Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y Las Palmas: atiendo en remoto a empresas de toda España y me desplazo en persona cuando el proyecto lo pide. Acompaño a empresas de Cáceres y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Ayuntamiento de Cáceres, la Diputación Provincial de Cáceres, la Junta de Extremadura o la Universidad de Extremadura sin quedar excluidas de los pliegos.
Cáceres no es la sede del Gobierno de Extremadura —esa condición corresponde a Mérida—, pero es la ciudad más poblada de la comunidad autónoma y concentra un ecosistema propio de administración pública y tecnología. Su casco antiguo, declarado Patrimonio de la Humanidad por la UNESCO en 1986, sostiene un sector servicios muy potente —turismo, cultura, hostelería— que representa en torno al 65 % del PIB de la provincia. Junto a ese perfil turístico conviven organismos públicos con obligaciones de ciberseguridad muy concretas: el Ayuntamiento de Cáceres, la Diputación Provincial de Cáceres —que presta servicios TIC a los 223 municipios de la provincia—, el campus de la Universidad de Extremadura (UEx) y varias gerencias territoriales de la Junta de Extremadura, entre ellas la Gerencia del Área de Salud de Cáceres, que gestiona el Hospital San Pedro de Alcántara y los centros de Atención Primaria de la Consejería de Sanidad.
A este ecosistema institucional se suma un tejido tecnológico creciente. En el campus universitario tiene su sede el Edificio PCTEx Cáceres, del Parque Científico y Tecnológico de Extremadura (FUNDECYT-PCTEx): 6.000 m² que alojan a cinco empresas tecnológicas con más de 600 trabajadores, entre ellas el centro CENITS de Viewnext (filial de IBM), Worldline Iberia, Homeria Open Solutions, Ilunion y Gamma Solutions. A pocos minutos, el centro de innovación AldeaLab —sede central del CEEI Extremadura y motor del proyecto «Cáceres Ciudad Laboratorio»— impulsa proyectos de industrias culturales y creativas ligados al turismo y al patrimonio, muchos de ellos en colaboración con el Ayuntamiento de Cáceres.
Alrededor de todas estas administraciones —Ayuntamiento, Diputación, UEx, Junta de Extremadura y sus organismos dependientes— se mueve un conjunto de empresas TIC, integradoras y consultoras que prestan servicios digitales al sector público cacereño. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
La Diputación Provincial de Cáceres presta asistencia técnica informática y telemática a los 223 municipios de la provincia; sus contratos TIC exigen conformidad con el ENS.
El Ayuntamiento de Cáceres incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas TIC.
El campus universitario y la Gerencia del Área de Salud, dependiente de la Junta de Extremadura, gestionan sistemas sujetos al ENS y trasladan ese requisito a sus proveedores.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración extremeña.
Conviene tener claro el marco antes de arrancar: en la guía ENS completa explico los fundamentos paso a paso, y en el servicio de consultoría ENS para empresas detallo cómo planteo el trabajo.
El Esquema Nacional de Seguridad alcanza a todas las administraciones públicas y, por extensión contractual, a las empresas privadas que les prestan servicios. En Cáceres capital y en el resto de la provincia esa cadena de proveedores es más larga de lo que muchas empresas piensan.
Estos son los perfiles que con más frecuencia me encuentro trabajando en la provincia:
El RD 311/2022 dio, a través de su disposición transitoria única, un margen de 24 meses para poner al día los sistemas ya existentes: ese plazo se agotó el 5 de mayo de 2024, y quien no llegó sigue hoy fuera de plazo. Los sistemas nuevos, o los que han sufrido cambios significativos, deben cumplir desde el primer día, sin periodo de gracia. En Cáceres, cada licitación que sale del Ayuntamiento, la Diputación o la Junta de Extremadura es una ventana concreta: quien ya tiene resuelta la conformidad entra a competir; quien todavía no ha empezado, la pierde antes de presentar oferta.
Trabajo siguiendo el orden que marcan las guías CCN-STIC: arrancamos con el diagnóstico y terminamos con la declaración de conformidad o la auditoría lista para presentar. La meta es que llegues a la conformidad con paso firme y con un expediente documental capaz de resistir el escrutinio de la Diputación de Cáceres, el Ayuntamiento o cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo dónde estás hoy con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto. | Informe de diagnóstico con la distancia real hasta el cumplimiento y las brechas que conviene atacar primero. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— y fijamos juntos la categoría que le corresponde: básica, media o alta. | Categorización conforme al Anexo I del ENS. Marca el nivel de exigencia y la vía de conformidad que toca seguir. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos con su plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Plan de adecuación conforme a la guía CCN-STIC 806, con la declaración de conformidad ya perfilada. |
| Fase 05 Implantación | Se despliegan las medidas del Anexo II —marco organizativo, operacional y de protección— con acompañamiento directo a tu equipo en cada paso. | Evidencias de implantación medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Última revisión antes de cerrar. En categoría básica, te ayudo con la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conformidad conforme al Anexo III. Yo preparo el expediente; la certificación en media o alta la firma un tercero acreditado por ENAC. |
La categoría de un sistema no se decide a ojo: se calcula valorando el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión que alcanza el nivel más alto es la que marca la categoría final.
Se asigna cuando un incidente tendría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. Es la categoría que más me encuentro entre proveedores de servicios auxiliares en la provincia.
Aplica cuando el perjuicio de un incidente sería grave: alguna dimensión llega al nivel medio. Es habitual en sistemas de gestión administrativa y en tratamientos con datos sensibles.
Corresponde a un perjuicio muy grave, en ocasiones irreparable: alguna dimensión alcanza el nivel alto. Es el caso de sistemas críticos o con información especialmente sensible.
Si tu sistema cae en básica, la conformidad se demuestra con una declaración de conformidad autoevaluada: la propia organización comprueba que cumple, siguiendo las guías CCN-STIC. Yo te dejo lista la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo que te contrata.
En media o alta no basta con autoevaluarse: hace falta certificación por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te preparo para llegar con garantías a esa auditoría; la certificación siempre la emite la entidad acreditada, nunca yo como consultor.
Aquí no hay un PDF de relleno que acabe en un cajón. Recibes el cuerpo documental y técnico completo que sostiene tu conformidad, el mismo que el auditor, la Diputación de Cáceres, el Ayuntamiento o cualquier otro organismo contratante va a pedir ver en el expediente de la licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente especializado en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —Cáceres y el resto de Extremadura incluidos—. Me muevo con soltura por la contratación pública extremeña: conozco los plazos, cómo se redactan los pliegos y qué suelen exigir organismos como el Ayuntamiento de Cáceres, la Diputación Provincial de Cáceres o la Junta de Extremadura —incluidas sus gerencias territoriales, entre ellas la del Área de Salud de Cáceres— y también la Universidad de Extremadura (UEx).
Trabajo con acompañamiento directo, persona a persona: no te entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones prácticas y, al cerrar el proyecto, dejo a tu equipo capacitado para sostener la conformidad por su cuenta.
Soy claro sobre dónde llega mi trabajo: preparo y adecúo tu organización para que alcance la conformidad; la certificación en categoría media o alta siempre la emite una entidad acreditada por ENAC, nunca yo. Esa transparencia, sumada al manejo riguroso de la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Integradoras o consultoras que mantienen la plataforma de Territorios Inteligentes o el catálogo de asistencia técnica informática con el que la Diputación Provincial de Cáceres atiende a los ayuntamientos de la provincia, y necesitan acreditar conformidad con el ENS para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Empresas instaladas en el Edificio PCTEx Cáceres o en el Edificio Tajo, del Parque Científico y Tecnológico de Extremadura, que prestan servicios de desarrollo, ciberseguridad o soporte TIC al Ayuntamiento de Cáceres, la Diputación o la Universidad de Extremadura, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones alojadas en AldeaLab o vinculadas a proyectos de innovación cultural y turística, y también empresas que quieren prestar servicios digitales a la Gerencia del Área de Salud de Cáceres. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos de cualquiera de estos organismos.
No existe una tarifa plana, y yo desconfiaría de cualquiera que te la ofrezca sin haber visto tu caso. Lo que pagas depende del alcance —cuántos sistemas entran—, de la categoría que te corresponda (básica, media o alta), de tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Si tu categoría es media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC: una partida aparte, que factura directamente el tercero que audita tu conformidad.
Sí. El Ayuntamiento de Cáceres, como entidad local, está sujeto al ENS por el RD 311/2022 y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales al Consistorio o a sus organismos dependientes, la conformidad con el Esquema Nacional de Seguridad es un requisito de solvencia técnica que sus pliegos ya recogen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Diputación Provincial de Cáceres presta servicios de asistencia técnica informática y telemática y mantiene una plataforma de Territorios Inteligentes que da soporte digital a los 223 municipios de la provincia. Como entidad local sujeta al ENS, puede exigir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en los contratos de administración electrónica que presta a los ayuntamientos de la provincia.
Sí. La Universidad de Extremadura es una institución pública universitaria sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, sede electrónica, plataformas de investigación—, también en su campus de Cáceres, donde tiene siete facultades y una escuela politécnica. Puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Aunque la sede del Gobierno de Extremadura está en Mérida, la Junta de Extremadura mantiene en Cáceres gerencias y delegaciones territoriales —como la Gerencia del Área de Salud de Cáceres, dependiente de la Consejería de Sanidad, que gestiona el Hospital San Pedro de Alcántara y los centros de Atención Primaria— con sistemas de información sujetos al ENS. Cualquier proveedor TIC que preste servicios digitales a estos organismos debe acreditar conformidad con el RD 311/2022, con independencia de dónde tenga la sede su empresa.
Sí, si tus sistemas prestan servicio a una administración pública o a un organismo del sector público. El Edificio PCTEx Cáceres, en el campus universitario, y el centro de innovación AldeaLab —sede del CEEI Extremadura— alojan empresas tecnológicas y de industrias creativas que en muchos casos trabajan para el Ayuntamiento de Cáceres, la Diputación o la Junta de Extremadura. Si tu empresa está en alguno de estos espacios y presta servicios al sector público, el ENS te aplica igual que a cualquier otro proveedor TIC.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Ayuntamiento de Cáceres, la Diputación Provincial o la Junta de Extremadura, lo que el pliego exige es el ENS.
Reservamos una primera conversación sin coste ni compromiso para repasar el alcance de tus sistemas, estimar la categoría que les correspondería y el tipo de contratación que buscas. Si encajamos, te entrego una propuesta cerrada; si no, sales con orientación clara para arrancar por tu cuenta.