Lozano Blesa en Zaragoza, en el Hospital San Jorge de Huesca y en el Hospital Obispo Polanco de Teruel, y que debe alcanzar la categoría media que exige SALUD Aragón dado el perfil de datos clínicos implicados. La adecuación diseña un alcance que cubre los cuatro nodos hospitalarios bajo un único expediente, reduciendo el coste de certificación y el tiempo de auditoría.
Consultora que coordina proyectos de digitalización con Aragón Exterior, el IAF y la Universidad de Zaragoza.
Una empresa de servicios avanzados que ejecuta proyectos de digitalización cofinanciados por el Instituto Aragonés de Fomento, trabaja en iniciativas de internacionalización con Aragón Exterior y mantiene contratos de plataformas tecnológicas con la Universidad de Zaragoza en sus campus de Huesca, Teruel y Zaragoza. Los tres organismos son entidades del sector público aragonés sujetas al ENS; la consultora necesita una adecuación que cubra el perímetro de todos los sistemas implicados sin duplicar los documentos de análisis de riesgos ni la Declaración de Aplicabilidad.
Presupuesto
¿Cuánto cuesta adecuarse al ENS en Aragón?
No hay un precio fijo universal, y deberías desconfiar de quien te lo dé antes de conocer tu situación. El coste del proyecto depende de cuántos sistemas entran en el alcance, de la categoría que les corresponda, de tu punto de partida y de si el proceso termina en declaración autoevaluada o en certificación acreditada por ENAC. En proyectos aragoneses que cubren simultáneamente varios organismos —DGA, Diputaciones y Unizar— el diagnóstico inicial identifica qué sistemas comparten alcance y cuáles requieren tratamiento separado, lo que reduce el coste global frente a hacer una adecuación por organismo.
Presupuesto cerrado tras el diagnóstico inicialAjustado a tu alcance real, tu categoría y tus sistemas concretos · sin sorpresas
En categorías media y alta hay que añadir el coste de la entidad certificadora acreditada por ENAC: ese importe lo factura directamente el tercero que realiza la auditoría de conformidad y es independiente de mis honorarios.
En la primera llamada repasamos el alcance de tus sistemas en Aragón, la categoría que previsiblemente les corresponde y a qué organismos aragoneses quieres licitar. A partir de ahí te hago llegar una propuesta cerrada, sin compromiso y con orientación honesta desde el primer momento. Reserva la llamada aquí →
Preguntas frecuentes · ENS en Aragón
Dudas que plantean con frecuencia las empresas aragonesas.
¿Qué diferencia hay entre acreditar el ENS ante la DGA y ante los Departamentos de Presidencia, Sanidad o Hacienda?+
La norma es idéntica para todos los departamentos de la Diputación General de Aragón —todos aplican el RD 311/2022—, pero cada departamento gestiona sus licitaciones de forma autónoma y con equipos técnicos de distinta especialización. El Departamento de Ciencia e Innovación, por ejemplo, aplica un criterio de solvencia técnica más detallado en contratos de infraestructura que el Departamento de Hacienda en contratos de menor componente tecnológico.
Lo que sí es igual en todos los casos es el expediente que necesitas: la categorización, el análisis de riesgos, el plan de adecuación, la Declaración de Aplicabilidad y las evidencias de implantación son los mismos documentos con independencia del departamento contratante. Una adecuación bien preparada sirve para presentarla ante cualquier departamento de la DGA sin rehacerla. Lo explico con más detalle en el servicio de consultoría ENS para empresas.
¿Deben los proveedores del Servicio Aragonés de Salud acreditar el ENS en los cuatro hospitales de referencia o solo en el que firma el contrato?+
El alcance del ENS lo define el sistema de información y los datos que trata, no el centro que firma el contrato. Si un ISV de gestión hospitalaria opera el mismo software de historia clínica en el Hospital Universitario Miguel Servet y en el Hospital Clínico Lozano Blesa en Zaragoza, en el Hospital San Jorge de Huesca y en el Hospital Obispo Polanco de Teruel, el alcance del ENS incluye los nodos del sistema en los cuatro centros, porque todos procesan datos de salud de categoría especialmente protegida.
En la práctica, esto se traduce en un único análisis de riesgos con los activos de cada nodo hospitalario identificados, y en un único expediente de adecuación que cubre el conjunto de la red. Certificar el alcance de los cuatro hospitales juntos en una sola auditoría es más eficiente que hacer cuatro auditorías separadas, y es el enfoque que SALUD Aragón suele aceptar cuando el pliego cubre la red completa.
¿Las Diputaciones de Huesca, Teruel y Zaragoza tienen el mismo nivel de exigencia documental?+
Las tres Diputaciones son administraciones locales sujetas al RD 311/2022 con idéntica obligación legal. En la práctica, el nivel de rigor con que revisan la documentación ENS de sus adjudicatarios varía: la Diputación de Zaragoza, por volumen de contratación y madurez de sus equipos TIC, aplica un escrutinio más sistemático; las de Huesca y Teruel, con menor volumen, a veces se apoyan en los criterios de la DGA como referencia.
La buena noticia para el proveedor es que las tres comparten el mismo marco normativo. Una adecuación bien construida para la Diputación de Zaragoza sirve para presentarla también ante las de Huesca y Teruel sin tener que adaptar el expediente de cero, lo que reduce el coste total si una empresa opera con las tres al mismo tiempo.
¿La Universidad de Zaragoza exige el ENS solo en el campus de Zaragoza o también en los de Huesca, Teruel y La Almunia?+
La Universidad de Zaragoza es una sola entidad pública y su obligación de conformidad con el ENS se aplica a todos sus sistemas de información, con independencia del campus donde estén desplegados. El campus Río Ebro y el campus San Francisco en Zaragoza, el campus de Huesca, el campus de Teruel y la Escuela Universitaria Politécnica de La Almunia de Doña Godina forman parte de la misma institución.
Para un proveedor de plataformas académicas o de infraestructura de red que opera en varios campus, el alcance del ENS incluye todos los nodos activos. El análisis de riesgos debe identificar los activos en cada ubicación, pero el expediente es único para el conjunto de Unizar. Certificar el alcance multi-campus en una sola auditoría es la vía habitual cuando el sistema está centralizado o cuando la arquitectura lo permite.
¿Cómo afecta el ENS a los operadores de Plaza que gestionan datos de clientes públicos fuera de Aragón?+
El ENS no exige la conformidad por el lugar donde está instalada la empresa, sino por los datos que trata. Un operador logístico o tecnológico instalado en la Plataforma Logística de Aragón (Plaza) que gestiona datos de expedientes, pedidos o contratos de un organismo público —aunque ese organismo esté en Madrid, Sevilla o Barcelona— queda dentro del alcance del ENS para el perímetro de los sistemas que procesan esa información pública.
La delimitación del alcance es el paso más crítico en estos proyectos: hay que identificar con precisión qué sistemas tratan datos del cliente público y cuáles quedan fuera, para no ampliar innecesariamente el alcance ni dejar fuera sistemas que deberían estar dentro. Ese trabajo de delimitación es exactamente lo que cubro en la fase de diagnóstico inicial, antes de arrancar cualquier otro análisis. Si quieres explorar tu caso concreto, reserva una primera llamada sin compromiso.
¿El IAF y Aragón Exterior son organismos públicos a efectos del ENS? ¿Sus contratos de digitalización obligan al proveedor?+
Sí. El Instituto Aragonés de Fomento (IAF) es una entidad de derecho público de la Diputación General de Aragón, y Aragón Exterior es la agencia de internacionalización del Gobierno de Aragón. Ambas son organismos del sector público aragonés sujetos al ámbito de aplicación del RD 311/2022.
Cuando el IAF co-financia un proyecto de digitalización y el proveedor accede a sistemas de información del organismo —aunque sea solo para reportar o integrar datos—, ese acceso puede situar al proveedor dentro del alcance del ENS. Lo mismo aplica a proyectos de internacionalización gestionados con los sistemas de Aragón Exterior. La clave está en si el proveedor trata información que pertenece al sistema de información del organismo: si lo hace, el ENS aplica; si solo recibe fondos sin acceso a sistemas, la obligación puede no materializarse. Cada caso requiere análisis concreto.
¿La ISO 27001 es suficiente para licitar con la DGA o con SALUD Aragón?+
No, cuando el pliego exige el ENS. La ISO 27001 es un estándar internacional voluntario de gestión de la seguridad de la información; el ENS es un reglamento de obligado cumplimiento para quien trabaja con la Administración pública española. Son marcos complementarios —comparten una base de controles muy significativa—, pero no son intercambiables. Si el pliego de la DGA, de SALUD Aragón o de las Diputaciones exige la conformidad ENS, la ISO 27001 no la sustituye.
La buena noticia es que, si ya tienes la ISO 27001 implantada o en proceso, ese trabajo se aprovecha directamente: la política de seguridad, el análisis de riesgos y buena parte de los controles son comunes. La adecuación al ENS parte de esa base y añade los requisitos específicos que la norma española exige y que la ISO no cubre, como la categorización CIDAT o la Declaración de Aplicabilidad con el formato del Anexo II. Consulta la guía ENS completa para más detalle sobre las diferencias.
Aragón · Capitales de provincia · Guías ENS
Consultoría ENS en las tres capitales aragonesas y recursos clave.
¿Arrancamos la adecuación ENS para tu empresa aragonesa?
Una primera llamada sin coste ni compromiso: en ella revisamos qué sistemas entran en tu alcance, qué categoría ENS les corresponde y a qué organismos aragoneses —DGA, SALUD, Diputaciones, Unizar— quieres licitar. Si encajamos, recibes una propuesta cerrada con el recorrido completo; si no, sales con el mapa para arrancar por tu cuenta.
Esta web usa cookies propias necesarias para funcionar. Con tu permiso, usa también cookies de analítica, propias y de Google Analytics (un tercero), para medir de forma agregada cómo se utiliza el sitio y de dónde llegan los contactos. Puedes aceptarlas, rechazarlas o elegir cuáles. Más información en la Política de cookies.
Configurar cookies
Permiten que la web funcione y recuerdan tu elección sobre cookies. Siempre activas.
Google Analytics 4, cargado mediante Google Tag Manager. Miden de forma agregada las visitas y registran la página y el canal por el que llegaste (cookie aoc_attr). Desactivadas por defecto.
