Saltar al contenido principal →
Buscar Acceso clientes
Reservar llamada
Cumplimiento y seguridad · Principado de Asturias · CCAA uniprovincial

Consultor ENS en Asturias

Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas asturianas que necesitan la conformidad con el Esquema Nacional de Seguridad (RD 311/2022) para licitar con el Gobierno del Principado de Asturias, acreditar ante el SESPA o dar servicio al HUCA, Cabueñes o San Agustín, y también con empresas del sector industrial pesado —Arcelor Avilés, Duro Felguera, Alcoa— que tienen contratos con organismos públicos del Principado.

Principado
Gobierno · Junta General · Consejerías
SESPA + 4 hospitales
HUCA · Cabueñes · San Agustín · Álvarez-Buylla
RD 311/2022
Marco normativo vigente
Costa asturiana con los Picos de Europa al fondo, Principado de Asturias
Asturias · paisaje entre el mar Cantábrico y los Picos de Europa. Foto: dominio público · Wikimedia Commons
El mercado ENS en Asturias · contexto específico

Una comunidad uniprovincial donde el ENS lo exigen el Principado, los cuatro grandes hospitales del SESPA y la Uniovi.

Asturias presenta una estructura administrativa singular en el mapa del ENS: es una comunidad autónoma uniprovincial, lo que significa que no existe ningún escalón de diputación provincial entre el Gobierno del Principado de Asturias y los ayuntamientos. Todo el peso de la administración autonómica recae en el propio Gobierno del Principado, con sus Consejerías —la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo, la Consejería de Salud, la Consejería de Educación y la Consejería de Ciencia, Industria y Empleo—, y en los tres grandes municipios: el Ayuntamiento de Oviedo (capital), el Ayuntamiento de Gijón (la ciudad más poblada) y el Ayuntamiento de Avilés. Esta concentración de poder administrativo en el nivel autonómico convierte al Gobierno del Principado en el contratante público más relevante de la región para las empresas de servicios TIC.

El segundo pilar de la demanda de conformidad ENS en Asturias es el SESPA (Servicio de Salud del Principado de Asturias), que gestiona la red hospitalaria pública con cuatro centros de referencia: el HUCA (Hospital Universitario Central de Asturias, en Oviedo), el hospital de referencia del sistema sanitario asturiano; el Hospital de Cabueñes (Gijón), que cubre el área sanitaria del oriente de la región; el Hospital San Agustín (Avilés), que atiende a la comarca del Avilés-Nalón; y el Hospital Álvarez-Buylla (Mieres), centro de referencia de la cuenca minera del Caudal. Los proveedores TIC con acceso a sistemas del SESPA y de estos hospitales tratan datos de salud en una escala que sitúa habitualmente las dimensiones de confidencialidad e integridad en nivel medio o alto, con la consiguiente exigencia de certificación por entidad acreditada por ENAC.

El tercer polo de demanda es la Universidad de Oviedo (Uniovi), con tres campus operativos: el Campus de Oviedo (humanidades, ciencias, medicina), el Campus de Gijón (ingeniería, náutica, administración de empresas) y el Campus de Mieres (geología, biotecnología, ciencias de la salud). La Uniovi gestiona sistemas de información académica, de investigación y de gestión que involucran a decenas de miles de usuarios y reciben financiación de programas europeos: sus proveedores TIC trabajan en un entorno donde la categorización CIDAT puede variar de básica a media en función del sistema de información concreto y de los datos que trata.

A estos tres polos se añade el tejido industrial pesado histórico de Asturias —ArcelorMittal Avilés, Duro Felguera, Alcoa San Ciprián— que, cuando opera como proveedor o contratista de organismos públicos del Principado, traslada los requisitos ENS a su cadena de suministro de servicios digitales. Y el ecosistema de innovación tecnológica encabezado por el PCTG (Parque Científico y Tecnológico de Gijón), el IDEPA (Instituto de Desarrollo Económico del Principado de Asturias) y la fundación Ficyt (Fundación para el Fomento en Asturias de la Investigación Científica Aplicada y la Tecnología), desde donde nacen empresas tecnológicas que frecuentemente son proveedoras de la administración y necesitan la conformidad ENS para acceder a licitaciones del Principado.

Y no menos relevante es el Cluster de Industria Asturiana, que agrupa a empresas manufactureras y de servicios industriales que cada vez más contratan soluciones digitales y buscan proveedores TIC con madurez acreditada en seguridad de la información. Este es el contexto en el que opera la consultoría ENS en Asturias: un mercado donde la demanda procede simultáneamente de la administración autonómica concentrada, del sistema sanitario con cuatro hospitales de referencia, de una universidad con tres campus y de un sector industrial que convive con organismos públicos en la misma cadena de valor.

Gobierno del Principado de Asturias: la administración uniprovincial que centraliza la contratación TIC

Sin diputación provincial de por medio, el Gobierno del Principado —a través de sus Consejerías de Presidencia, Reto Demográfico, Igualdad y Turismo, Salud, Educación y Ciencia, Industria y Empleo— es el contratante autonómico de referencia. Sus pliegos TIC incorporan el ENS como criterio de solvencia técnica de forma sistemática.

SESPA y los cuatro hospitales: datos de salud en categoría media o alta

El SESPA gestiona el HUCA en Oviedo, Cabueñes en Gijón, San Agustín en Avilés y Álvarez-Buylla en Mieres. El tratamiento de datos clínicos de cientos de miles de pacientes eleva casi invariablemente la dimensión de confidencialidad al nivel medio, con certificación acreditada obligatoria.

Uniovi en tres campus: expedientes académicos y fondos Horizon Europe

La Universidad de Oviedo opera en Oviedo, Gijón y Mieres con sistemas que van desde la gestión de expedientes de 24.000 estudiantes hasta proyectos de investigación con financiación europea. Sus proveedores TIC se mueven entre categoría básica y media según el sistema en alcance.

PCTG, IDEPA y Ficyt: el ecosistema de innovación que licitará con el Principado

El Parque Científico y Tecnológico de Gijón, el IDEPA y la Ficyt incuban y financian empresas tecnológicas que frecuentemente se convierten en proveedoras de la administración. La conformidad ENS es el requisito de entrada a los contratos del Principado para estas empresas en crecimiento.

Para entender el marco completo antes de empezar, tienes la guía ENS completa. Y si quieres ver cómo estructuro el acompañamiento de principio a fin, está el detalle del servicio de consultoría ENS para empresas. Para el contexto específico de la capital, también puedes consultar la página de consultor ENS en Oviedo.

Sectores con mayor demanda de ENS en Asturias

Industrial pesado, agroalimentario, naval, servicios universitarios y turismo: cinco sectores, un mismo requisito.

La economía asturiana tiene un perfil singular en el mapa regional español: convive el legado de la industria pesada —acero, aluminio, química— con un sector agroalimentario de alta diferenciación, una actividad naval consolidada en Gijón, servicios universitarios de alcance autonómico y un turismo de naturaleza en expansión. Cada uno de estos sectores genera, por razones distintas, una demanda de conformidad con el Esquema Nacional de Seguridad que conviene conocer antes de planificar el proceso de adecuación.

Industrial pesado (ArcelorMittal, Duro Felguera, Alcoa). Asturias alberga tres de los grandes referentes de la industria pesada española. ArcelorMittal Avilés es la factoría siderúrgica del grupo ArcelorMittal en el Cantábrico, con sistemas de control industrial, gestión de producción y trazabilidad que manejan datos operativos críticos. Duro Felguera, histórica ingeniería gijonesa reconvertida hacia proyectos internacionales de energía y petroquímica, tiene dependencias de software de diseño asistido y gestión de proyectos que, cuando trabajan con administraciones públicas o con clientes del sector energético regulado, se ven afectados por el ENS. Alcoa San Ciprián, aunque su planta principal está en Lugo, mantiene presencia relevante en la cadena de suministro y gestión en Asturias. Las empresas de servicios TIC que dan soporte tecnológico a estas industrias encuentran en el ENS el marco de referencia más reconocible para acreditar madurez ante los departamentos de seguridad de estos grandes grupos y, al mismo tiempo, para acceder a contratos públicos del Principado.

Agroalimentario (sidra, queso, leche). El sector agroalimentario asturiano tiene una identidad de marca excepcional: la sidra natural amparada por la DOP Sidra de Asturias, el queso Cabrales con denominación de origen protegida y la leche fresca de alta calidad son productos que compiten en mercados nacionales e internacionales con precios que reflejan esa diferenciación. Las empresas del sector —llagares, queserías, cooperativas lácteas— gestionan cada vez más plataformas digitales de trazabilidad, comercio electrónico y gestión de clientes que, cuando se integran con sistemas de la administración autonómica para la gestión de ayudas o certificaciones de calidad, entran en el perímetro del ENS. Los proveedores TIC especializados en agroalimentario asturiano necesitan la conformidad para acompañar el crecimiento digital del sector.

Naval (puerto de Gijón). El puerto de El Musel, en Gijón, es uno de los principales puertos del Cantábrico para el tráfico de graneles sólidos y combustibles. La Autoridad Portuaria de Gijón, como organismo público estatal, aplica el RD 311/2022 a sus sistemas de gestión portuaria, control de accesos y logística, trasladando el requisito ENS a sus proveedores TIC. Los astilleros y empresas de ingeniería naval del entorno gijonés que trabajan con la Armada o con organismos públicos también se ven afectados por el marco del ENS cuando sus plataformas digitales se integran con sistemas de la administración.

Turismo de naturaleza y deportes de aventura. Asturias ha consolidado un modelo turístico centrado en la naturaleza —Picos de Europa, Senda Costera, rutas del Camino de Santiago— que atrae a un visitante con mayor poder adquisitivo y mayor interacción con plataformas digitales. Las empresas de turismo que gestionan reservas, pagos y datos de clientes en sistemas conectados a plataformas de la administración turística del Principado, o que participan en licitaciones de promoción turística autonómica, pueden verse arrastradas al perímetro del ENS cuando esos contratos implican acceso a sistemas de información del Gobierno del Principado.

Servicios universitarios y de investigación (Uniovi, Ficyt, CSIC en Asturias). La Universidad de Oviedo, con sus tres campus en Oviedo, Gijón y Mieres, genera una demanda constante de proveedores TIC para sistemas de gestión académica, plataformas de teleformación, herramientas de investigación y sistemas de identidad digital. La Ficyt gestiona convocatorias de ayudas a la investigación e innovación que implican tratamiento de datos de proyectos con financiación pública. El Instituto Nacional del Carbón (INCAR-CSIC), con sede en Oviedo, también contrata servicios de software especializados. En todos estos casos, los proveedores TIC que acceden a sistemas con datos de investigación, datos personales de estudiantes o datos de gestión de fondos públicos se mueven entre categoría básica y media según el tipo de sistema en alcance.

Contratación pública · referencias verificadas

Licitaciones reales del Principado y del SESPA donde el ENS es requisito.

El ENS no es un requerimiento teórico en Asturias: aparece de forma sistemática en los pliegos de prescripciones técnicas del Gobierno del Principado, del SESPA, del Ayuntamiento de Oviedo, del Ayuntamiento de Gijón y del Ayuntamiento de Avilés. Las referencias siguientes son representativas de los contratos disponibles en la Plataforma de Contratación del Principado de Asturias y en el perfil del contratante del Estado.

  • Plataforma de Contratación del Principado de Asturias — El perfil del contratante del Gobierno del Principado, accesible en la Plataforma de Contratación del Principado de Asturias, incluye el ENS como criterio de solvencia técnica en los pliegos de servicios TIC de la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo, la Consejería de Salud y el propio SESPA. Los contratos de mantenimiento de sistemas de administración electrónica, plataformas de gestión sanitaria y soluciones de identificación digital incorporan habitualmente el requisito de conformidad con el RD 311/2022 en nivel básico o medio según la criticidad del sistema de información afectado.
  • SESPA · contratos de tecnología hospitalaria para el HUCA, Cabueñes, San Agustín y Álvarez-Buylla — El Servicio de Salud del Principado de Asturias (SESPA) publica sus contratos en la plataforma autonómica y en la Plataforma de Contratación del Sector Público del Estado (contrataciondelestado.es). Los contratos de sistemas de historia clínica electrónica, imagen médica, gestión de quirófanos y telemedicina para el HUCA (Hospital Universitario Central de Asturias), el Hospital de Cabueñes, el Hospital San Agustín y el Hospital Álvarez-Buylla exigen conformidad ENS en categoría media o alta, dado el tratamiento de datos de salud de la población asturiana. Las empresas que liciten a estos contratos sin la certificación acreditada por ENAC quedan excluidas del proceso.
  • Ayuntamientos de Oviedo, Gijón y Avilés · plataformas de administración electrónica — Los tres grandes municipios asturianos contratan servicios TIC para sus sedes electrónicas, portales de tramitación ciudadana, sistemas de gestión tributaria y plataformas de transparencia. El Ayuntamiento de Oviedo, el Ayuntamiento de Gijón y el Ayuntamiento de Avilés publican sus licitaciones en sus respectivos perfiles del contratante y, con frecuencia creciente, en la Plataforma de Contratación del Estado. Los pliegos de servicios de administración electrónica municipal incorporan el ENS como requisito de solvencia técnica, con categoría básica en la mayoría de los casos salvo que los sistemas gestionados impliquen datos de especial sensibilidad.

Si necesitas verificar si el contrato concreto al que aspiras en el Principado, el SESPA o en alguno de los tres grandes municipios incluye requisitos ENS, puedo revisarlo contigo en la primera llamada de diagnóstico, que es gratuita. Reserva aquí tu hueco.

Cómo trabajo · método

El camino hacia la conformidad ENS: seis fases, entregables concretos.

Tanto si tu empresa trabaja con la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo del Principado como si es proveedora del SESPA en el HUCA, en Cabueñes, en San Agustín o en Álvarez-Buylla, o si da soporte tecnológico a la Universidad de Oviedo en cualquiera de sus tres campus, el proceso de adecuación sigue la estructura que marcan las guías CCN-STIC. Lo que cambia según el organismo contratante es el nivel de exigencia y la vía de acreditación final.

Plan de adecuación al ENS · fases y entregables · Asturias 2026
Fase Qué hacemos Referencia y entregable
Fase 01
Diagnóstico inicial
Mapeo tus sistemas de información, delimito el alcance y sitúo la brecha real entre tu punto de partida y los requisitos del RD 311/2022. El resultado no es una lista genérica: es un retrato de tu empresa en el contexto asturiano. Informe de diagnóstico con brecha cuantificada por fase, prioridad de cierre y estimación del esfuerzo por sistema de información, referenciado al organismo contratante del Principado.
Fase 02
Categorización CIDAT
Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad— conforme al Anexo I del ENS y asigno la categoría que corresponde, con atención especial a las particularidades de los sistemas sanitarios del SESPA. Documento de categorización que fija si el sistema es básico, medio o alto, y que justifica la vía de conformidad que aplica ante el SESPA, el HUCA, Cabueñes, San Agustín o Álvarez-Buylla.
Fase 03
Análisis de riesgos
Identifico activos, amenazas y vulnerabilidades aplicando la metodología MAGERIT, priorizo según el riesgo residual y diseño el plan de tratamiento adaptado al entorno industrial y sanitario asturiano. Informe de análisis de riesgos con inventario de activos, valoración de riesgo por activo y plan de tratamiento priorizado por esfuerzo e impacto.
Fase 04
Política y DdA
Redacto la política de seguridad de la información adaptada a tu empresa y construyo la Declaración de Aplicabilidad (DdA), control a control, justificando la inclusión o exclusión de cada medida del Anexo II. Política de seguridad aprobable por la dirección y DdA en formato presentable ante el Gobierno del Principado, el SESPA o la entidad auditora acreditada por ENAC.
Fase 05
Implantación
Acompaño a tu equipo en la puesta en marcha de las medidas del marco organizativo, operacional y de protección, resolviendo las dudas de interpretación normativa en tiempo real, con coordinación específica para entornos industriales pesados si aplica. Evidencias de implantación —registros de configuración, actas de formación, procedimientos aprobados— listas para el expediente de conformidad ante el Principado o el SESPA.
Fase 06
Cierre de conformidad
Revisión integral del expediente antes del cierre: en categoría básica, apoyo la declaración autoevaluada; en media o alta —que es la norma en contratos del SESPA con los cuatro hospitales—, preparo el expediente para la auditoría de la entidad acreditada por ENAC y te acompaño durante el proceso. Declaración de conformidad lista (básica) o expediente completo para entidad acreditada (media/alta). La certificación la firma siempre el tercero acreditado por ENAC, nunca el consultor.

Solicita el diagnóstico gratuito →

Categorías del ENS en el contexto asturiano

¿Qué categoría necesita tu empresa para licitar en el Principado y con el SESPA?

La categoría no se negocia: la determina el impacto que tendría un incidente de seguridad sobre las cinco dimensiones del sistema de información que gestiona tu empresa. En el ecosistema asturiano, la casuística más frecuente es: las empresas que prestan servicios de soporte o software auxiliar a los Ayuntamientos de Oviedo, Gijón o Avilés, o a la Uniovi en Campus Oviedo, Gijón o Mieres, suelen situarse en categoría básica; las que acceden a sistemas del SESPA que tratan datos de salud del HUCA, Cabueñes, San Agustín o Álvarez-Buylla, en media o alta; y las que tienen contratos con la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo o la Consejería de Ciencia, Industria y Empleo para plataformas de tramitación electrónica, en un punto que exige categorización caso por caso.

Categoría básica

Impacto limitado

La más habitual entre proveedores de software de administración electrónica, herramientas de gestión documental o servicios de soporte TIC para el Ayuntamiento de Oviedo, el Ayuntamiento de Gijón, el Ayuntamiento de Avilés o la Uniovi en contratos de gestión administrativa general.

  • Ninguna dimensión CIDAT supera el nivel bajo
  • Se acredita con declaración de conformidad autoevaluada
  • Paquete de medidas proporcionado al tamaño de la empresa
Categoría media

Impacto grave

Frecuente en empresas que acceden a sistemas del SESPA con datos de salud —HUCA, Cabueñes, San Agustín, Álvarez-Buylla—, en proveedores de plataformas de investigación de la Uniovi con datos personales sensibles, o en ISV que gestionan sistemas con disponibilidad crítica para el Gobierno del Principado.

  • Al menos una dimensión CIDAT alcanza el nivel medio
  • Requiere certificación por entidad acreditada por ENAC
  • Auditoría bienal de conformidad
Categoría alta

Impacto muy grave

Reservada a sistemas cuyo fallo causaría consecuencias irreparables. En Asturias puede aparecer en sistemas de gestión asistencial hospitalaria central del HUCA o en plataformas de gestión de emergencias sanitarias del SESPA con cobertura de toda la comunidad autónoma.

  • Al menos una dimensión alcanza el nivel alto
  • Certificación obligatoria por entidad acreditada por ENAC
  • Auditoría bienal

Las dos vías para acreditar la conformidad ante organismos del Principado

Básica → declaración de conformidad ante el Principado, la Uniovi o los tres grandes ayuntamientos

En categoría básica, la empresa acredita el cumplimiento con una declaración de conformidad autoevaluada que puede presentar ante cualquier órgano contratante asturiano —el Gobierno del Principado a través de sus Consejerías, la Junta General del Principado de Asturias, la Universidad de Oviedo o los Ayuntamientos de Oviedo, Gijón y Avilés— en el momento que se lo exijan. Mi trabajo es dejarte el expediente tan robusto que esa declaración resista cualquier revisión sin necesidad de explicaciones adicionales.

Media / alta → certificación acreditada para el SESPA y los cuatro hospitales

En categoría media o alta, la conformidad solo puede acreditarse con certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Esto es la norma en contratos del SESPA con el HUCA, Cabueñes, San Agustín y Álvarez-Buylla. Preparo el expediente completo y te acompaño durante la auditoría; la firma del certificado siempre recae en la entidad acreditada, nunca en el consultor. Cualquier consultor que prometa garantizarte la certificación está mintiendo, y conviene saberlo antes de firmar.

El expediente que te entrego

Documentación que aguanta la revisión del Principado, el SESPA y ENAC.

Cuando la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo, la Consejería de Salud o el SESPA piden la documentación de conformidad durante un proceso de licitación, la diferencia entre ganar y quedar excluido puede estar en si el expediente está bien construido o es un PDF sin respaldo técnico real. Lo que te entrego no es una plantilla rellena: es el cuerpo documental completo que refleja tus sistemas, tus decisiones y tus evidencias, adaptado al entorno asturiano.

  • Informe de diagnóstico GAP: la distancia medida entre tu situación actual y los requisitos del RD 311/2022, desglosada por sistema de información y por fase, con referencia al organismo contratante del Principado que corresponde.
  • Documento de categorización CIDAT: valoración de las cinco dimensiones de seguridad para cada sistema en alcance, con la categoría resultante y la vía de conformidad que corresponde, referenciadas al Anexo I del ENS y a la particularidad de los sistemas del SESPA.
  • Análisis de riesgos con metodología MAGERIT: inventario de activos, mapa de amenazas, valoración del riesgo residual por activo y plan de tratamiento priorizado por esfuerzo e impacto.
  • Política de seguridad de la información aprobable por la dirección, junto con la normativa derivada —gestión de accesos, clasificación de la información, uso aceptable— que el ENS exige como marco organizativo.
  • Plan de adecuación (CCN-STIC 806) con calendario de implantación, responsables asignados, criterios de aceptación de cada hito y mecanismos de seguimiento.
  • Declaración de Aplicabilidad (DdA) con la justificación individualizada de cada medida del Anexo II: aplicable, aplicable con adaptación o excluida, y en todos los casos la razón documentada.
  • Evidencias de implantación de las medidas organizativas, operacionales y de protección: registros de configuración, actas de formación, procedimientos aprobados y cualquier otra prueba que el auditor o el órgano contratante del Principado pueda necesitar.
  • Declaración de conformidad o expediente para auditoría según la categoría, con revisión previa y acompañamiento hasta que el proceso de conformidad quede cerrado ante el SESPA, el Principado o la entidad ENAC.
aoc
Por qué elegirme para tu proceso de adecuación en Asturias

Conozco el ecosistema del Principado y la dinámica de los contratos del SESPA con sus cuatro hospitales.

Me llamo Ángel Ortega Castro. Opero desde Valladolid con clientes en toda España y desplazamientos a Asturias cuando el proyecto lo requiere —sin costes de desplazamiento añadidos al presupuesto base. He acompañado procesos de adecuación al ENS a empresas que trabajan con el Gobierno del Principado de Asturias, el SESPA, el HUCA en Oviedo, la Universidad de Oviedo y con grandes industriales de la región, y conozco de primera mano las particularidades de un mercado donde la ausencia de Diputación Provincial concentra toda la contratación pública de nivel intermedio en el propio Principado.

Lo que me diferencia de una consultora genérica no es solo el conocimiento normativo —el RD 311/2022 lo conocen muchos— sino haber estado en la sala cuando el técnico del SESPA pide explicaciones sobre la DdA de un sistema de historia clínica, o cuando el auditor de ENAC señala una evidencia de implantación que no aguanta la revisión. En Asturias, además, la combinación de sector industrial pesado y sector sanitario en la misma cadena de proveedores TIC genera casuísticas que exigen experiencia en ambos lados: he resuelto las dos.

Soy explícito sobre lo que hago y lo que no: preparo y adecúo; la certificación en categorías media o alta siempre la firma una entidad acreditada por ENAC, nunca yo. Esa honestidad, junto con el hecho de que no subcontrato el trabajo técnico, es lo que me separa de quien promete más de lo que puede entregar.

Consultor ENS independiente RD 311/2022 · Anexos I-IV MAGERIT · análisis de riesgos Guías CCN-STIC SESPA · Principado de Asturias Sector industrial pesado y sanitario
Perfiles que acompaño con frecuencia en Asturias

Tres escenarios reales del mercado asturiano.

TIC · PCTG Gijón · licitación con el Principado

Empresa tecnológica del Parque Científico y Tecnológico de Gijón que licita con el Gobierno del Principado.

Empresas de software y servicios TIC ubicadas en el PCTG (Parque Científico y Tecnológico de Gijón) que tienen o aspiran a contratos con la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo, la Consejería de Ciencia, Industria y Empleo o el Ayuntamiento de Gijón. Suelen situarse en categoría básica para contratos de administración electrónica o gestión documental, pero pueden verse afectadas por la categoría media si los sistemas en alcance procesan datos de menores o datos de carácter tributario. El PCTG ofrece un entorno de incubación que acelera el crecimiento, pero la primera licitación pública se queda en la puerta si el expediente ENS no está en orden. El acompañamiento desde el diagnóstico inicial hasta la declaración de conformidad se realiza en un plazo que permite ajustarse al calendario del pliego sin precipitaciones.

ISV sanitario · SESPA · cuatro hospitales

Proveedor de software clínico que da servicio al SESPA y a sus cuatro hospitales de referencia.

Empresas que venden o mantienen soluciones de historia clínica electrónica, imagen médica, sistemas de gestión de quirófanos o plataformas de telemedicina al Servicio de Salud del Principado de Asturias (SESPA), con contratos que alcanzan al HUCA en Oviedo, al Hospital de Cabueñes en Gijón, al Hospital San Agustín en Avilés y al Hospital Álvarez-Buylla en Mieres. El tratamiento de datos de salud de la población asturiana eleva la dimensión de confidencialidad al nivel medio en prácticamente todos los sistemas con acceso a historia clínica, lo que implica certificación obligatoria por una entidad acreditada por ENAC. La complejidad añadida en este escenario es la coordinación del alcance cuando un mismo proveedor da soporte a varios hospitales con sistemas parcialmente diferenciados: la solución pasa por definir un perímetro de sistemas que cubra los cuatro centros con una sola categorización y una DdA unificada.

Consultora industrial · Arcelor Avilés · Duro Felguera · Ayuntamiento Avilés + Principado

Consultora de servicios digitales que coordina contratos con ArcelorMittal Avilés, Duro Felguera y el Ayuntamiento de Avilés en paralelo.

Empresas de servicios TIC que trabajan simultáneamente para el sector industrial pesado —dando soporte a sistemas de control de producción o gestión de mantenimiento de ArcelorMittal Avilés o Duro Felguera— y para organismos públicos como el Ayuntamiento de Avilés o la Consejería de Ciencia, Industria y Empleo del Principado. En este perfil, la complejidad está en que las exigencias de seguridad de los grandes industriales no derivan del RD 311/2022 directamente, pero la empresa necesita un expediente ENS que satisfaga la parte pública del negocio sin crear una carga documental incompatible con los procesos internos ya implantados para los clientes industriales. La solución habitual es un alcance de sistemas bien delimitado que separa los entornos industriales privados de los sistemas que interactúan con la administración, con una DdA única que cubre lo exigido por el Principado y los tres grandes ayuntamientos.

Presupuesto · sin opacidad

¿Cuánto cuesta la conformidad ENS para una empresa asturiana?

El presupuesto depende de cuatro variables que solo puedo conocer después del diagnóstico: el número de sistemas de información dentro del alcance, la categoría ENS resultante —básica, media o alta—, el nivel de madurez actual en seguridad de la información de tu organización, y si el contrato que persigues —con el Principado, el SESPA, la Uniovi o los ayuntamientos de Oviedo, Gijón y Avilés— exige declaración autoevaluada o certificación acreditada por ENAC. Antes de conocer esas cuatro variables, cualquier cifra es una estimación sin base real.

Presupuesto cerrado tras el diagnóstico GAPSin cláusulas de ajuste por ampliación de alcance no prevista

En categorías media o alta —habituales en contratos del SESPA con el HUCA, Cabueñes, San Agustín o Álvarez-Buylla— hay que añadir, separado de mis honorarios, el coste de la entidad certificadora acreditada por ENAC. Ese importe lo factura directamente la entidad auditora; yo no lo intermedie ni percibo comisión sobre él.

La primera videollamada es gratuita y sin compromiso. Revisamos el alcance de tus sistemas, la categoría que previsiblemente le corresponde y el tipo de contratación que persigues —Gobierno del Principado, SESPA, Uniovi, Ayuntamiento de Oviedo, Gijón o Avilés, o sector industrial— y, si encajamos, recibes una propuesta cerrada. Si no, sales con orientación honesta para continuar por tu cuenta.

Reserva la primera llamada →

Preguntas frecuentes · Asturias y el Principado

Dudas específicas del mercado asturiano sobre el ENS.

¿Qué implica que Asturias sea una CCAA uniprovincial para los pliegos ENS del Principado?

La condición de comunidad autónoma uniprovincial de Asturias tiene una consecuencia directa en la arquitectura de la contratación pública: no existe ninguna Diputación Provincial entre el Gobierno del Principado y los ayuntamientos. Esto significa que el escalón de administración intermedia —que en comunidades pluriprovinciales como Castilla y León o Aragón genera demanda de ENS por parte de las diputaciones provinciales— no existe en Asturias. Toda la contratación de nivel supramunicipal recae en el Gobierno del Principado y sus organismos dependientes.

Para una empresa de servicios TIC, esto implica que el Gobierno del Principado —con sus Consejerías de Presidencia, Reto Demográfico, Igualdad y Turismo, Salud, Educación y Ciencia, Industria y Empleo— es el interlocutor de referencia para la contratación de nivel autonómico, sin el escalón intermedio de la diputación. El expediente ENS que prepares debe estar diseñado para satisfacer los requisitos del Gobierno del Principado y, si aplica, del SESPA, de la Uniovi y de los tres grandes ayuntamientos. Reserva aquí la primera llamada para revisar tu situación concreta.

¿El SESPA coordina los requisitos ENS de forma centralizada para los cuatro hospitales —HUCA, Cabueñes, San Agustín y Álvarez-Buylla— o cada hospital lo gestiona por separado?

El SESPA (Servicio de Salud del Principado de Asturias) aplica el ENS de forma centralizada desde su Dirección de Tecnologías de la Información, pero la relación operativa con los proveedores TIC se gestiona en gran medida a través de los propios centros hospitalarios. El HUCA (Hospital Universitario Central de Asturias, en Oviedo) es el hospital de mayor complejidad del SESPA y su referente tecnológico; el Hospital de Cabueñes (Gijón), el Hospital San Agustín (Avilés) y el Hospital Álvarez-Buylla (Mieres) tienen sus propias unidades de informática que participan en la gestión de los contratos tecnológicos.

Para un proveedor que da servicio a varios hospitales simultáneamente, la estrategia más eficiente es definir un perímetro de sistemas que cubra todos los centros, hacer una categorización unificada y construir un expediente ENS único que el SESPA pueda verificar de forma centralizada. Esto evita duplicar la documentación para cada hospital por separado y reduce el coste total del proceso de conformidad de forma significativa. Hablamos si quieres analizar tu caso concreto.

¿Cómo coordina el ENS entre el Ayuntamiento de Oviedo, el de Gijón y el de Avilés si no hay Diputación que centralice?

En Asturias, la función de apoyo a los municipios que en otras comunidades cumple la Diputación Provincial la asume parcialmente el propio Gobierno del Principado a través de la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo. Sin embargo, los Ayuntamientos de Oviedo, Gijón y Avilés tienen entidad suficiente —y presupuestos TIC propios— como para contratar servicios de administración electrónica y sistemas de gestión de forma autónoma. Cada uno publica sus licitaciones en su propio perfil del contratante.

Para una empresa de servicios TIC que trabaja o quiere trabajar con los tres grandes ayuntamientos asturianos, la pregunta sobre el ENS es práctica: ¿un solo expediente puede cubrir contratos con los tres municipios simultáneamente? La respuesta es sí, siempre que el alcance de sistemas esté bien definido. Si los sistemas que soportas para Oviedo, Gijón y Avilés son del mismo tipo y tienen categorías similares, una sola declaración de conformidad o un solo certificado ENAC —según la categoría— puede servir para los tres. La clave está en definir el alcance de forma que incluya los sistemas comunes sin incorporar elementos que eleven innecesariamente la categoría. Reserva una llamada para revisarlo.

¿Qué categoría ENS le corresponde a un proveedor TIC de la Universidad de Oviedo que trabaja en los tres campus —Oviedo, Gijón y Mieres?

La Universidad de Oviedo (Uniovi) gestiona sistemas de información en sus tres campus —Campus de Oviedo, Campus de Gijón y Campus de Mieres— que varían significativamente en su naturaleza y, por tanto, en la categoría ENS que generan para los proveedores TIC. No existe una única respuesta válida para todos los contratos de la Uniovi.

Los contratos de administración general —gestión de espacios, sistemas de reservas, herramientas de comunicación— suelen situarse en categoría básica. Los sistemas con acceso a expedientes académicos de estudiantes, que incluyen datos personales de menores en algunos casos, pueden alcanzar categoría media por la dimensión de confidencialidad. Los proyectos de investigación con financiación europea —programas Horizon Europe, proyectos del CDTI— que gestionan datos de resultados científicos pueden tener categorías variables. Y las plataformas de teleformación con datos de evaluación y expediente digital del estudiante requieren una categorización específica por sistema.

Si tu empresa trabaja con la Uniovi en Oviedo, en Gijón o en Mieres y tienes dudas sobre qué categoría te corresponde, el primer paso es el diagnóstico GAP. Reserva aquí sin coste.

¿Las empresas del sector industrial pesado —ArcelorMittal Avilés, Duro Felguera, Alcoa— están directamente obligadas por el ENS, o solo se ven afectadas a través de sus proveedores?

Las grandes empresas industriales privadas —ArcelorMittal Avilés, Duro Felguera o Alcoa— no están directamente sujetas al RD 311/2022, que en principio aplica a las entidades del sector público y a los proveedores de servicios de tecnología de la información y las comunicaciones que traten información de los sistemas de información de la Administración. Dicho esto, el ENS les afecta de dos formas indirectas.

Primera: cuando estas empresas contratan servicios TIC con sus propios subcontratistas y exigen en sus propios pliegos privados estándares de seguridad de la información —como ISO 27001 o la alineación con el ENS— como condición de solvencia técnica. Esta práctica es creciente en los grandes grupos industriales que quieren acreditar madurez en ciberseguridad ante sus propios clientes y ante reguladores europeos. Segunda: cuando las empresas TIC que trabajan para este sector industrial combinan esos contratos privados con contratos públicos del Principado de Asturias, y necesitan un expediente ENS que cubra la parte pública. Más sobre el servicio de consultoría ENS para empresas o reserva una primera llamada gratuita.

¿El PCTG (Parque Científico y Tecnológico de Gijón), IDEPA y Ficyt exigen ENS a las empresas que participan en sus programas?

El PCTG (Parque Científico y Tecnológico de Gijón), el IDEPA (Instituto de Desarrollo Económico del Principado de Asturias) y la Ficyt (Fundación para el Fomento en Asturias de la Investigación Científica Aplicada y la Tecnología) son organismos o fundaciones vinculados al Gobierno del Principado de Asturias que apoyan la innovación, la I+D y el desarrollo empresarial. Su relación con el ENS es indirecta pero relevante.

El IDEPA gestiona programas de ayudas e incentivos para la internacionalización y digitalización de empresas asturianas: cuando esos programas implican el acceso a sistemas de información del Principado o el uso de plataformas del Gobierno, los beneficiarios o sus proveedores pueden verse arrastrados al perímetro del ENS. La Ficyt gestiona convocatorias de I+D que, cuando tienen financiación pública, implican el tratamiento de datos de investigación en sistemas que pueden requerir categorización. Y las empresas que se instalan en el PCTG con vocación de convertirse en proveedores de la administración pública asturiana encuentran en el ENS el requisito de entrada más habitual para acceder a su primer contrato público. La guía ENS completa lo explica con detalle.

Siguiente paso

¿Empezamos tu adecuación al ENS en Asturias?

La primera llamada es gratuita y sin compromiso. En treinta minutos identificamos los sistemas de información de tu empresa que entran en alcance, la categoría que previsiblemente le corresponde y el tipo de contratación que persigues —Gobierno del Principado, SESPA con el HUCA o los hospitales de Gijón, Avilés y Mieres, Universidad de Oviedo en sus tres campus, ayuntamientos de Oviedo, Gijón y Avilés, o sector industrial pesado—. Si el encaje tiene sentido, recibes una propuesta cerrada; si no, sales con criterio claro para avanzar por tu cuenta.