Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas del País Vasco —y especialmente con las del ecosistema industrial y tecnológico de Bilbao— que necesitan acreditar el Esquema Nacional de Seguridad (RD 311/2022) para licitar con el Gobierno Vasco / Eusko Jaurlaritza, EJIE, Osakidetza o la Diputación Foral de Bizkaia. Bilbao tiene una particularidad que no tiene ninguna otra ciudad del clúster ENS: aquí conviven la sede del BBVA histórico, de Kutxabank y de Iberdrola con la mayor concentración de empresas TIC del País Vasco en el Parque Tecnológico de Bizkaia (Zamudio y Miñano). Para un proveedor que licita en este entorno, el ENS no es solo una casilla: es el primer filtro de solvencia técnica que decide si tu oferta entra o no en la mesa.
Bilbao · Guggenheim y ría del Nervión. Foto: Tommie Hansen · CC BY 3.0 · Wikimedia Commons
ENS en Bilbao · singularidad del ecosistema vasco
EJIE centraliza la tecnología del Gobierno Vasco. Sus pliegos exigen ENS.
La pieza clave que diferencia a Bilbao de cualquier otra capital española en materia de contratación pública TIC es EJIE — Eusko Jaurlaritzaren Informatika Elkartea (Sociedad Informática del Gobierno Vasco). EJIE actúa como el brazo tecnológico central del Eusko Jaurlaritza / Gobierno Vasco: gestiona la infraestructura digital de los departamentos autonómicos, coordina los sistemas de administración electrónica y publica o instrumenta la mayor parte de los contratos TIC del sector público vasco. Para una empresa que quiera trabajar con el Gobierno Vasco en cualquiera de sus departamentos —el Departamento de Gobernanza y Administración Pública, el Departamento de Salud o el Departamento de Economía y Hacienda—, pasar primero por EJIE es casi inevitable. Y los pliegos de EJIE llevan ya varios años incorporando la conformidad con el ENS como criterio de solvencia técnica o como requisito de acceso.
El segundo gran bloque de demanda pública en Bilbao lo articula Osakidetza, el Servicio Vasco de Salud. Con sede central en Vitoria-Gasteiz pero con sus mayores hospitales en el área metropolitana de Bilbao —el Hospital Universitario Cruces en Barakaldo, el Hospital Universitario Basurto en el corazón de la ciudad y el Hospital Galdakao-Usansolo en el corredor del Txorierri—, Osakidetza concentra una masa crítica de sistemas de información sanitaria: historia clínica electrónica, PACS (sistemas de imagen médica), laboratorios clínicos digitalizados y plataformas de citación integradas. El tratamiento de datos de salud sitúa sistemáticamente la dimensión de confidencialidad en nivel medio, lo que implica que los ISV que sirven a estos hospitales raramente pueden conformarse con la categoría básica.
A ese ecosistema institucional se añade la Diputación Foral de Bizkaia, que gestiona sus propios sistemas de administración tributaria —la Hacienda Foral de Bizkaia tiene competencias plenas sobre el IRPF, el IS y el IVA en el territorio histórico— y la digitalización de los servicios forales a través de contratos TIC propios. El Ayuntamiento de Bilbao, por su parte, canaliza gran parte de su contratación tecnológica a través de BilbaoTIK, S.A., su empresa municipal de tecnología, que ya ha iniciado su propio proceso de adecuación al ENS y que traslada ese requisito a su cadena de proveedores.
La Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU) aporta una cuarta dimensión de demanda. El campus de Bizkaia, con sede principal en Leioa, gestiona expedientes académicos y plataformas de investigación para decenas de miles de estudiantes, con sistemas de administración electrónica propios que la sitúan bajo el ámbito de aplicación del ENS. Sus convocatorias de mantenimiento de infraestructura y gestión de plataformas digitales exigen, con creciente frecuencia, acreditación de conformidad con el RD 311/2022.
A diferencia de otras ciudades donde la contratación pública TIC está dominada por uno o dos organismos, Bilbao tiene cinco capas simultáneas de demanda: EJIE/Gobierno Vasco, Osakidetza, Diputación Foral de Bizkaia, Ayuntamiento/BilbaoTIK y UPV/EHU. Una empresa tecnológica del Parque Tecnológico de Bizkaia con presencia en varios de esos clientes puede necesitar coordinar el alcance del ENS de forma transversal. Ahí es donde un consultor con experiencia en el ecosistema vasco marca la diferencia: no para repetir el mismo expediente cuatro veces, sino para definir un alcance coherente que cubra los distintos contratos con la máxima eficiencia.
Si prefieres repasar el marco normativo antes de seguir leyendo, la guía ENS completa te da el contexto general. Si ya tienes claro lo que necesitas, el servicio de consultoría ENS para empresas explica el proceso de principio a fin.
EJIE y el Gobierno Vasco / Eusko Jaurlaritza
La Sociedad Informática del Gobierno Vasco publica y gestiona los contratos TIC de los departamentos autonómicos. Sus pliegos incorporan el ENS como criterio de solvencia técnica de forma sistemática desde 2023.
Osakidetza: HIS, imagen médica y laboratorios
Los tres grandes hospitales del área metropolitana de Bilbao —Cruces, Basurto y Galdakao-Usansolo— contratan software sanitario con datos de salud en nivel medio. El ENS en categoría media es la norma, no la excepción, para sus ISV.
Parque Tecnológico de Bizkaia (Zamudio y Miñano)
Más de 200 empresas TIC tienen sede en Zamudio y Miñano. Muchas de ellas facturan a administraciones vascas y necesitan el ENS para no quedar fuera en la siguiente convocatoria.
Hacienda Foral de Bizkaia y SPRI
La Diputación Foral de Bizkaia gestiona su propia hacienda foral y, a través de SPRI (Sociedad para la Promoción y Reconversión Industrial), impulsa programas GovTech que alcanzan a los proveedores TIC del territorio.
¿Está tu empresa dentro del alcance?
Quién tiene obligación real de cumplir en el ecosistema vasco.
El RD 311/2022 alcanza a cualquier entidad privada que preste servicios a la Administración pública española mediante relación contractual, con independencia de su tamaño o del tipo de servicio. En el País Vasco ese radio es peculiar porque la estructura foral añade un nivel de administración —las diputaciones forales de Álava, Bizkaia y Gipuzkoa— que tiene competencias tributarias propias y publica sus propios pliegos, independientes de los del Gobierno Vasco. Para las empresas bilbaínas, eso significa que el ENS puede ser exigible simultáneamente por varios organismos contratantes distintos.
Los perfiles con los que trabajo habitualmente en Bilbao y Bizkaia:
Empresas TIC del Parque Tecnológico de Bizkaia —en Zamudio, Derio y el polo de Miñano— que tienen contratos de mantenimiento, soporte o desarrollo de software con EJIE, con el Departamento de Gobernanza del Gobierno Vasco o con la Agencia Vasca de Ciberseguridad (Cyberzaintza), y que necesitan acreditar el ENS para participar en el siguiente concurso.
ISV especializados en sistemas de información sanitaria (HIS, PACS, laboratorio, citación) que prestan servicio al Hospital Universitario Cruces, al Hospital Universitario Basurto o al Hospital Galdakao-Usansolo, todos integrados en Osakidetza. El tratamiento de datos de salud eleva la categoría ENS resultante con asiduidad a nivel medio.
Consultoras e integradoras que coordinan proyectos de digitalización en los que la infraestructura corporativa está gestionada por EJIE pero los sistemas de aplicación los mantiene un tercero privado. Esta coordinación entre el proveedor y EJIE como ente gestor de la infraestructura genera un alcance ENS que hay que definir cuidadosamente para no dejar flancos abiertos ni duplicar trabajo innecesariamente.
Proveedores del Ayuntamiento de Bilbao que trabajan con o a través de BilbaoTIK, S.A., la empresa pública municipal de tecnología, que está incorporando el ENS a sus propios pliegos a medida que avanza su adecuación interna.
Empresas de servicios digitales que licitan o quieren licitar con la Diputación Foral de Bizkaia en áreas como la administración tributaria foral, los servicios sociales digitalizados o la digitalización de los municipios del territorio a través de BiscayTIK.
Firmas de consultoría o integradores que trabajan simultáneamente con la UPV/EHU y con organismos del Gobierno Vasco y necesitan un alcance ENS cohesionado que cubra ambos clientes sin multiplicar el esfuerzo documental.
Empresas del sector industrial pesado —siderurgia, máquina herramienta, energía— que están desarrollando divisiones de servicios digitales para el sector público vasco, incluyendo programas de Bizkaia:Talent o licitaciones en el marco de la estrategia de reindustrialización de SPRI.
El periodo transitorio del RD 311/2022 expiró el 5 de mayo de 2024. Desde entonces, los sistemas nuevos o con cambios significativos deben cumplir desde la puesta en producción, y los pliegos publicados pueden exigir conformidad vigente en el momento de presentación de la oferta. Esperar al próximo pliego para empezar la adecuación suele significar quedar fuera de él.
Pliegos vascos con exigencia ENS: tres tipos de expediente habituales.
El portal KEJI — Contratación Pública en Euskadi es el punto de referencia para los pliegos del Gobierno Vasco, las diputaciones forales y sus organismos dependientes. A diferencia del portal estatal, KEJI publica la licitación en las dos lenguas oficiales —euskera y castellano— y organiza los expedientes por órgano de contratación y familia de producto. Filtrar por «sistemas de información», «ciberseguridad» o «servicios TIC» en KEJI y cruzarlo con los organismos que dependen del Gobierno Vasco o de la Diputación Foral de Bizkaia permite localizar rápidamente los contratos donde el ENS aparece como requisito de solvencia técnica o como condición especial de ejecución.
Contratos de mantenimiento y evolución de sistemas de información del Gobierno Vasco gestionados por EJIE.
EJIE publica con regularidad expedientes de soporte y evolución de plataformas de administración electrónica, portales de servicios ciudadanos y sistemas de gestión interna de los departamentos del Eusko Jaurlaritza. La conformidad con el ENS —en categoría básica para los sistemas menos críticos, y media cuando hay tratamiento de datos tributarios, de salud o de servicios sociales— se incorpora como requisito de solvencia técnica o como cláusula técnica de obligado cumplimiento. Puedes localizar los expedientes activos en el perfil del contratante de EJIE dentro de la plataforma KEJI.
Licitaciones de Osakidetza para sistemas HIS, PACS y plataformas de laboratorio en los hospitales de Bizkaia.
El Servicio Vasco de Salud publica contratos de sistemas de historia clínica electrónica, adquisición e integración de sistemas de imagen médica (PACS/RIS) y plataformas de laboratorio clínico para centros como el Hospital Universitario Cruces o el Hospital Galdakao-Usansolo. El tratamiento de datos de salud de nivel sensible hace que la categoría ENS resultante sea habitualmente media, lo que exige certificación emitida por entidad acreditada por ENAC. Los pliegos de Osakidetza están disponibles en KEJI bajo el órgano de contratación «Osakidetza». También pueden encontrarse referencias en la Plataforma de Contratación del Sector Público para los contratos que superan los umbrales europeos.
Expedientes de la Diputación Foral de Bizkaia para sistemas de administración tributaria y servicios forales digitalizados.
La Hacienda Foral de Bizkaia gestiona la recaudación del IRPF, el IS y el IVA para los contribuyentes del territorio histórico con plena autonomía. Los sistemas de información tributaria que soportan esta gestión son de alta criticidad; la categoría ENS que resulta de su categorización raramente baja de media. La Diputación Foral de Bizkaia publica sus propios pliegos en KEJI con independencia del Gobierno Vasco, por lo que el proveedor TIC de la Hacienda Foral puede tener que acreditar el ENS ante un órgano contratante distinto de EJIE y con un ritmo de auditoría propio. Consulta los expedientes en la plataforma KEJI filtrando por el órgano «Diputación Foral de Bizkaia».
Si tu empresa ya está presente en alguno de estos expedientes o quiere entrar en ellos, el primer paso es un diagnóstico GAP que mida la distancia real entre tu situación actual y la conformidad que pide el pliego. La primera llamada es sin coste y sin compromiso.
El proceso paso a paso
Las fases del proyecto ENS, calibradas para el ecosistema vasco.
El itinerario sigue las guías CCN-STIC del Centro Criptológico Nacional: diagnóstico, categorización, análisis de riesgos, plan de adecuación y conformidad final. En el contexto vasco hay un paso adicional que no aparece en los proyectos de otras comunidades: la coordinación con EJIE cuando la infraestructura de TI está externalizada al Gobierno Vasco. En esos casos, el alcance del ENS no se puede definir sin acordar con EJIE qué parte del sistema gestiona el proveedor y qué parte gestiona la propia administración, porque las responsabilidades de conformidad se distribuyen entre ambas partes.
Fases del proyecto ENS · qué entrego en cada etapa · contexto vasco
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Comparo tu situación actual con lo que exige el ENS. En Bilbao, esto incluye identificar si hay responsabilidades compartidas con EJIE u Osakidetza como co-titulares del sistema.
Informe GAP con las brechas ordenadas por prioridad y la delimitación clara del alcance, distinguiendo qué sistemas son responsabilidad del proveedor y cuáles de la administración.
Fase 02 Categorización
Valoro cada sistema en las cinco dimensiones CIDAT. En Osakidetza, la dimensión de confidencialidad de los datos de salud lleva habitualmente a categoría media. En EJIE, depende del departamento y el tipo de dato gestionado.
Documento de categorización conforme al Anexo I del RD 311/2022. Determina la vía de conformidad: declaración autoevaluada (básica) o certificación ENAC (media/alta).
Fase 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT v3. En entornos industriales bilbaínos (siderurgia, energía, máquina herramienta) con sistemas OT/IT convergentes, el mapa de amenazas incluye vectores específicos de ese tipo de infraestructura.
Informe de análisis de riesgos con inventario de activos, valoración del riesgo residual y plan de tratamiento priorizado.
Fase 04 Plan de adecuación + DdA
Redacto la política de seguridad, selecciono las medidas del Anexo II y elaboro la Declaración de Aplicabilidad, justificando cada control aplicado o excluido. En proveedores con pliegos en euskera, reviso que la documentación cumpla los requisitos de bilinguismo que el organismo contratante pueda exigir.
Plan de adecuación conforme a CCN-STIC 806 + Declaración de Aplicabilidad completa y argumentada.
Fase 05 Implantación
Desplegamos las medidas organizativas, operacionales y de protección del Anexo II junto con tu equipo, generando las evidencias documentales que el auditor pedirá.
Evidencias de implantación de cada medida, ordenadas y referenciadas para la revisión del auditor ENAC o del técnico del órgano contratante.
Fase 06 Conformidad final
Revisión previa completa y acompañamiento hasta el cierre. Si la categoría es básica, preparamos la declaración de conformidad autoevaluada. Si es media o alta, te acompaño durante la auditoría de la entidad acreditada por ENAC.
Conforme al Anexo III del RD 311/2022. La certificación en categoría media o alta la emite siempre una entidad acreditada por ENAC, nunca el consultor.
Tres situaciones concretas que me encuentro cada semana.
Empresa TIC de Zamudio o Miñano · EJIE y Gobierno Vasco
ISV o integradora del Parque Tecnológico que licita con el Gobierno Vasco a través de EJIE.
La empresa tiene sede en el Parque Tecnológico de Bizkaia —Zamudio, Derio o Miñano— y presta servicios de software o soporte TIC a uno o varios departamentos del Eusko Jaurlaritza a través de EJIE. El siguiente pliego o la renovación del contrato exige conformidad con el ENS, y hay que determinar si el alcance incluye solo los sistemas propios del proveedor o también los segmentos de infraestructura gestionados por EJIE. La coordinación del alcance con EJIE es el trabajo previo más crítico del proyecto.
ISV de sistemas sanitarios · Osakidetza
Proveedor de HIS, imagen médica o laboratorio para los hospitales de Bizkaia de Osakidetza.
La empresa desarrolla o mantiene sistemas de historia clínica electrónica, PACS, RIS o plataformas de laboratorio para el Hospital Universitario Cruces, el Hospital Universitario Basurto o el Hospital Galdakao-Usansolo. El tratamiento de datos de salud eleva la categoría ENS a media, lo que exige certificación por entidad acreditada por ENAC. El expediente debe reflejar con precisión las responsabilidades del proveedor en el ciclo de vida del dato clínico, diferenciándolas de las del propio hospital como responsable del tratamiento.
Firma que coordina contratos con la Diputación Foral de Bizkaia, la UPV/EHU y el Ayuntamiento de Bilbao simultáneamente.
La empresa tiene contratos vivos con tres organismos públicos distintos —la Diputación Foral para servicios tributarios, la UPV/EHU para su campus de Bizkaia en Leioa y el Ayuntamiento de Bilbao a través de BilbaoTIK—, cada uno con sus propios pliegos y ritmos de certificación. El reto no es hacer tres proyectos ENS, sino definir un único alcance que cubra los tres contratos con el mínimo de duplicación documental, aprovechando que los marcos de control del ENS son los mismos en todos los casos. Eso ahorra entre un 30 y un 40 % del coste respecto a tres adecuaciones independientes.
Categorías del ENS · qué corresponde en el País Vasco
Básica, media o alta: cómo se determina en el ecosistema vasco.
La categoría no se elige ni se negocia: resulta de valorar el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. En Bilbao y Bizkaia, hay tres factores que elevan la categoría con mayor frecuencia que en otras provincias: el tratamiento de datos de salud en el entorno de Osakidetza, la criticidad de los sistemas tributarios de la Hacienda Foral de Bizkaia, y los sistemas de infraestructura crítica del sector energético e industrial con componentes TIC integrados.
Categoría básica
Impacto limitado
Se aplica cuando ninguna de las cinco dimensiones CIDAT supera el nivel bajo. En el ecosistema vasco, es habitual en proveedores de herramientas de gestión administrativa de bajo riesgo para municipios de Bizkaia o para servicios no críticos del BEC (Bilbao Exhibition Centre).
Ninguna dimensión CIDAT en nivel medio o alto
Se acredita con declaración de conformidad autoevaluada
Expediente documental robusto que resista la revisión del organismo contratante
Categoría media
Impacto grave
Al menos una dimensión alcanza el nivel medio. Es la categoría más frecuente en proveedores de Osakidetza, de la Hacienda Foral de Bizkaia y de los sistemas de administración electrónica de EJIE para departamentos con datos sensibles.
Al menos una dimensión CIDAT en nivel medio
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Alguna dimensión alcanza el nivel alto. En Bilbao, puede darse en sistemas de infraestructura crítica del sector energético —Iberdrola tiene su cuartel general histórico en la ciudad— o en sistemas tributarios forales con datos fiscales de especial criticidad.
Al menos una dimensión CIDAT en nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Las dos vías para acreditar la conformidad ante los organismos vascos
Básica → declaración de conformidad autoevaluada
Cuando la categoría resultante es básica, la acreditación se hace mediante una declaración de conformidad propia, elaborada con las guías CCN-STIC y sostenida por el expediente documental que yo preparo. El organismo contratante —EJIE, el Ayuntamiento de Bilbao o la UPV/EHU— puede solicitar esa documentación en cualquier fase del proceso de adjudicación o durante la ejecución del contrato.
Media o alta → certificación acreditada por ENAC
Cuando la categoría es media o alta —habitual en Osakidetza y en la Hacienda Foral—, la conformidad exige certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo el expediente completo y te acompaño durante la auditoría; la firma del certificado es siempre de la entidad certificadora, nunca del consultor. Quien prometa la certificación sin ser entidad ENAC está incurriendo en publicidad engañosa.
Lo que recibes
El cuerpo documental que sostiene tu conformidad ante EJIE y Osakidetza.
Lo que te entrego no es un dossier genérico adaptado con find-and-replace. Es el expediente técnico y documental construido sobre tus sistemas, tu alcance y las particularidades de los organismos vascos con los que trabajas: los técnicos de EJIE, los responsables de contratación de Osakidetza y los auditores ENAC detectan a los cinco minutos un expediente fabricado en serie. Cada documento refleja tus decisiones concretas, tus evidencias reales y la argumentación que sostiene cada medida del Anexo II.
Informe de diagnóstico (análisis GAP): cuantifica la distancia entre tu situación de partida y los requisitos del ENS, con especial atención a la delimitación de responsabilidades cuando hay co-titularidad con EJIE u Osakidetza.
Documento de categorización: valoración de las cinco dimensiones CIDAT para cada sistema dentro del alcance, con la categoría resultante referenciada al Anexo I del RD 311/2022.
Análisis de riesgos MAGERIT v3: inventario de activos, mapa de amenazas —incluyendo vectores específicos de OT/IT en entornos industriales bilbaínos si aplica—, valoración del riesgo residual y plan de tratamiento.
Política de seguridad de la información aprobada por dirección y la normativa derivada que el ENS exige como marco organizativo.
Plan de adecuación conforme a CCN-STIC 806: calendario, responsables y criterios de aceptación para cada hito, con los plazos ajustados a las fechas del pliego o la licitación que persigues.
Declaración de Aplicabilidad (DdA): justificación individualizada de cada medida del Anexo II —aplicable o excluida, y por qué—, con la coherencia interna que los auditores ENAC comprueban en primer lugar.
Evidencias de implantación de las medidas organizativas, operacionales y de protección, organizadas y referenciadas para facilitar la revisión del auditor.
Declaración de conformidad o expediente de auditoría ENAC según tu categoría, con revisión previa y acompañamiento hasta cerrar el proceso de conformidad.
Ángel Ortega Castro consultor ENS · Bilbao y País Vasco
Por qué contar conmigo
Conozco el modelo de contratación vasco, incluyendo el papel de EJIE.
Soy Ángel Ortega Castro, consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y me desplazo a Bilbao cuando el proyecto lo requiere. He trabajado con suficiente profundidad en el ecosistema de contratación pública vasca como para entender sus particularidades: la posición central de EJIE como intermediario tecnológico del Gobierno Vasco, la estructura descentralizada de Osakidetza con hospitales que tienen sus propias unidades de contratación, y la doble capa administrativa que suponen la Diputación Foral de Bizkaia y el propio Gobierno Vasco actuando en paralelo sobre el mismo territorio.
He acompañado proyectos de adecuación al ENS a empresas con contratos en hospitales de Osakidetza, con departamentos del Eusko Jaurlaritza y con la Diputación Foral. Conozco los puntos donde los expedientes mal construidos se rompen ante un auditor ENAC y los argumentos que funcionan cuando un técnico de EJIE o de la Hacienda Foral revisa la solvencia técnica de una oferta.
Soy preciso sobre el límite de mi trabajo: preparo y adecúo tu organización hasta la conformidad, pero quien firma la certificación en categoría media o alta es siempre la entidad acreditada por ENAC. Trabajo sin subcontratar el análisis técnico a terceros ni fabricar atajos que un auditor rechazaría en el primer control documental.
Una nota sobre los auditores ENAC y el idioma: la documentación del expediente ENS puede presentarse en castellano; la norma no exige que esté en euskera. Sin embargo, algunos organismos vascos —especialmente el Gobierno Vasco en sus pliegos publicados bajo el marco de normalización lingüística— pueden requerir que al menos los documentos de cara al contratante estén disponibles también en euskera. Esto es algo que verifico caso a caso antes de definir el alcance del proyecto.
Consultor ENS independienteRD 311/2022 · Anexos I-IVGuías CCN-STICMAGERIT v3 · análisis de riesgosEJIE · Osakidetza · Diputación Foral de BizkaiaParque Tecnológico de Bizkaia
Sobre la inversión
¿Cuánto cuesta el ENS en el ecosistema vasco?
En el País Vasco, la categoría media es estadísticamente más frecuente que en la media nacional, porque la densidad de sistemas de salud (Osakidetza), tributarios (Hacienda Foral) y de administración electrónica (EJIE) con datos sensibles es alta. Eso tiene una implicación directa en el presupuesto: a los honorarios de consultoría hay que añadir, con total separación, el coste de la entidad certificadora acreditada por ENAC cuando la categoría lo exige.
Presupuesto cerrado, tras diagnóstico inicialAdaptado a tu alcance, tu categoría y el organismo contratante · sin sorpresas
El coste de la entidad certificadora ENAC lo factura directamente el tercero que realiza la auditoría de conformidad. Yo no lo intermedie ni percibo comisión sobre él. Lo que sí hago es orientarte sobre qué certificadoras trabajan con habitualidad en el País Vasco y qué plazos manejan para no poner en riesgo los calendarios del pliego.
La primera llamada sirve para repasar tu alcance, estimar la categoría que previsiblemente te corresponde y ver si encajamos. Es sin coste y sin compromiso. Si veo que puedo ayudarte, te doy una propuesta cerrada; si no, sales con orientación clara para arrancar por tu cuenta. Reserva aquí →
Preguntas frecuentes · contexto vasco
Dudas concretas sobre el ENS en el ecosistema de Bilbao y Bizkaia.
¿El Gobierno Vasco pide Certificado ENS o acepta Declaración de Conformidad para pliegos de la Diputación Foral?+
Depende de la categoría ENS que resulte de la categorización de tus sistemas, no del organismo contratante. El Gobierno Vasco —actuando a través de EJIE— y la Diputación Foral de Bizkaia aplican el mismo marco normativo: el RD 311/2022. Si la categoría es básica, ambos organismos aceptan la declaración de conformidad autoevaluada por la propia empresa. Si la categoría es media o alta, ninguno de los dos —ni EJIE ni la Diputación Foral— puede aceptar la declaración autoevaluada como sustituto: el pliego exigirá certificación emitida por una entidad acreditada por ENAC.
La confusión frecuente en el ecosistema vasco viene de pensar que por tratar con organismos distintos hay requisitos distintos. No es así: la norma es única y la categoría la determina el impacto del incidente sobre las dimensiones CIDAT del sistema, no el organismo que contrata. Puedes explorar el servicio completo en consultoría ENS para empresas.
¿Cómo se acredita el ENS ante Osakidetza para proveedores de HIS o imagen médica?+
Los sistemas de historia clínica electrónica (HIS) y de imagen médica (PACS/RIS) tratan datos de salud que el RD 311/2022 —en conjunción con el RGPD— sitúan sistemáticamente en nivel medio de confidencialidad. Eso hace que la categoría ENS resultante sea media en prácticamente todos los proyectos de este tipo para el Hospital Universitario Cruces, el Hospital Universitario Basurto o el Hospital Galdakao-Usansolo.
La acreditación ante Osakidetza sigue el mismo itinerario que ante cualquier otro organismo en categoría media: diagnóstico GAP, categorización, análisis de riesgos MAGERIT, plan de adecuación, implantación de medidas y auditoría por entidad acreditada por ENAC. El resultado es el certificado de conformidad emitido por esa entidad, que es lo que Osakidetza incluye en sus pliegos como requisito de solvencia técnica. El proceso completo suele llevar entre cuatro y seis meses dependiendo del punto de partida de la empresa.
Un matiz importante: en muchos proyectos de HIS, el proveedor del software accede a datos clínicos pero no los almacena en sus propios sistemas —los datos residen en la infraestructura de Osakidetza—. En esos casos, la definición del alcance ENS es crítica: hay que documentar con precisión qué flujos de datos gestiona el proveedor y desde qué sistemas, porque de eso depende qué medidas del Anexo II aplican realmente. Un alcance mal definido puede derivar en un expediente sobredimensionado o, peor, con lagunas que el auditor ENAC señalará en la revisión. Si quieres arrancar, la primera llamada es desde la página de reservas.
¿Trabajas con empresas TIC de Zamudio, Miñano o el Parque Tecnológico de Bizkaia?+
Sí, y es uno de los perfiles más habituales en mis proyectos vascos. Las empresas del Parque Tecnológico de Bizkaia —tanto el polo de Zamudio y Derio como el de Miñano, al sur de Vitoria-Gasteiz pero dentro del área de influencia empresarial bilbaína— tienen una característica que las distingue de los proveedores de otras zonas: muchas de ellas trabajan simultáneamente con varios organismos del sector público vasco, incluyendo EJIE, Osakidetza o la Diputación Foral de Bizkaia. Eso genera la posibilidad de definir un único alcance ENS que cubra múltiples contratos, con el consiguiente ahorro de tiempo y coste frente a hacer una adecuación por contrato.
El trabajo en remoto me permite atender estos proyectos sin que sea necesario desplazarse a mi ubicación. Si el proyecto requiere una sesión presencial —por ejemplo, para el workshop de categorización con el equipo técnico— me desplazo a las instalaciones de la empresa en el Parque Tecnológico. Puedes iniciar el proceso desde la página de reservas.
¿Hay auditores ENAC en Bilbao? ¿La documentación debe presentarse en euskera o solo en castellano?+
Respecto a los auditores ENAC: la mayoría de las entidades certificadoras acreditadas por ENAC para auditar la conformidad con el ENS tienen capacidad para realizar auditorías en el País Vasco, ya sea desplazando a sus auditores a Bilbao o realizando parte del proceso en remoto. No hay una lista pública de auditores ENAC «por provincia»; lo que existe es un registro público de entidades acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012 para el alcance del ENS. Cuando llegamos a la fase de auditoría, te oriento sobre qué certificadoras tienen experiencia reciente en el ecosistema vasco y qué plazos manejan, que es lo que realmente importa para ajustarse a las fechas del pliego.
Respecto al idioma: el RD 311/2022 no exige que la documentación del expediente ENS esté en euskera. El castellano es suficiente desde el punto de vista normativo. Sin embargo, algunos pliegos del Gobierno Vasco —especialmente los publicados bajo el marco de normalización lingüística del Eusko Jaurlaritza— requieren que los documentos de cara al organismo contratante estén disponibles también en euskera o, al menos, que los títulos y resúmenes ejecutivos lo estén. Esto es algo que verifico para cada proyecto antes de definir el plan de trabajo.
¿Cómo se coordina el ENS con EJIE cuando la infraestructura corporativa está externalizada al Gobierno Vasco?+
Este es el escenario más complejo —y más frecuente— en proyectos ENS con el Gobierno Vasco. Muchos proveedores tecnológicos desarrollan o mantienen aplicaciones que corren sobre infraestructura gestionada por EJIE: servidores, redes, servicios de directorio activo y plataformas de autenticación que el proveedor no controla directamente. En esos casos, la definición del alcance ENS debe distinguir con precisión qué responsabilidades de seguridad son del proveedor y cuáles son de EJIE.
El proceso que sigo en estos proyectos tiene un paso adicional al inicio: antes de categorizar o de analizar riesgos, formalizo con la empresa un mapa de responsabilidades compartidas que identifica, activo por activo y medida por medida del Anexo II, quién es responsable de qué. Ese mapa sirve para dos cosas: primero, para delimitar correctamente el alcance ENS del proveedor y no incluir medidas que ya son responsabilidad de EJIE; segundo, para documentar ante el auditor ENAC que la parte no cubierta por el proveedor está cubierta por EJIE como entidad contratante, lo que es aceptable siempre que quede reflejado en el expediente. Sin ese mapa, el expediente tiene lagunas que el auditor señalará. Con él, el proceso es ordenado y eficiente. Si esta es tu situación, la primera llamada es el mejor punto de partida: reserva aquí.
El tejido económico de Bilbao y el ENS
Industria pesada, energía, finanzas y TIC: cuatro sectores con necesidad ENS creciente.
Bilbao tiene una economía con características únicas que no se dan en ninguna otra ciudad del clúster ENS. La presencia simultánea de la sede histórica del BBVA y de Kutxabank —dos de los mayores grupos financieros del sur de Europa— convierte al Gran Bilbao en un hub de servicios financieros con una demanda de ciberseguridad y cumplimiento normativo que va muy por delante de la media. El sector financiero no está directamente sujeto al ENS, pero muchos de sus proveedores TIC sí lo están cuando prestan servicios a las administraciones públicas vascas. Y la experiencia de trabajar para el sector bancario bilbaíno, con sus altos estándares de seguridad, es un punto de partida mejor que el de partida medio de empresas de otras ciudades.
Iberdrola, con su cuartel general histórico en el Edificio Garellano de Bilbao y una de sus principales concentraciones de personal de tecnología en el área metropolitana, opera en el sector de infraestructuras críticas sujetas a la Directiva NIS2 y a los requisitos de seguridad del operador de servicios esenciales. Aunque el ENS no aplica directamente a Iberdrola como entidad privada, sus proveedores TIC que mantienen sistemas que también sirven a administraciones públicas vascas —proyectos de ciudad inteligente, electrificación de transporte público o monitorización de redes— sí pueden estar dentro del ámbito del ENS.
La industria pesada vasca —siderurgia, máquina herramienta, forja— ha vivido en la última década una transformación digital profunda que ha generado sistemas OT/IT convergentes donde la seguridad industrial y la seguridad de la información se solapan. Las empresas de este sector que prestan servicios de mantenimiento digital, monitorización remota o gestión de datos de producción a organismos públicos del País Vasco pueden encontrarse, por primera vez, con el ENS como requisito en un pliego. El análisis de riesgos MAGERIT en ese entorno tiene especificidades —activos OT, amenazas físicas, continuidad de proceso industrial— que requieren experiencia concreta en ese tipo de infraestructura.
El ecosistema TIC del Parque Tecnológico de Bizkaia —más de 200 empresas de tecnología en Zamudio y Derio— y las iniciativas de Bizkaia:Talent para atraer y retener talento tecnológico internacional están convirtiendo a Bilbao en un referente de innovación en el norte de España. Para muchas de estas empresas, el ENS es el siguiente paso lógico después de haber construido un equipo y un producto: el que abre la puerta de la contratación pública vasca y, con ella, a un mercado estable y de largo plazo.
El BEC (Bilbao Exhibition Centre), sede de ferias como Egon o BIEMH (Bienal Internacional de Máquina Herramienta), concentra contratos de servicios tecnológicos de apoyo a eventos que pueden requerir acreditación ENS cuando el cliente final es una entidad pública. Sus proveedores de conectividad, audiovisual y gestión de datos de asistentes deben comprobar si sus contratos con el BEC o con los organizadores de eventos institucionales los colocan dentro del ámbito de la norma.
Otras ciudades · Guías ENS
Consultoría ENS en otras provincias y recursos clave.
Empieza tu adecuación al ENS con quien conoce el ecosistema vasco.
La primera conversación es sin coste y sin compromiso. En media hora repasamos el alcance de tus sistemas, el organismo contratante —EJIE, Osakidetza, Diputación Foral de Bizkaia, UPV/EHU o cualquier combinación de ellos—, la categoría que previsiblemente te corresponde y el calendario que necesitas. Si encajamos, te entrego una propuesta cerrada; si no, sales con orientación concreta para arrancar por tu cuenta.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Euskadi: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
