Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente. Acompaño a empresas de Bilbao y de toda Bizkaia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno Vasco, la Diputación Foral de Bizkaia, el Ayuntamiento de Bilbao o la UPV/EHU sin quedar excluidas de los pliegos.
Bilbao no es la sede del Gobierno Vasco —esa está en Vitoria-Gasteiz—, pero es, con diferencia, la ciudad más grande de Euskadi y la capital del Territorio Histórico de Bizkaia, sede de la Diputación Foral de Bizkaia y del Ayuntamiento de Bilbao. Además, el Gobierno Vasco mantiene en la ciudad delegaciones territoriales y organismos dependientes —como Osakidetza, el Servicio Vasco de Salud— que gestionan sistemas de información sujetos al ENS igual que en Vitoria-Gasteiz. El resultado es que en Bilbao se concentra una parte muy significativa de la demanda de servicios digitales del sector público vasco.
La Diputación Foral de Bizkaia impulsa su propia transformación digital —oficina del dato, gobernanza de la inteligencia artificial, programas GovTech— y, a través de la Fundación BiscayTIK, dota a los municipios y mancomunidades del territorio de herramientas tecnológicas homogéneas y de e-administración. Toda esa red de proyectos se apoya en proveedores TIC externos que, al trabajar con una entidad foral sujeta al ENS, quedan alcanzados por el mismo marco normativo.
El Ayuntamiento de Bilbao gestiona buena parte de sus sistemas municipales a través de BilbaoTIK, S.A., su empresa pública de tecnología, que se encuentra actualmente en proceso de adaptación al Esquema Nacional de Seguridad. Es un indicador claro de hacia dónde va la exigencia con sus propios proveedores: si BilbaoTIK se adecúa al ENS, difícilmente aceptará contratistas que no lo estén. A este ecosistema se suma la Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU), cuyo Campus de Bizkaia —con sede en Leioa y centros en la propia Bilbao, como la Facultad de Economía y Empresa de Sarriko o la Escuela de Ingeniería de Bilbao— gestiona expedientes académicos y plataformas de administración electrónica también sujetos al ENS.
Buena muestra de la seriedad con la que el sector público vasco trata la ciberseguridad es que Cyberzaintza, la Agencia Vasca de Ciberseguridad, ha obtenido el reconocimiento del Centro Criptológico Nacional (CCN) como Órgano de Auditoría Técnica del sector público, con capacidad para auditar la ciberseguridad de las administraciones públicas vascas. Para las empresas privadas que quieran licitar en categoría media o alta, la certificación de conformidad sigue correspondiendo a una entidad acreditada por ENAC, pero el contexto confirma que el Esquema Nacional de Seguridad ya no es una opción en Euskadi: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos vascos lo recogen cada vez con más frecuencia como requisito de solvencia técnica.
Los contratos TIC del Gobierno Vasco y de la Diputación Foral de Bizkaia exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Bilbao, a través de BilbaoTIK, incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad del País Vasco, con centros en Leioa y en la propia Bilbao, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto, conviene tener claro el marco completo: puedes repasarlo con calma en la guía ENS completa y ver qué incluye exactamente el servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad no solo vincula a las administraciones: alcanza también a las empresas privadas que prestan servicios al sector público mediante relación contractual. En Bilbao y el resto de Bizkaia esa obligación llega a un número considerable de compañías, desde integradoras grandes hasta proveedores muy especializados.
Estos son algunos de los perfiles con los que trabajo habitualmente en el territorio:
El plazo de 24 meses que la disposición transitoria única del RD 311/2022 concedía para adecuar los sistemas ya existentes terminó el 5 de mayo de 2024; los sistemas nuevos, o los que hayan sufrido cambios relevantes, deben cumplir desde su puesta en marcha. Si tu empresa todavía no ha empezado, cada licitación que se publica en el perfil del contratante es un recordatorio de que el margen se sigue acortando.
Sigo el orden que marcan las guías CCN-STIC: arranco con el diagnóstico y termino con la preparación de la declaración de conformidad o de la auditoría, según el nivel que corresponda. La meta es llegar a la conformidad de forma ordenada, con una documentación que resista la revisión del Gobierno Vasco, el Ayuntamiento de Bilbao, la Diputación Foral de Bizkaia o cualquier otro organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Un informe que fija la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y asigno la categoría: básica, media o alta. | Conforme al Anexo I del ENS. Fija el nivel de exigencia y qué vía de conformidad te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | El informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas que aplican y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control. | Siguiendo la guía CCN-STIC 806: el plan de adecuación junto con la declaración de conformidad. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo acompañado en cada paso. | Las evidencias de implantación de cada medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Última revisión antes del cierre. Si la categoría es básica, te ayudo con la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III. Preparo la conformidad; la certificación en categoría media o alta la emite un tercero acreditado por ENAC. |
La categoría no es una elección subjetiva: resulta de valorar qué impacto tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión que alcance el nivel más alto es la que fija la categoría final.
Se aplica cuando un incidente tendría un efecto limitado sobre las funciones, los activos o las personas de la organización. Es la categoría más habitual entre los proveedores de servicios auxiliares.
Aplica cuando el perjuicio de un incidente sería grave: al menos una dimensión llega al nivel medio. Es común en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a los casos en que el perjuicio sería muy grave, incluso irreparable: alguna dimensión alcanza el nivel alto. Es propia de sistemas críticos o con información especialmente sensible.
Si tu sistema está en categoría básica, acreditas la conformidad con una declaración de conformidad autoevaluada: es tu propia organización quien verifica el cumplimiento siguiendo las guías CCN-STIC. Yo preparo la documentación y las evidencias para que esa declaración aguante cualquier revisión posterior del organismo contratante.
En categoría media o alta hace falta una certificación emitida por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla con garantías; quien certifica es siempre la entidad acreditada, nunca el consultor.
Nada de un PDF que se queda cerrado en una carpeta. Te entrego el cuerpo documental y técnico completo que sostiene la conformidad, el mismo que el auditor, el Gobierno Vasco, el Ayuntamiento de Bilbao, la Diputación Foral de Bizkaia o cualquier otro organismo contratante va a revisar dentro del expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente de cumplimiento normativo y seguridad de la información. Opero desde Valladolid y Las Palmas, con clientes en toda España, y combino el acompañamiento en remoto con desplazamientos a Bilbao cuando el proyecto lo pide. He trabajado lo suficiente con la contratación pública vasca como para conocer sus tiempos, sus pliegos y lo que suelen exigir organismos como el Gobierno Vasco, la Diputación Foral de Bizkaia, el Ayuntamiento de Bilbao (a través de BilbaoTIK) y la UPV/EHU.
Trabajo de forma cercana, persona a persona: no entrego un manual y desaparezco. Te acompaño en cada fase, convierto el texto de la norma en decisiones concretas, y cuando el proyecto termina tu equipo queda capacitado para mantener la conformidad por sí solo.
Soy claro sobre los límites de mi papel: preparo tu organización y la dejo lista para la conformidad, pero la certificación en categoría media o alta la emite siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, unida al rigor con la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con BilbaoTIK —la empresa municipal de tecnología del Ayuntamiento de Bilbao, ella misma en proceso de adaptación al ENS— o con la Diputación Foral de Bizkaia, y necesitan acreditar conformidad para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el Parque Tecnológico de Bizkaia (Zamudio y Derio) que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a Osakidetza, al Gobierno Vasco o a organismos forales, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Bilbao o Bizkaia que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia la Administración, ya sea con el Gobierno Vasco, la Diputación Foral o los municipios de Bizkaia a través de la Fundación BiscayTIK. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra estándar, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que pagues depende del alcance (número de sistemas), la categoría que te corresponda (básica, media o alta), tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categoría media o alta, a mis honorarios de consultoría hay que sumar el coste de la entidad certificadora acreditada por ENAC: es un gasto aparte, que factura directamente el tercero que hace la auditoría de conformidad.
Sí. El Gobierno Vasco, como administración autonómica, está plenamente sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Departamentos y organismos como Osakidetza (Servicio Vasco de Salud) o Cyberzaintza (Agencia Vasca de Ciberseguridad) exigen conformidad con el RD 311/2022 en sus licitaciones. Si tu empresa presta o aspira a prestar servicios digitales a cualquier organismo dependiente del Gobierno Vasco, la conformidad es ya un requisito habitual de solvencia técnica en los pliegos. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU) es una institución pública universitaria sujeta al ENS, con Campus de Bizkaia —sede en Leioa y centros en la propia Bilbao, como la Facultad de Economía y Empresa de Sarriko o la Escuela de Ingeniería de Bilbao— que gestiona sistemas de información sensibles: expedientes académicos, plataformas de investigación, administración electrónica propia. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022.
Sí. Tanto el Ayuntamiento de Bilbao —a través de su empresa municipal de tecnología, BilbaoTIK, que se encuentra ella misma en proceso de adaptación al ENS— como la Diputación Foral de Bizkaia son entidades sujetas al ENS por el RD 311/2022. La Diputación, además, impulsa a través de la Fundación BiscayTIK la digitalización de los municipios y mancomunidades del territorio, lo que extiende el requisito de conformidad a toda su cadena de proveedores TIC.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión para el Ayuntamiento de Bilbao, la Diputación Foral o los municipios de Bizkaia se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno Vasco, el Ayuntamiento de Bilbao o la Diputación Foral de Bizkaia, lo que el pliego exige es el ENS.
Empezamos con una conversación breve, sin coste y sin ningún compromiso, para repasar el alcance de tus sistemas, estimar la categoría que previsiblemente te corresponde y el tipo de contrato al que optas. Si veo que puedo ayudarte, te entrego una propuesta cerrada; si no encajamos, sales de la llamada con pistas claras para arrancar por tu cuenta.