Soy Ángel Ortega Castro, consultor independiente del Esquema Nacional de Seguridad. Ayudo a empresas de Barcelona y su entorno que venden tecnología o servicios a administraciones públicas a adecuar sus sistemas al ENS y a reunir el expediente de conformidad que piden los pliegos.
El Esquema Nacional de Seguridad es el conjunto de principios, requisitos y medidas de seguridad que el Real Decreto 311/2022 exige a las entidades del sector público y a los sistemas de las empresas privadas que, en virtud de un contrato, les prestan servicios o les proveen soluciones para el ejercicio de sus competencias. Mi trabajo consiste en llevar a una empresa desde «no sé por dónde empezar» hasta tener un expediente defendible ante la persona que revisa su oferta o ante el auditor.
En la práctica incluye cuatro cosas. Primero, delimitar el alcance: qué sistemas de información entran y cuáles no. Segundo, categorizar cada sistema según las cinco dimensiones del Anexo I. Tercero, cerrar la brecha con los controles del Anexo II, con análisis de riesgos, Declaración de Aplicabilidad, política y procedimientos. Y cuarto, acompañarte hasta la conformidad, que según la categoría es una declaración o una certificación emitida por un tercero.
No sustituyo a la entidad certificadora ni prometo resultados que dependen de ella. Lo que sí hago es que llegues a esa revisión con la documentación completa, coherente con tus sistemas reales y sin atajos que un auditor rechazaría al primer control.
El Real Decreto 311/2022 no distingue entre comunidades: se aplica igual en Barcelona que en cualquier otro punto de España. Afecta a todo el sector público, también al catalán, y alcanza a los sistemas de las empresas privadas que, en virtud de un contrato, les prestan servicios o les proveen soluciones para el ejercicio de sus competencias. Su artículo 2 exige que los pliegos incluyan los requisitos necesarios para asegurar la conformidad con el ENS, por ejemplo mediante declaraciones o certificaciones de conformidad.
En Cataluña existe además un organismo propio: la Agència de Ciberseguretat de Catalunya, entidad pública de la Generalitat dedicada a la ciberseguridad. En su web declara, entre otras actividades, la respuesta a incidentes y las auditorías de certificación en el ENS para entidades públicas. Si tu cliente es un organismo catalán, lo que se te exige como proveedor sigue siendo lo que fija el real decreto estatal y lo que recoja cada pliego.
Fuentes oficiales consultadas el 29 de octubre de 2026: Real Decreto 311/2022 (BOE-A-2022-7191) · Agència de Ciberseguretat de Catalunya.
Trabajo con empresas privadas, sobre todo tecnológicas y de servicios, que se encuentran en alguna de estas situaciones. Si la tuya es otra, lo vemos en la primera llamada, sin compromiso.
Mi base está en Valladolid y en Las Palmas de Gran Canaria, y atiendo a empresas de toda España. La mayor parte del proyecto funciona bien a distancia: reuniones por videollamada, revisión de documentación y acceso remoto a lo necesario. Me desplazo a Barcelona cuando una fase lo pide, por ejemplo la formación del equipo técnico o la preparación de la visita del auditor.
Trabajo yo mismo, sin subcontratar el análisis técnico. Tendrás un único interlocutor durante todo el proyecto y un calendario acordado desde el diagnóstico.
| Fase | En qué consiste | Entregable |
|---|---|---|
| Fase 01 Diagnóstico | Reviso los sistemas implicados y los contrasto con los controles del Anexo II. Acoto el alcance para que no crezca a mitad de proyecto. | Informe de brechas por control, que sustenta el presupuesto. |
| Fase 02 Categorización | Aplico las cinco dimensiones del Anexo I (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) a cada sistema del alcance. | Categoría de cada sistema: básica, media o alta. |
| Fase 03 Análisis de riesgos y Declaración de Aplicabilidad | Identifico amenazas y activos con una metodología reconocida y decido qué medidas del Anexo II se aplican y por qué. | Análisis de riesgos y Declaración de Aplicabilidad. |
| Fase 04 Documentación y medidas | Redacto la política de seguridad y los procedimientos, y acompaño al equipo técnico en la implantación de las medidas pendientes. | Política, procedimientos y registro de evidencias. |
| Fase 05 Auditoría y conformidad | Preparo el expediente para la revisión. En categoría básica, declaración de conformidad; en media y alta, en una empresa privada, la auditoría la hace una entidad acreditada por ENAC. | Expediente listo para la declaración o la certificación. |
La categoría determina cuántas medidas del Anexo II se aplican y cómo se acredita la conformidad. En categoría básica basta una declaración de conformidad basada en autoevaluación. En media y alta, en una empresa privada, hace falta certificación por una entidad acreditada por ENAC, que factura aparte de mis honorarios. Por eso la categorización es la segunda fase y condiciona el presupuesto. Si dudas entre ENS e ISO 27001, tienes la herramienta ISO 27001 o ENS: ¿cuál me toca?.
Una empresa de software o de servicios gestionados que presenta oferta a un organismo público y se encuentra con que el pliego pide conformidad con el ENS. Lo habitual es empezar por delimitar qué sistemas entran en el alcance y qué categoría les corresponde.
Una empresa con un contrato en marcha a la que el organismo le pide acreditar el ENS en la próxima renovación. El trabajo se centra en medir la distancia real con los controles del Anexo II y en cerrar esa brecha por orden de riesgo.
Una compañía que prevé vender al sector público y prefiere tener el expediente construido antes de encontrarse un pliego con plazo. Permite elegir con calma el alcance y repartir el esfuerzo.
De 3.000 a 25.000 € en función del tamaño de la empresa (los importes cercanos a 25.000 € son para grandes empresas), con un plazo de 2 a 6 meses, según el número de sistemas de información, la categoría y la madurez de partida. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.
El coste depende del número de sistemas dentro del alcance, de la categoría que resulte y de la madurez con la que partas. En categoría media o alta se suman, aparte, los honorarios de la entidad certificadora. Tienes el desglose completo en cuánto cuesta adecuarse y certificarse en el ENS.
No. El trabajo se hace a distancia en la mayor parte de las fases: reuniones por videollamada, revisión de documentación y acceso remoto a lo que haga falta. Si el proyecto lo pide, por ejemplo para una sesión de formación o para preparar la visita del auditor, me desplazo. Mi base está en Valladolid y en Las Palmas de Gran Canaria.
Es el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022. Se aplica a todo el sector público y a los sistemas de las empresas privadas que, en virtud de un contrato, les prestan servicios o les proveen soluciones para el ejercicio de sus competencias. Cuando una empresa vende a la administración, los pliegos pueden exigirle declaración o certificación de conformidad.
De 3.000 a 25.000 € en función del tamaño de la empresa (los importes cercanos a 25.000 € son para grandes empresas), con un plazo de 2 a 6 meses, según el número de sistemas de información, la categoría y la madurez de partida. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente. En categoría media o alta se suma, aparte, el coste de la entidad de certificación acreditada por ENAC.
Depende de la categoría del sistema. En categoría básica basta con una declaración de conformidad basada en autoevaluación; en media y alta, en una empresa privada, se exige certificación por una entidad acreditada. La categoría sale del análisis de las cinco dimensiones de seguridad del Anexo I, y por eso es lo primero que se determina.
No. Construyo y adecuo el expediente hasta que está listo, pero la certificación en categoría media o alta la emite una entidad acreditada por ENAC, independiente de mí. Desconfía de quien prometa el certificado sin serlo.
El ENS se aplica en Cataluña por el Real Decreto 311/2022, igual que en el resto de España. La Generalitat cuenta con su propia Agència de Ciberseguretat, pero eso no crea un régimen de adecuación distinto para el proveedor: lo que se te pide lo fija la norma estatal y el pliego concreto.
Repasamos el alcance de tus sistemas, la categoría que probablemente te corresponde y el tipo de contrato al que aspiras. Si decidimos trabajar juntos, sales de esa llamada con una propuesta cerrada y un calendario realista.