Me llamo Ángel Ortega Castro y ejerzo como consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria: llevo proyectos en remoto para empresas de toda España y me desplazo cuando el encargo lo exige. Acompaño a empresas de Cádiz y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Cádiz, la Diputación Provincial o la Universidad de Cádiz (UCA) sin quedar excluidas de los pliegos.
Cádiz. Foto: fuente: COVT · CC BY 3.0 · Wikimedia Commons
ENS en Cádiz · por qué es prioritario
No es la sede de la Junta de Andalucía, pero su ecosistema público ya exige el ENS.
Cádiz no es la sede de la Junta de Andalucía —esa capitalidad corresponde a Sevilla—, pero es una provincia con una administración propia muy activa: el Ayuntamiento de Cádiz, la Diputación Provincial de Cádiz, la Universidad de Cádiz (UCA) —con presencia en cuatro campus— y organismos estatales como la Autoridad Portuaria de la Bahía de Cádiz y el Consorcio de la Zona Franca de Cádiz. Todos ellos, como el resto del sector público español, están sujetos al Esquema Nacional de Seguridad por el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo), y trasladan esa obligación a la cadena de proveedores que les prestan servicios TIC.
La Diputación de Cádiz no se ha quedado en el mínimo exigible: a través de su empresa pública EPICSA (Empresa Provincial de Informática de Cádiz, S.A., creada en 1984), que presta asistencia informática integral a los ayuntamientos de la provincia —muchos de ellos con menos de 20.000 habitantes—, ya obtuvo la certificación de conformidad con el ENS para sus propios sistemas y está desplegando, con sede en las propias oficinas de EPICSA, un Centro de Operaciones de Ciberseguridad (SOC) provincial para vigilar y responder a amenazas en los municipios gaditanos. El Ayuntamiento de Cádiz, por su parte, avanza con la plataforma MOAD (Modelo de Oficina de Atención Digital de Andalucía) junto a la Diputación, y ha automatizado la contratación pública y la selección de personal con fondos del Plan de Recuperación, Transformación y Resiliencia. La UCA, con campus en Cádiz capital, Puerto Real, Jerez y Algeciras, mantiene sistemas de gestión académica e investigación sujetos a las mismas obligaciones normativas que cualquier otra institución pública.
Alrededor de esa administración se ha desarrollado un tejido productivo marcado por el mar: el sector naval (los astilleros de San Fernando, Puerto Real y Cádiz, con más de mil empleos directos y varios miles indirectos en la Bahía), la actividad de la Autoridad Portuaria de la Bahía de Cádiz (que ha llegado a generar cerca de 11.000 empleos en su entorno) y el Consorcio de la Zona Franca de Cádiz, que en julio de 2026 se incorporó a la Red PIDI del CDTI para reforzar su apuesta por la innovación y la industria 4.0. A ello se suman el turismo —el grueso del sector servicios, en torno al 67 % del PIB provincial— y un sector agroalimentario propio: los viñedos de la Campiña de Jerez, el aceite de la Sierra de Cádiz, las salazones y la almadraba. Buena parte de las empresas tecnológicas que dan soporte a este tejido productivo acaban, tarde o temprano, prestando servicio también a alguna administración. Para ellas, quedar fuera del ENS es quedar fuera de la licitación.
EPICSA, ya certificada
La Diputación de Cádiz, a través de EPICSA, obtuvo la certificación ENS para sus sistemas y despliega un Centro de Operaciones de Ciberseguridad provincial. Sus proveedores y subcontratistas deben acreditar un nivel de conformidad acorde a esa exigencia.
MOAD en el Ayuntamiento
El Ayuntamiento de Cádiz avanza con la plataforma MOAD de administración electrónica y ha automatizado la contratación pública. Sus pliegos TIC incorporan cada vez con más frecuencia la conformidad con el ENS.
UCA, cuatro campus
La Universidad de Cádiz, con sedes en Cádiz, Puerto Real, Jerez y Algeciras, está sujeta al ENS y traslada ese requisito a sus proveedores de servicios TIC y de administración electrónica.
Puerto y Zona Franca
La Autoridad Portuaria de la Bahía de Cádiz y el Consorcio de la Zona Franca de Cádiz, organismos públicos con sistemas y sede electrónica propios, también exigen conformidad ENS a sus proveedores tecnológicos.
Antes de presentarte a un pliego gaditano, comprueba si el ENS ya te afecta.
La norma no distingue entre organismo grande o pequeño: obliga a todo el sector público y, por extensión contractual, a cada empresa privada que le presta servicios. En Cádiz y su provincia esa cadena de proveedores es más amplia de lo que muchas empresas creen.
Estos son los perfiles que con más frecuencia me encuentro necesitando adecuarse:
Empresas que desarrollan o mantienen aplicaciones para el Ayuntamiento de Cádiz, dentro de su despliegue de la plataforma MOAD y de la automatización de la contratación pública y la selección de personal.
Proveedores TIC que trabajan, directa o indirectamente, para los municipios de la provincia —la mayoría por debajo de 20.000 habitantes— a través de EPICSA, la empresa pública de la Diputación de Cádiz que ya tiene su propia certificación ENS y la exige a quien subcontrata.
Integradores y proveedores de ciberseguridad gestionada que sostienen los sistemas de la Universidad de Cádiz (UCA) repartidos entre Cádiz, Puerto Real, Jerez y Algeciras.
Empresas tecnológicas con contratos en marcha con la Autoridad Portuaria de la Bahía de Cádiz o el Consorcio de la Zona Franca de Cádiz, dos organismos con sede electrónica y sistemas de información propios.
Empresas auxiliares del sector naval y portuario de la Bahía que, aunque nacieron para clientes privados, hoy combinan esa cartera con servicios TIC al sector público y necesitan justificar conformidad en licitaciones mixtas.
El RD 311/2022 dio 24 meses para poner al día los sistemas ya existentes, un plazo que se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que han cambiado de forma sustancial, no tienen ese margen: deben cumplir desde su puesta en marcha. Si tu empresa aún no ha empezado, cada convocatoria que se publica en el perfil del contratante es una empresa competidora que sí lo ha hecho.
Base legal: Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191). El Centro Criptológico Nacional (CCN) coordina su aplicación; en categorías media y alta, la verificación corre a cargo de entidades acreditadas por ENAC según la norma UNE-EN ISO/IEC 17065.
Cómo trabajamos
Un método ordenado, pensado para superar un pliego en Cádiz.
No improviso el orden: sigo la secuencia que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta la declaración de conformidad o la auditoría. Así llegas con un expediente sólido, del tipo que la Junta de Andalucía, el Ayuntamiento de Cádiz, la Diputación Provincial o cualquier otro organismo contratante gaditano puede revisar sin objeciones.
Plan de adecuación al ENS · fases y entregables
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Comparo tu situación de partida con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto.
Informe de diagnóstico con la distancia real al cumplimiento y las brechas que hay que resolver primero.
Fase 02 Categorización
Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) para fijar su categoría: básica, media o alta.
Anexo I del ENS. De aquí sale el nivel de exigencia y la vía de conformidad que te toca.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT.
Informe de análisis de riesgos y plan de tratamiento.
Fase 04 Plan de adecuación + DdA
Redacto la política de seguridad, selecciono las medidas aplicables y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control.
Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad.
Fase 05 Implantación
Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo, paso a paso.
Evidencias de implantación por medida, listas para auditoría.
Fase 06 Conformidad final
Reviso todo antes del cierre. En básica, apoyo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada.
Anexo III. Preparo la conformidad; la certificación media/alta la emite un tercero acreditado por ENAC.
Por qué la categoría del ENS no se elige, se calcula.
Ningún consultor —ni tú, ni yo— decide a ojo si un sistema es básico, medio o alto. Se mide el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y la dimensión peor parada marca la categoría final.
Categoría básica
Impacto limitado
Un incidente causaría un perjuicio limitado a la organización, sus activos o las personas. Es la categoría más habitual entre proveedores auxiliares de servicios.
Ninguna dimensión supera el nivel bajo
Conformidad por declaración autoevaluada
Conjunto de medidas proporcionado y asumible
Categoría media
Impacto grave
Un incidente supondría un perjuicio grave porque alguna dimensión llega al nivel medio. Es frecuente en sistemas de gestión administrativa o con datos sensibles.
Alguna dimensión en nivel medio
Conformidad mediante certificación acreditada
Auditoría de conformidad bienal
Categoría alta
Impacto muy grave
Un incidente sería muy grave, incluso irreparable, porque alguna dimensión alcanza el nivel alto. Es propio de sistemas críticos o con información especialmente sensible.
Alguna dimensión en nivel alto
Conformidad mediante certificación acreditada
Auditoría de conformidad bienal
Dos caminos posibles hacia la conformidad
Básica → declaración de conformidad
Si tu sistema es de categoría básica, tú mismo acreditas la conformidad con una declaración autoevaluada, verificando el cumplimiento conforme a las guías CCN-STIC. Yo preparo la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo contratante.
Media / alta → certificación acreditada
Si la categoría es media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo para superarla con garantías, pero la certificación siempre la emite la entidad acreditada, no el consultor.
Qué te llevas
Papeles que un auditor se puede creer.
No cierro el proyecto con un PDF de cortesía que acaba en un cajón. Te dejo el cuerpo documental y técnico que sostiene la conformidad, el mismo que pedirán el auditor, la Junta de Andalucía, el Ayuntamiento de Cádiz o cualquier otro organismo contratante al revisar tu expediente de licitación.
Informe de diagnóstico / análisis GAP con la distancia real entre tu situación actual y los requisitos del ENS.
Categorización del sistema en las cinco dimensiones (CIDAT) y el nivel resultante: básica, media o alta.
Análisis de riesgos con metodología MAGERIT y su correspondiente plan de tratamiento.
Política de seguridad de la información y la normativa interna que se deriva de ella.
Plan de adecuación (CCN-STIC 806) con responsables, plazos y prioridades claras.
Declaración de Aplicabilidad (DdA) que justifica cada medida seleccionada del Anexo II.
Evidencias de implantación de las medidas organizativas, operacionales y de protección.
Preparación de la auditoría o la declaración: revisión previa, checklist y acompañamiento durante todo el proceso de conformidad.
Ángel Ortega Castro consultor ENS · servicio en Cádiz
Por qué trabajar conmigo
No hace falta tener oficina en Cádiz para conocer bien su ecosistema público.
Me llamo Ángel Ortega Castro y me dedico, en exclusiva, al cumplimiento normativo y la seguridad de la información. Opero desde Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y viajo a Cádiz cuando el proyecto lo pide: el arranque, sesiones con tu equipo técnico o el acompañamiento durante la auditoría. He seguido de cerca la certificación ENS que EPICSA obtuvo para la Diputación de Cádiz, la plataforma MOAD del Ayuntamiento, los cuatro campus de la Universidad de Cádiz (UCA) y las exigencias de seguridad TIC de la Autoridad Portuaria de la Bahía de Cádiz y del Consorcio de la Zona Franca.
Trabajo codo con codo, no a distancia emocional: nada de manual y desaparición. Estoy presente en cada fase, convierto la norma en decisiones que tu equipo puede ejecutar, y cuando cierro el proyecto tu gente sabe mantener la conformidad sola, esté tu sede donde esté.
Digo claramente lo que puedo y lo que no puedo hacer: preparo y adecúo tu organización de cara a la conformidad; la certificación en categorías media o alta la emite una entidad acreditada por ENAC, nunca yo. Esa franqueza, sumada al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Empresa que da soporte a municipios bajo el paraguas de una entidad ya certificada.
Integradoras o desarrolladoras que trabajan como subcontratistas de EPICSA, la empresa pública de la Diputación de Cádiz que presta asistencia informática a los municipios de la provincia —muchos con menos de 20.000 habitantes— y que ya cuenta con certificación ENS. Prestar servicio dentro de esa cadena de suministro exige acreditar un nivel de conformidad equivalente.
Empresa del entorno portuario y naval
Empresa tecnológica que da soporte al Puerto o a la Zona Franca.
Integradoras o consultoras de ciberseguridad que prestan servicio a la Autoridad Portuaria de la Bahía de Cádiz, al Consorcio de la Zona Franca de Cádiz o a empresas auxiliares del entorno naval que además contratan con el sector público. Necesitan acreditar conformidad ENS para los sistemas que gestionan por cuenta de estos organismos.
Integrador nuevo en la licitación local
Empresa que quiere entrar en la contratación con el Ayuntamiento o la UCA.
Organizaciones privadas de Cádiz y provincia que hasta ahora han trabajado en el sector privado —turismo, agroalimentario, servicios— y quieren ampliar su cartera hacia el Ayuntamiento de Cádiz, la Diputación o la Universidad de Cádiz. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Inversión orientativa
Por qué no te doy una cifra por teléfono.
Cualquier cifra que te dé sin conocer tu empresa sería una promesa vacía, y desconfío de quien las hace. Lo que decide el importe es tu alcance (cuántos sistemas entran en juego), tu categoría (básica, media o alta), tu punto de partida y si necesitas certificación acreditada o te basta con la declaración de conformidad.
Presupuesto cerrado tras el diagnósticoSin sorpresas · adaptado a tu alcance y categoría
A mis honorarios se suma, solo en categorías media o alta, el coste de la entidad certificadora acreditada por ENAC: es una factura independiente, que emite directamente el tercero que realiza la auditoría de conformidad.
En la primera llamada repasamos tu alcance, tu categoría previsible y el tipo de contratación que persigues en Cádiz, y de ahí sale una propuesta cerrada. Sin compromiso y con orientación honesta desde el minuto uno.
Preguntas frecuentes
Dudas habituales sobre el ENS en Cádiz.
¿Necesito el ENS para trabajar con la Junta de Andalucía desde Cádiz?+
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS, con una Unidad Corporativa de Seguridad TIC y unidades propias en cada consejería. Si tu empresa presta o aspira a prestar servicios digitales a alguna consejería, delegación territorial u organismo dependiente con actividad en la provincia de Cádiz, la conformidad con el RD 311/2022 es un requisito de solvencia técnica habitual. Lo amplío en el servicio de consultoría ENS para empresas.
¿La Diputación de Cádiz, a través de EPICSA, exige el ENS a sus proveedores?+
Sí. EPICSA, la Empresa Provincial de Informática de Cádiz, S.A. (creada en 1984), presta asistencia informática integral a los ayuntamientos de la provincia —muchos con menos de 20.000 habitantes— y ya obtuvo la certificación de conformidad con el ENS para sus propios sistemas, además de estar desplegando un Centro de Operaciones de Ciberseguridad (SOC) provincial. Cualquier empresa que trabaje como proveedora o subcontratista dentro de esa cadena de suministro debe acreditar un nivel de conformidad acorde a esa exigencia.
¿El Ayuntamiento de Cádiz exige conformidad ENS en sus contratos TIC?+
Sí. El Ayuntamiento de Cádiz, como entidad local sujeta al RD 311/2022, ha automatizado la contratación pública y la selección de personal con fondos del Plan de Recuperación, Transformación y Resiliencia, y avanza junto a la Diputación con la plataforma MOAD de administración electrónica. Los pliegos de sistemas, ciberseguridad o servicios digitales del Consistorio incorporan la conformidad con el ENS como requisito de solvencia técnica.
¿La Universidad de Cádiz (UCA) exige el ENS a sus proveedores TIC?+
Sí. La UCA es una institución pública universitaria con cuatro campus —Cádiz, Puerto Real, Jerez y Algeciras— que gestiona sistemas de información sujetos al ENS: expedientes académicos, plataformas de administración electrónica y sistemas de investigación. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso a esos sistemas.
¿La Autoridad Portuaria de la Bahía de Cádiz o el Consorcio de la Zona Franca exigen el ENS?+
Sí. Ambos son organismos públicos con sede electrónica y sistemas de gestión propios, sujetos al RD 311/2022. La Autoridad Portuaria de la Bahía de Cádiz gestiona la actividad del puerto —con un impacto que ha llegado a generar cerca de 11.000 empleos en su entorno— y el Consorcio de la Zona Franca de Cádiz, que en julio de 2026 se incorporó a la Red PIDI del CDTI, impulsa la innovación y la industria 4.0 en su ecosistema empresarial. Los proveedores TIC que trabajen con cualquiera de los dos deben acreditar conformidad con el ENS.
¿Puedo empezar la adecuación al ENS aunque aún no tenga contrato con la Administración?+
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisaciones. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Otras ciudades · Guías ENS
Consultoría ENS en otras provincias y recursos clave.
¿Damos el primer paso hacia tu adecuación al ENS en Cádiz?
Empezamos con una conversación breve, sin coste ni compromiso, para revisar el alcance de tus sistemas, estimar la categoría que previsiblemente te va a corresponder y el tipo de contratación pública en el que te mueves. Si el proyecto encaja, te llevas una propuesta cerrada; si no encajamos, te llevas igualmente una orientación clara para arrancar por tu cuenta.
