Consultoría ENS en Burgos
Soy Ángel Ortega Castro, consultor ENS independiente. Acompaño a empresas de Burgos y su provincia en la adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y prestar servicios a la Administración local, provincial y autonómica sin que el cumplimiento normativo frene su operación.
El sector público de Burgos y sus proveedores.
La provincia de Burgos cuenta con un sector público amplio y diversificado. La Diputación de Burgos presta servicios digitales a los 371 municipios de la provincia —gestión tributaria, plataformas de tramitación electrónica, servicios sociales, desarrollo rural— y requiere que sus proveedores tecnológicos operen con garantías de seguridad auditables. El Ayuntamiento de Burgos, capital de provincia con cerca de 175.000 habitantes, mantiene plataformas de participación ciudadana, sistemas de gestión urbana y sede electrónica en continua expansión. La Universidad de Burgos (UBU), con campus en Burgos capital, Miranda de Ebro, Aranda de Duero y Palencia, convoca con regularidad licitaciones de equipamiento TIC, servicios de cloud y soluciones de gestión académica.
A estos organismos se suma la presencia en la provincia de delegaciones de la Junta de Castilla y León y de organismos del Estado —Subdelegación del Gobierno, Agencia Tributaria, Seguridad Social, Servicio Público de Empleo—, que también contratan servicios digitales con empresas locales. Todos ellos están sujetos al Esquema Nacional de Seguridad conforme al Real Decreto 311/2022 (BOE-A-2022-7191), de 3 de mayo. Y esta obligación, por efecto expreso de la norma, se traslada a quienes les prestan servicios.
Diputación de Burgos
Organismo supramunicipal que gestiona servicios digitales para 371 municipios. Sus licitaciones tecnológicas incluyen requisitos de seguridad de la información alineados con el ENS.
Ayuntamiento de Burgos
Capital provincial con sede electrónica, gestión tributaria digital y servicios municipales en línea. Los proveedores TIC deben acreditar conformidad con el ENS para acceder a sus contratos.
Universidad de Burgos (UBU)
Universidad pública con cuatro campus y apuesta creciente por la digitalización. Convoca licitaciones de software, cloud e infraestructura TIC sujetas a los requisitos de seguridad del ENS.
Si tu empresa trabaja con la Administración burgalesa, el ENS te afecta.
El Real Decreto 311/2022 no limita su alcance al sector público en sentido estricto. Su disposición adicional primera establece con claridad que las entidades del sector privado que presten servicios o soluciones al sector público deben acreditar su conformidad con el ENS, en el marco de la relación contractual correspondiente. No se trata de una recomendación: es una condición que aparece como requisito de solvencia en los pliegos de contratación pública.
Esto significa que si tu empresa —con sede en Burgos capital, en la comarca de Aranda, en Miranda de Ebro o en cualquier punto de la provincia— presta alguno de estos servicios a la Diputación de Burgos, al Ayuntamiento, a la UBU o a cualquier organismo de la Junta de Castilla y León con presencia en la provincia, el ENS forma parte de tus obligaciones contractuales:
- →Software de gestión municipal, tributaria o de servicios sociales
- →Servicios de alojamiento, nube o infraestructura TIC para la Administración
- →Integración de sistemas, mantenimiento de redes o soporte técnico a organismos públicos
- →Consultoría tecnológica, desarrollo de aplicaciones o portales web para la AAPP
- →Servicios de telecomunicaciones o ciberseguridad gestionada para organismos públicos
El plazo transitorio para adecuar los sistemas preexistentes finalizó el 5 de mayo de 2024. Los contratos nuevos exigen conformidad desde el primer día. Las empresas que no puedan acreditarla quedan fuera de la contratación pública, sin posibilidad de presentar oferta. La consultoría ENS para empresas explica el proceso completo; la guía del ENS ofrece el contexto normativo de partida.
Categorías del ENS: básica, media y alta.
No todos los proyectos requieren el mismo nivel de exigencia. La categoría del sistema de información se determina valorando el impacto que tendría un incidente de seguridad sobre las cinco dimensiones CIDAT —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—. La dimensión con mayor nivel marca la categoría del conjunto.
Impacto limitado
Habitual en proveedores de servicios de apoyo a la gestión municipal o aplicaciones de tramitación para entidades locales pequeñas y medianas.
- Ninguna dimensión supera el nivel bajo
- Conformidad por declaración autoevaluada
- Sin entidad certificadora externa obligatoria
Impacto grave
Frecuente en sistemas que gestionan datos sensibles de ciudadanos o procesos críticos de organismos provinciales o universitarios.
- Alguna dimensión alcanza el nivel medio
- Certificación por entidad acreditada ENAC
- Auditoría de conformidad bienal
Impacto muy grave
Aplicable a sistemas cuyo fallo podría causar consecuencias irreparables: infraestructuras críticas o servicios esenciales del sector público.
- Alguna dimensión alcanza el nivel alto
- Certificación por entidad acreditada ENAC
- Auditoría de conformidad bienal obligatoria
Las dos vías de conformidad
Básica → declaración de conformidad autoevaluada
En categoría básica, la organización verifica su propio cumplimiento conforme a las guías CCN-STIC y emite una declaración de conformidad. No se requiere certificadora externa, pero la documentación y las evidencias deben estar en regla. Te preparo todo el cuerpo documental para que la declaración sea sólida y supere cualquier revisión del órgano contratante.
Media / alta → certificación acreditada por ENAC
En categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Yo preparo tu organización para superar esa auditoría; el sello lo emite la entidad acreditada, no el consultor. Esta distinción es importante: desconfía de quien prometa garantizar la certificación.
Documentación que sostiene la conformidad.
El objetivo no es producir papel: es que tu empresa tenga el cuerpo documental y técnico que cualquier auditor o pliego de contratación burgalés va a pedir.
- Informe de diagnóstico / análisis GAP que mide la distancia real entre tu situación actual y los requisitos del ENS aplicables.
- Categorización del sistema en las cinco dimensiones CIDAT y nivel resultante (básica, media o alta).
- Análisis de riesgos con metodología MAGERIT y plan de tratamiento del riesgo orientado a tu contexto operativo.
- Política de seguridad de la información y normativa derivada, adaptada al tamaño y alcance de tu empresa.
- Plan de adecuación (CCN-STIC 806) con responsables, plazos y prioridades ajustadas a tu realidad.
- Declaración de Aplicabilidad (DdA) que justifica la selección y exclusión de medidas del Anexo II del RD 311/2022.
- Evidencias de implantación de las medidas organizativas, operacionales y de protección.
- Preparación de la auditoría (en categoría media o alta): revisión previa, checklist y acompañamiento durante el proceso con la entidad certificadora.
Un consultor ENS que acompaña de verdad.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Trabajo con empresas de Castilla y León —incluidas las de Burgos y su provincia— que necesitan adecuarse al ENS para poder licitar y operar con la Administración pública.
Mi método es el del acompañamiento real: no te dejo un manual y desaparezco. Trabajo a tu lado en cada fase del proceso, traduzco la norma en decisiones concretas para tu contexto y dejo a tu equipo con la capacidad de mantener la conformidad de forma autónoma una vez terminado el proyecto.
Soy honesto con lo que puedo y no puedo hacer: preparo y adecúo tu organización para la conformidad; la certificación la emite una entidad acreditada por ENAC. Esa transparencia, junto al rigor con el RD 311/2022 y las guías CCN-STIC, es lo que diferencia esta consultoría de las propuestas genéricas que no conocen el tejido administrativo local.
Dudas habituales de empresas burgalesas sobre el ENS.
¿Las empresas que prestan servicios a la Diputación de Burgos deben cumplir el ENS?
Sí. La Diputación de Burgos, como entidad del sector público, está sujeta al ENS conforme al RD 311/2022. Esta obligación se extiende, por cadena de suministro, a sus proveedores y contratistas que gestionan sistemas de información. Si tu empresa presta servicios TIC, software de gestión o infraestructura digital a la Diputación, el ENS te aplica directamente y los pliegos de contratación pueden exigirte acreditar tu conformidad.
¿El Ayuntamiento de Burgos exige el ENS en sus licitaciones tecnológicas?
El Ayuntamiento de Burgos, como administración local, está obligado a cumplir el ENS y a trasladar esa exigencia a sus proveedores de servicios digitales. En la práctica, los pliegos de prescripciones técnicas de contratos de software, mantenimiento de sistemas, cloud o ciberseguridad incorporan la conformidad con el ENS como requisito de solvencia técnica. Las empresas que no puedan acreditarla no pueden concurrir a esas licitaciones.
¿La Universidad de Burgos (UBU) requiere el ENS a sus proveedores TIC?
Sí. La Universidad de Burgos es una entidad del sector público sometida al ENS, y sus contratos de tecnología —equipamiento, cloud, aplicaciones de gestión académica, plataformas de e-learning— implican el tratamiento de datos de estudiantes, personal e investigación. Los proveedores que gestionen esos sistemas deben demostrar conformidad con el ENS en la categoría que corresponda al nivel de impacto del sistema.
¿Qué categoría ENS suele aplicar a una pyme burgalesa proveedora de la Administración local?
Depende del tipo de servicio y de los datos que se traten. Para muchas pymes de Burgos que prestan servicios de software de gestión municipal, mantenimiento TIC o soporte técnico a organismos locales, la categoría básica es la más habitual, ya que el impacto de un incidente sobre las cinco dimensiones CIDAT suele ser limitado. En ese caso, basta con una declaración de conformidad autoevaluada, sin necesidad de entidad certificadora externa. Sin embargo, si el sistema gestiona datos sensibles de ciudadanos o procesos críticos, la categoría puede ser media o alta, y entonces se requiere certificación acreditada por ENAC. El primer paso es siempre el diagnóstico y la categorización.
¿Mi cliente es la Junta de Castilla y León en Burgos: necesito el ENS?
Sí. La Junta de Castilla y León es una administración autonómica plenamente sujeta al ENS. Sus delegaciones en Burgos —Delegación Territorial, servicios de empleo, sanidad, educación— contratan servicios digitales con empresas locales. Si tu empresa presta algún servicio de naturaleza tecnológica a la Junta en la provincia, el RD 311/2022 te obliga a acreditar conformidad con el ENS en el alcance correspondiente a ese contrato.
¿Puedo gestionar toda la adecuación al ENS sin desplazamientos físicos a Burgos?
Sí. El proceso de adecuación al ENS es en gran parte documental y técnico, y puede gestionarse de forma remota con las herramientas adecuadas. Las reuniones de diagnóstico, las sesiones de trabajo con tu equipo y las revisiones documentales se realizan habitualmente por videoconferencia. Cuando el proyecto requiere visitas in situ —por ejemplo, para auditar infraestructuras físicas en instalaciones de Burgos— me desplazo sin problema, ya que trabajo regularmente en Castilla y León.
Servicio ENS en la región y guías clave.
¿Hablamos de tu adecuación al ENS en Burgos?
Primera llamada sin coste y sin compromiso. Valoramos juntos qué organismos de Burgos o la región son tus clientes, qué categoría ENS corresponde a tu alcance y cuál es el camino más directo para acreditar la conformidad. Si no encajamos, te llevas un diagnóstico inicial útil de todas formas.