Me llamo Ángel Ortega Castro y me dedico a la consultoría ENS por cuenta propia, con sede en Valladolid y Las Palmas: trabajo a distancia con empresas de cualquier punto de España y me desplazo en persona cuando el proyecto lo pide. Acompaño a empresas de Ávila y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Ayuntamiento de Ávila, la Diputación Provincial de Ávila, la Delegación Territorial de la Junta de Castilla y León o la Escuela Politécnica Superior de Ávila (Universidad de Salamanca) sin quedar excluidas de los pliegos.
Ávila no es la sede del Gobierno de Castilla y León —esa condición corresponde a Valladolid—, pero es una de las nueve capitales de provincia de la comunidad autónoma y concentra su propio ecosistema de administración pública y tecnología. La ciudad, cuya Ciudad Vieja e Iglesias Extramuros fueron declaradas Patrimonio de la Humanidad por la UNESCO en 1985, sostiene un sector servicios que representa alrededor del 74 % de la economía provincial —turismo ligado a la muralla medieval y a Santa Teresa de Jesús, hostelería, comercio—. Junto a ese perfil turístico conviven organismos públicos con obligaciones de ciberseguridad muy concretas: el Ayuntamiento de Ávila, la Diputación Provincial de Ávila —que presta servicios de administración electrónica a los 248 municipios de la provincia, una de las más fragmentadas de España—, la Delegación Territorial de la Junta de Castilla y León en Ávila, con sede en el Pasaje del Císter y un Servicio Territorial de Movilidad y Transformación Digital propio, y la Escuela Politécnica Superior de Ávila, campus de la Universidad de Salamanca (USAL) activo desde 1991.
A este ecosistema institucional se suma un tejido industrial y tecnológico real. El Polígono Industrial de Las Hervencias, integrado en la Plataforma Logística de Castilla y León y con ocupación del 100 %, aloja subcontratistas de automoción —entre ellos la división de vehículos industriales ligeros de Nissan y el centro de seguridad vial CESVIMAP de MAPFRE— junto a la planta histórica de Nissan en Ávila, operativa desde 1956 y con cerca de 500 empleados dedicados a la fabricación de componentes para la Alianza Renault-Nissan-Mitsubishi. A pocos kilómetros, el Polígono Industrial de Vicolozano ha ampliado recientemente 700.000 m² de suelo industrial para atraer nuevas empresas. Alrededor de esta actividad conviven proveedores de servicios TIC, integradores y consultoras que, además de sus clientes industriales, prestan servicios digitales a la Administración provincial y municipal.
Para todas estas empresas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
El Servicio Territorial de Movilidad y Transformación Digital y el resto de servicios de la Delegación Territorial de la Junta de Castilla y León en Ávila exigen conformidad con el ENS a sus proveedores TIC.
El Ayuntamiento de Ávila y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Escuela Politécnica Superior de Ávila, campus de la Universidad de Salamanca, gestiona sistemas académicos y de investigación sujetos al ENS y traslada ese requisito a sus proveedores.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración castellanoleonesa.
Antes de arrancar conviene tener claro el marco completo: ahí te dejo la guía ENS completa y, si quieres ver el servicio con más detalle, la ficha de la consultoría ENS para empresas.
El Esquema Nacional de Seguridad no solo vincula a la Administración: alcanza también a toda empresa privada que le presta servicios por relación contractual. En Ávila y su provincia, ese círculo incluye a un número considerable de negocios locales que trabajan, directa o indirectamente, para el sector público.
Te doy algunos ejemplos concretos de perfiles con los que trabajo en la provincia:
La disposición transitoria única del RD 311/2022 concedió un plazo de 24 meses para adecuar los sistemas ya existentes, un margen que se agotó el 5 de mayo de 2024. Los sistemas de nueva creación, o los que sufren cambios significativos, deben cumplir desde el primer momento. Si tu empresa aún no ha empezado a trabajar en ello, cada nuevo concurso publicado en el perfil del contratante es una señal de que el tiempo se acorta.
Sigo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta la preparación de la declaración de conformidad o de la auditoría, y en cada paso trabajo contigo, no a distancia. Mi objetivo es que tu empresa avance de forma ordenada y llegue con una documentación sólida, la misma que puedas presentar ante la Delegación Territorial de la Junta de Castilla y León, el Ayuntamiento de Ávila, la Diputación Provincial o cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Me siento contigo a analizar la distancia entre tu punto de partida y lo que exige el ENS, y juntos delimitamos el alcance y los sistemas de información implicados. | Recibes un informe de diagnóstico con la distancia real hasta el cumplimiento y las brechas que conviene atacar primero. |
| Fase 02 Categorización | Valoramos juntos tus sistemas en las cinco dimensiones de seguridad (CIDAT) y fijamos la categoría que corresponde: básica, media o alta. | Documento conforme al Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Identifico contigo los activos, las amenazas y las salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos acompañado de su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redactamos la política de seguridad, seleccionamos las medidas y elaboro contigo la Declaración de Aplicabilidad (DdA), justificando cada control que resulte aplicable. | Plan de adecuación y declaración de conformidad, elaborados siguiendo la guía CCN-STIC 806. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo en cada uno de los pasos, resolviendo dudas sobre la marcha. | Evidencias de implantación, medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Hacemos la preparación y la revisión previa. Si tu categoría es básica, te doy soporte directo en la declaración autoevaluada; si es media o alta, te acompaño durante toda la auditoría de la entidad acreditada. | Documentación conforme al Anexo III. Yo preparo la conformidad; la certificación en categoría media o alta la emite, siempre, un tercero acreditado por ENAC. |
La categoría de un sistema no se decide a criterio personal: resulta de valorar el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y es la dimensión que alcanza el nivel más alto la que determina la categoría final.
Se da cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas afectadas. Es la categoría que más veces encuentro entre proveedores de servicios auxiliares.
Aparece cuando un incidente supondría un perjuicio grave, porque alguna dimensión alcanza el nivel medio. Es habitual en sistemas de gestión administrativa o en los que tratan datos sensibles.
Se aplica cuando un incidente causaría un perjuicio muy grave, incluso irreparable, porque alguna dimensión llega al nivel alto. Es propia de sistemas críticos o con datos especialmente sensibles.
Si tu sistema es de categoría básica, la conformidad se acredita con una declaración de conformidad autoevaluada: es la propia organización la que verifica el cumplimiento siguiendo las guías CCN-STIC. Yo me siento contigo a preparar la documentación y las evidencias, para que esa declaración aguante cualquier revisión del organismo contratante.
Si tu categoría es media o alta, la conformidad requiere certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo yo, paso a paso, para que la superes con garantías, pero la certificación siempre la emite la entidad acreditada, nunca quien te acompaña como consultor.
No es un PDF que archivas y no vuelves a abrir. Es el conjunto documental y técnico que sostiene tu conformidad, el mismo que el auditor, la Delegación Territorial de la Junta de Castilla y León, el Ayuntamiento de Ávila o cualquier otro organismo contratante va a querer encontrar en el expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —también a Ávila y al resto de Castilla y León—. He tratado de primera mano el ecosistema de licitación pública castellanoleonés: sé cómo se mueven los tiempos, cómo se redactan los pliegos y qué exigen habitualmente organismos como el Ayuntamiento de Ávila, la Diputación Provincial de Ávila, la Delegación Territorial de la Junta de Castilla y León en Ávila —con sus distintos servicios territoriales— o la Escuela Politécnica Superior de Ávila (Universidad de Salamanca).
Trabajo con un enfoque de acompañamiento persona a persona: nada de entregarte un manual y desaparecer. Estoy a tu lado en cada una de las fases, convierto la norma en decisiones que puedas ejecutar, y cuando cierro el proyecto tu equipo ya sabe sostener la conformidad por sí mismo.
Prefiero ser claro sobre lo que hago y lo que no: preparo y adecúo a tu organización de cara a la conformidad; la certificación en categorías media o alta la expide siempre una entidad acreditada por ENAC. Esa honestidad, unida al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras que trabajan en volumen.
Integradoras o consultoras que dan soporte a la sede electrónica del Ayuntamiento de Ávila o de la Diputación Provincial —que atiende a los 248 municipios de la provincia— y necesitan acreditar conformidad con el ENS para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Empresas tecnológicas de la ciudad que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Delegación Territorial de la Junta de Castilla y León en Ávila o a la Escuela Politécnica Superior de Ávila (Universidad de Salamanca), y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas instaladas en el Polígono Industrial de Las Hervencias o de Vicolozano que, además de prestar servicios a la industria auxiliar del automóvil, quieren ampliar su cartera hacia el Ayuntamiento de Ávila o la Diputación Provincial. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en esos pliegos.
No existe una cifra fija, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que pagues depende del alcance (cuántos sistemas entran en juego), de la categoría (básica, media o alta), de tu punto de madurez actual y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categorías media o alta, a mis honorarios hay que sumar el coste de la entidad certificadora acreditada por ENAC: es un gasto aparte, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. El Ayuntamiento de Ávila, como entidad local, está sujeto al ENS por el RD 311/2022 y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales al Consistorio o a sus organismos dependientes, la conformidad con el Esquema Nacional de Seguridad es un requisito de solvencia técnica que sus pliegos ya recogen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Diputación Provincial de Ávila presta servicios de administración electrónica y asistencia técnica a los 248 municipios de la provincia a través de su sede electrónica. Como entidad local sujeta al ENS, puede exigir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en los contratos de gestión de expedientes y sede electrónica que presta a los ayuntamientos de la provincia.
Sí. La Escuela Politécnica Superior de Ávila es un centro de la Universidad de Salamanca, institución pública sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, sede electrónica, plataformas de investigación—, también en su campus abulense, activo desde 1991. Puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Aunque la sede del Gobierno de Castilla y León está en Valladolid, la Junta mantiene en Ávila una Delegación Territorial —con sede en el Pasaje del Císter— que agrupa servicios territoriales como el de Movilidad y Transformación Digital, Sanidad, Agricultura o Cultura, Turismo y Deporte. Cualquier proveedor TIC que preste servicios digitales a estos servicios territoriales debe acreditar conformidad con el RD 311/2022, con independencia de dónde tenga la sede su empresa.
Sí, si tus sistemas prestan servicio a una administración pública o a un organismo del sector público. Los polígonos de Las Hervencias y Vicolozano alojan sobre todo industria auxiliar del automóvil, pero también empresas TIC que en muchos casos trabajan para el Ayuntamiento de Ávila o la Diputación Provincial. Si tu empresa está en alguno de estos espacios y presta servicios al sector público, el ENS te aplica igual que a cualquier otro proveedor TIC.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Ayuntamiento de Ávila, la Diputación Provincial o la Delegación Territorial de la Junta de Castilla y León, lo que el pliego exige es el ENS.
La primera conversación es gratuita y sin ningún compromiso. En ella repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de contratación pública a la que aspiras. Si el encaje es bueno, te llevas una propuesta cerrada; si no lo es, te llevas igualmente pautas claras para arrancar por tu cuenta.