Consultor ENS · Comunidad Autónoma de Canarias · 7 Islas · 2 Provincias
Consultor ENS en Canarias
Soy Ángel Ortega Castro, con sede en el archipiélago. Acompaño a empresas que deben acreditar el Esquema Nacional de Seguridad (RD 311/2022) para licitar con el Gobierno de Canarias, los siete Cabildos Insulares, el Servicio Canario de Salud, la ULPGC o la ULL, tanto desde la provincia de Las Palmas como desde la de Santa Cruz de Tenerife.
Una isla, un Cabildo: 7 entidades con autonomía de licitación
2 Provincias
Las Palmas y Santa Cruz de Tenerife: marcos administrativos distintos
ZEC · REF
Régimen especial reconocido por la Unión Europea
La singularidad institucional canaria ante el ENS
Siete Cabildos, dos Gobiernos provinciales y un marco autonómico compartido.
Canarias no es solo una comunidad autónoma más. Es el único territorio español con dos provincias insulares separadas geográficamente —Las Palmas y Santa Cruz de Tenerife— cada una con su propia Delegación del Gobierno, sus propios organismos autónomos y sus propias cadenas de contratación pública. Por encima de ambas, el Gobierno de Canarias, con capitalidad compartida entre Santa Cruz de Tenerife y Las Palmas de Gran Canaria pero con organismos y delegaciones repartidos por todo el archipiélago, ejerce las competencias autonómicas a través de la Presidencia, la Consejería de Presidencia, Administraciones Públicas, Justicia y Seguridad, la Consejería de Sanidad, la Consejería de Educación, Universidades, Cultura y Deportes y la Consejería de Economía, Industria, Comercio y Autónomos. El Parlamento de Canarias, con sede en Santa Cruz de Tenerife, también es sujeto obligado al ENS en sus sistemas de información corporativos.
Bajo ese nivel autonómico, los siete Cabildos Insulares son las corporaciones de gobierno propias de cada isla: Gran Canaria, Tenerife, Fuerteventura, Lanzarote, La Palma, La Gomera y El Hierro. Cada Cabildo tiene plenas competencias insulares, su propio presupuesto, su propio perfil del contratante y sus propias exigencias de solvencia técnica en la contratación TIC. Una empresa que quiera operar simultáneamente con varios Cabildos debe gestionar —al menos en el plano comercial— hasta siete relaciones institucionales distintas, aunque el expediente ENS pueda diseñarse de forma que cubra todas con un único alcance bien dimensionado.
El Servicio Canario de Salud (SCS) actúa como el gran organismo sanitario autonómico, con hospitales de referencia en ambas provincias: el Hospital Universitario de Canarias y el Hospital Nuestra Señora de Candelaria en Tenerife; el Hospital Materno-Infantil de Canarias y el Hospital Dr. Negrín en Las Palmas. Cualquier proveedor TIC que opere sistemas clínicos, de historia digital o de gestión de pacientes en cualquiera de esos centros hereda la obligación ENS desde el contrato, con categoría habitualmente en el estrato medio o alto por la naturaleza de los datos sanitarios.
Las dos universidades públicas del archipiélago —la Universidad de Las Palmas de Gran Canaria (ULPGC) y la Universidad de La Laguna (ULL)— son instituciones sujetas al ENS en sus sistemas de administración electrónica, gestión académica e investigación. Sus plataformas de docencia virtual, los sistemas de gestión de expedientes de alumnos y las infraestructuras de investigación compartidas trasladan esa obligación a los proveedores a través de los pliegos de contratación. La coordinación ENS entre ambas universidades no está unificada por un pliego marco único: cada institución contrata de forma autónoma, aunque comparten el marco normativo del Consejo Universitario Canario.
Además de las administraciones, el ecosistema empresarial canario tiene entidades con impacto directo en la contratación pública: PROEXCA (Promotora del Comercio Exterior e Inversiones), la Zona Especial Canaria (ZEC), los Puertos de Las Palmas y Santa Cruz de Tenerife como nodos atlánticos de primer orden, la Radiotelevisión Canaria (RTVC) y el ITER (Instituto Tecnológico de Energías Renovables), referente en la investigación de eólico marino y energías renovables con proyección internacional.
Gobierno de Canarias
Doce consejerías con sistemas de información propios y contratos TIC con cláusulas ENS. La Consejería de Sanidad y la de Administraciones Públicas son las de mayor volumen de contratación tecnológica.
Siete Cabildos Insulares
Cada isla tiene su propio Cabildo con autonomía plena de contratación. Un expediente ENS bien diseñado puede cubrir varios Cabildos simultáneamente sin duplicar documentación.
SCS · Hospitales de referencia
Cuatro hospitales de referencia, dos en cada provincia. Los sistemas clínicos y de gestión de pacientes que les sirven obligan a categoría media o alta, con certificación ENAC.
ULPGC · ULL · Parlamento
Dos universidades públicas autónomas y el Parlamento de Canarias, sujetos obligados al ENS, cada uno con su cadena de contratación y sus propios criterios de solvencia técnica.
Marco normativo: Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). Ley 19/1994, de modificación del Régimen Económico y Fiscal de Canarias (ZEC). Reconocimiento de Canarias como región ultraperiférica en el TFUE. Coordinación del ENS por el Centro Criptológico Nacional (CCN). Certificación por entidades acreditadas por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Esa acreditación la exige el apartado VI.1 de la Instrucción Técnica de Seguridad de conformidad con el ENS (Resolución de 13 de octubre de 2016), la instrucción de conformidad vigente a la que remite el artículo 38.1 del RD 311/2022.
Mapa de los siete Cabildos Insulares y el ENS
Cada Cabildo, un contratante independiente: así se gestiona el ENS isla por isla.
La figura del Cabildo Insular no tiene equivalente en el resto de España. Es una corporación local de ámbito insular —una capa administrativa entre el municipio y la comunidad autónoma— con competencias propias en infraestructura, servicios sociales, turismo, medioambiente y fomento económico. Que haya siete islas habitadas significa que hay siete Cabildos con capacidad autónoma de licitación, cada uno con su propio perfil del contratante, su propio equipo de contratación y sus propias preferencias y criterios técnicos. Desde el punto de vista ENS, eso se traduce en que una empresa que quiere operar con los siete Cabildos puede encontrarse con siete pliegos distintos, aunque el RD 311/2022 sea el mismo para todos.
La buena noticia es que un expediente de conformidad ENS bien diseñado —con un alcance que cubra los sistemas comunes que esa empresa desplegaría para cualquier Cabildo— puede reutilizarse ante todos ellos. El eje crítico está en el diseño del alcance desde el principio: si se define demasiado estrecho para el primer Cabildo, habrá que ampliarlo para el segundo, con el coste documental que eso implica. La primera llamada sirve precisamente para revisar qué sistemas entrarían en el alcance y cómo diseñarlo para que sea reutilizable ante varios Cabildos a la vez.
Provincia Las Palmas
Cabildo de Gran Canaria
El de mayor volumen de contratación TIC de la provincia oriental. Digitalización de servicios insulares, sistemas de gestión de servicios sociales y turismo son sus líneas de licitación tecnológica más activas.
Provincia Las Palmas
Cabildo de Fuerteventura
Isla de fuerte crecimiento turístico y de servicios. Sus licitaciones TIC se orientan a gestión medioambiental, turismo sostenible y administración electrónica para la ciudadanía insular.
Provincia Las Palmas
Cabildo de Lanzarote
Reserva de la Biosfera con alta presión turística. Sus sistemas de gestión territorial y de servicios digitales al ciudadano generan licitaciones con exigencias de solvencia técnica ENS crecientes.
Provincia Sta. Cruz de Tenerife
Cabildo de Tenerife
El más grande en presupuesto de la provincia occidental. Su actividad de contratación TIC es equiparable al Cabildo de Gran Canaria; sus pliegos de mayor cuantía incorporan requisitos ENS con regularidad.
Provincia Sta. Cruz de Tenerife
Cabildo de La Palma
Isla vinculada a la astrofísica internacional (Observatorio del Roque de los Muchachos) y a la recuperación post-erupción del volcán. Sus sistemas de gestión de emergencias han elevado la sensibilidad ENS.
Provincia Sta. Cruz de Tenerife
Cabildo de La Gomera
Isla pequeña con una administración muy digitalizada para su tamaño. Sus contratos TIC son de menor cuantía pero crecientes en exigencia técnica, con el ENS apareciendo en los pliegos más recientes.
Provincia Sta. Cruz de Tenerife
Cabildo de El Hierro
Reserva Mundial de la Biosfera y referente en autonomía energética renovable. Sus sistemas de gestión de la red eléctrica y los servicios insulares tienen características de continuidad que elevan las dimensiones ENS de disponibilidad.
El ENS en la contratación pública autonómica canaria
Pliegos del Gobierno de Canarias y los Cabildos que ya incorporan el ENS como requisito.
El requisito ENS no es una previsión futura en la contratación pública canaria: está presente hoy en los pliegos de prescripciones técnicas de los contratos de mayor cuantía del Gobierno de Canarias y de varios Cabildos Insulares. Aparece como criterio de solvencia técnica —es decir, como requisito de admisión antes de que la mesa valore las ofertas— o como prescripción técnica obligatoria durante la ejecución del contrato. En ambos casos, no tenerlo en el momento de licitar supone descalificación directa o incumplimiento contractual.
Contratos de la Consejería de Presidencia, Administraciones Públicas, Justicia y Seguridad del Gobierno de Canarias para modernización de la administración electrónica autonómica, gestión de expedientes y plataformas de tramitación ciudadana. El perfil del contratante está disponible en la Plataforma de Contratación del Gobierno de Canarias. Los pliegos de esta consejería habitualmente exigen conformidad ENS en los sistemas que gestionan datos de ciudadanos canarios y en las plataformas de interoperabilidad con otras administraciones.
Licitaciones del Servicio Canario de Salud para historia clínica electrónica, sistemas de imagen médica diagnóstica, plataformas de telemedicina y gestión de citas en los hospitales de referencia de ambas provincias. El SCS publica sus expedientes en la Plataforma de Contratación del Sector Público bajo el código de órgano de contratación del SCS. La sensibilidad de los datos sanitarios posiciona estos contratos habitualmente en categoría media o alta, con certificación por entidad acreditada por ENAC como requisito ineludible.
Expedientes de los Cabildos Insulares de Gran Canaria y Tenerife para digitalización de servicios insulares, sistemas de gestión territorial, infraestructura de red y plataformas de atención ciudadana. Ambos Cabildos, que concentran el mayor volumen de contratación TIC de sus respectivas provincias, han incorporado el ENS en los pliegos de mayor cuantía publicados en los últimos ejercicios. Los perfiles del contratante de cada Cabildo son accesibles desde la Plataforma de Contratación del Sector Público filtrando por el órgano de contratación correspondiente.
Si tu empresa opera —o quiere operar— con cualquiera de estas entidades y aún no tiene la adecuación iniciada, el primer paso es cuantificar exactamente la brecha entre tu situación actual y los controles del Anexo II. Eso es lo que hacemos en la primera sesión, que no tiene coste. Reserva aquí tu primera llamada.
El tejido económico canario y la obligación ENS
Turismo, energías renovables, agricultura y astrofísica: sectores con presencia pública y necesidad ENS.
La economía canaria tiene una estructura sectorial que condiciona qué tipos de empresas tienen más probabilidad de entrar en el perímetro ENS. No todas las empresas del archipiélago quedan alcanzadas: la obligación nace de la relación contractual con el sector público, no del tamaño de la empresa ni del sector en que opere. Pero hay sectores donde esa relación es especialmente frecuente.
Turismo (todas las islas): el sector turístico es el motor económico del archipiélago. Las empresas tecnológicas que dan soporte a sistemas de gestión turística de organismos como PROEXCA, los patronatos insulares de turismo dependientes de los Cabildos o los portales de promoción del Gobierno de Canarias deben contemplar el ENS cuando su tecnología sustenta sistemas de información públicos. Las plataformas de reserva o gestión que operan únicamente para clientes privados no quedan en el ámbito, pero sí las que integran datos o sistemas con organismos autonómicos o insulares.
Energías renovables e ITER: el Instituto Tecnológico de Energías Renovables (ITER), referente internacional en eólico marino y almacenamiento energético con sede en Granadilla de Abona (Tenerife), trabaja en proyectos con financiación pública autonómica y europea. Las empresas TIC que desarrollan o mantienen sistemas para ITER o para proyectos de la red eléctrica insular de El Hierro —la isla más avanzada en autonomía renovable— pueden encontrarse con requisitos ENS en sus contratos de I+D y gestión de infraestructura.
Agricultura canaria (plátano, tomate, viña Malvasía): los sistemas de trazabilidad agrícola y de gestión de subvenciones del Fondo Europeo Agrícola que canalizan los organismos del Gobierno de Canarias (Consejería de Agricultura) vinculan a los proveedores tecnológicos de estos sistemas al ámbito ENS. Las cooperativas y entidades agroalimentarias que acceden a financiación pública a través de plataformas digitales propias de la Administración heredan la misma obligación.
Sector portuario (Las Palmas y Santa Cruz de Tenerife como escala atlántica): los Puertos de Las Palmas y Santa Cruz de Tenerife son infraestructuras críticas del Estado con entidades gestoras propias. Sus sistemas de gestión portuaria, escala de cruceros y logística de contenedores tienen componentes TIC con contratos que exigen conformidad ENS en los sistemas que soportan servicios esenciales de la infraestructura. Las empresas tecnológicas que sirven a estas entidades deben revisar si sus contratos incluyen cláusulas ENS.
Astrofísica e investigación (Roque de los Muchachos, La Palma): el Observatorio del Roque de los Muchachos, gestionado por el Instituto de Astrofísica de Canarias (IAC) en La Palma, acoge telescopios de primera magnitud internacional con financiación pública española y europea. Los proveedores de sistemas de gestión de datos de observación, infraestructura de red y plataformas de investigación que trabajan con el IAC pueden quedar alcanzados por el ENS cuando la relación contractual es con organismos del sector público.
Servicios TIC acogidos a ZEC/REF: la Zona Especial Canaria (ZEC) y el Régimen Económico y Fiscal (REF) de Canarias atraen empresas tecnológicas que quieren beneficiarse del tipo reducido del Impuesto de Sociedades y del IGIC. La inscripción en el registro ZEC no exime del ENS: la obligación sigue naciendo de la relación contractual con el sector público. Para estas empresas el valor añadido de la adecuación ENS es doble: les habilita para contratar con organismos insulares y autonómicos canarios, y también para licitar con administraciones de la Península sin perder las ventajas fiscales de su sede en el archipiélago.
Radiotelevisión Canaria (RTVC): la radiotelevisión pública autonómica es un sujeto obligado al ENS en sus sistemas de producción, distribución y gestión. Sus proveedores de tecnología de broadcasting, plataformas de distribución digital y sistemas de archivo audiovisual deben revisar si sus contratos con RTVC incluyen exigencias de conformidad ENS, especialmente los sistemas de continuidad de la emisión.
Situaciones que acompaño con frecuencia en Canarias
Tres perfiles autonómicos: ZEC + Cabildos + universidades.
TIC · ZEC/REF · Gobierno de Canarias + Administración General del Estado
Empresa TIC acogida a ZEC/REF que licita simultáneamente con el Gobierno de Canarias y con administraciones peninsulares.
Integradora o desarrolladora inscrita en el registro ZEC que tiene contratos activos o previstas licitaciones tanto con el Gobierno de Canarias —a través de la Consejería de Economía, Industria, Comercio y Autónomos o de la Consejería de Presidencia, Administraciones Públicas, Justicia y Seguridad— como con ministerios o comunidades autónomas peninsulares. El reto central es diseñar un alcance ENS único que cubra ambos entornos de contratación: los sistemas que sirven a clientes insulares y los que sirven a clientes peninsulares, sin duplicar el expediente documental. La fiscalidad ZEC (IGIC en lugar de IVA, tipo reducido de Sociedades) no afecta al proceso de adecuación, pero sí a la facturación del servicio de consultoría.
ISV sanitario · SCS · Dos provincias insulares · Hospital Universitario de Canarias + Dr. Negrín
ISV que da servicio al SCS con presencia en las dos provincias insulares (Las Palmas y Tenerife).
Empresa de software clínico, historia de salud digital o plataformas de teleconsulta que opera o quiere operar en hospitales de referencia de ambas provincias: el Hospital Universitario de Canarias y el Hospital Nuestra Señora de Candelaria en la provincia de Santa Cruz de Tenerife; el Hospital Materno-Infantil de Canarias y el Hospital Dr. Negrín en la provincia de Las Palmas. La dispersión insular exige que el alcance ENS cubra los sistemas en ambas provincias con coherencia: el inventario de activos, el análisis de riesgos MAGERIT y el plan de implantación deben tratar los sistemas de ambas sedes de forma integrada, no como dos proyectos independientes. La categoría resultante es habitualmente media o alta, con certificación ENAC obligatoria.
Consultora TIC · 3-4 Cabildos Insulares + ULPGC + ULL + Gobierno de Canarias
Consultora que coordina la adecuación ENS para tres o cuatro Cabildos Insulares, las dos universidades públicas y el Gobierno de Canarias.
Empresa de integración o consultoría tecnológica que presta servicios a un número creciente de entidades del sector público canario: varios Cabildos —por ejemplo, Gran Canaria, Tenerife y Fuerteventura—, la ULPGC y la ULL con sistemas de administración electrónica, y el Gobierno de Canarias para proyectos de interoperabilidad autonómica. El principal reto no es técnico sino de diseño del alcance: hay que cubrir todos esos clientes con un expediente ENS que sea creíble ante cada uno de ellos sin convertirse en un documento genérico que ninguno valide. El alcance se define por los sistemas que soportan la relación contractual con cada entidad, no por la entidad en sí: un sistema que sirve a tres Cabildos entra una sola vez, con la categoría más alta de las tres relaciones.
Del análisis de brechas a la conformidad documentada
Cómo trabajo el ENS autonómico canario, paso a paso y sin atajos documentales.
El proceso de adecuación al ENS en Canarias sigue las guías CCN-STIC del Centro Criptológico Nacional, que son el marco de referencia que usan tanto el Gobierno de Canarias como los Cabildos y el SCS para evaluar los expedientes de proveedores. La dispersión geográfica del archipiélago añade una variable que pocas metodologías de fuera de las islas incorporan de forma nativa: cuando el alcance abarca sistemas en más de una isla, el inventario de activos, el análisis de riesgos y la planificación de sesiones de trabajo deben contemplar esa distribución desde el diseño inicial, no como un ajuste de última hora.
Itinerario de adecuación ENS · ámbito autonómico Canarias · fases y entregables
Fase
En qué consiste
Qué obtienes
Fase 01 Análisis GAP autonómico
Mapeo los sistemas de información que dan soporte a contratos con el Gobierno de Canarias, los Cabildos Insulares o el SCS, y los contrasto frente a los controles del Anexo II del RD 311/2022. Identifico qué brechas bloquean la licitación más inminente para priorizar el cierre en el orden correcto.
Informe de brechas ordenado por impacto sobre la capacidad de licitación en Canarias, con estimación de esfuerzo y secuencia táctica de implantación.
Fase 02 Categorización multi-entidad
Aplico las cinco dimensiones CIDAT a cada sistema en alcance. Cuando el sistema da servicio a varios Cabildos o a varias consejerías del Gobierno de Canarias, la categoría se calcula tomando el nivel más alto de todas las relaciones contractuales activas, para que el expediente sirva ante todos los contratantes sin ajustes posteriores.
Acta de categorización conforme al Anexo I del RD 311/2022, diseñada para ser presentable ante cualquier organismo canario que la requiera, sin necesidad de versiones distintas por entidad.
Fase 03 Análisis de riesgos insular
Aplico metodología MAGERIT v3 con adaptaciones para entornos insulares: conectividad entre islas, dependencia de la infraestructura portuaria y aérea para el soporte físico, distribución de activos entre sedes en provincias distintas y exposición específica de sistemas turísticos y energéticos del archipiélago.
Informe MAGERIT con el mapa de riesgos adaptado al entorno canario y el plan de tratamiento con salvaguardas ordenadas por coste-eficacia real en el contexto insular.
Fase 04 Política y DdA autonómica
Elaboro la política de seguridad ajustada a la operativa real de tu empresa en el archipiélago y construyo la Declaración de Aplicabilidad con cada medida del Anexo II justificada individualmente. Las exclusiones tienen en cuenta tanto las características técnicas del sistema como la naturaleza del contratante canario al que se dirige la adecuación.
Política de seguridad firmable por la dirección y DdA completa que aguanta la revisión de la mesa de contratación del Gobierno de Canarias o de cualquier Cabildo Insular.
Fase 05 Implantación coordinada
Trabajo con tu equipo en la ejecución de las medidas: controles técnicos, procedimientos operativos, protecciones físicas y lógicas. Cuando el proyecto abarca sistemas en las dos provincias, las sesiones se planifican para minimizar desplazamientos: presenciales en la sede principal, remotas para los equipos en otras islas, con visitas puntuales cuando el control a auditar requiere verificación física in situ.
Evidencias de implantación medida por medida, reunidas en el expediente de conformidad y organizadas según la estructura que piden las guías CCN-STIC.
Fase 06 Conformidad y cierre
Revisión final del expediente antes del cierre. En categoría básica, verifico que la declaración autoevaluada esté respaldada por todas las evidencias requeridas por el contratante canario. En media o alta, estruturo el dosier para la entidad certificadora acreditada por ENAC y coordino el calendario de auditoría teniendo en cuenta los tiempos de desplazamiento al archipiélago.
Expediente cerrado listo para presentación ante el Gobierno de Canarias, los Cabildos o el SCS: declaración de conformidad con sus evidencias en básica, o dosier completo para la auditoría de la entidad acreditada en media o alta.
Qué categoría ENS corresponde según el cliente público canario
Básica, media o alta: cómo la estructura institucional del archipiélago determina tu nivel.
En Canarias, el tipo de organismo público contratante y la naturaleza del servicio prestado son los dos indicadores más fiables para anticipar la categoría ENS antes de abrir el Anexo I del RD 311/2022. El mapa institucional del archipiélago —con el Gobierno de Canarias, los siete Cabildos, el SCS y las dos universidades públicas actuando como contratantes principales— genera patrones bastante predecibles en la categorización.
Categoría básica
Impacto limitado
Habitual en empresas TIC que dan soporte a trámites administrativos de Cabildos pequeños (La Gomera, El Hierro), portales de transparencia insulares, herramientas de gestión interna de organismos autónomos del Gobierno de Canarias de baja criticidad, o plataformas de información turística sin datos personales sensibles.
Ninguna dimensión CIDAT supera el nivel bajo
Declaración de conformidad autoevaluada
Asequible para una pyme con base tecnológica inicial
Categoría media
Impacto grave
Frecuente en plataformas que acceden a datos clínicos del SCS, sistemas que gestionan expedientes de ciudadanos de la Consejería de Presidencia, Administraciones Públicas, Justicia y Seguridad, soluciones académicas de la ULPGC o la ULL con expedientes de alumnos, y sistemas de gestión de subvenciones con datos sensibles del Gobierno de Canarias.
Al menos una dimensión llega al nivel medio
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Reservada a sistemas cuyo fallo tendría consecuencias irreparables para la ciudadanía o para la prestación de servicios esenciales. En Canarias aparece en sistemas de urgencias del SCS, infraestructuras de telecomunicaciones críticas con componente público y ciertos sistemas de gestión de infraestructura portuaria o energética insular.
Al menos una dimensión alcanza el nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad sin excepción
Las dos vías hacia la conformidad en el archipiélago
Básica → declaración autoevaluada ante el Cabildo o la Consejería
En categoría básica, la conformidad se acredita con una declaración firmada por el responsable de seguridad de la empresa, respaldada por el expediente documental completo: análisis GAP, categorización, análisis de riesgos, política de seguridad, DdA y evidencias de implantación medida por medida. El Gobierno de Canarias, los Cabildos Insulares y los organismos dependientes pueden requerir esa declaración en cualquier fase de la licitación o durante la ejecución del contrato. El expediente debe estar en condiciones de superar esa revisión sin necesidad de añadir documentación a posteriori: si un auditor de la Consejería de Economía lo revisa en la fase de verificación de solvencia, tiene que bastar.
Media / alta → certificación por entidad acreditada por ENAC
Cuando el sistema procesa datos clínicos del Servicio Canario de Salud, gestiona expedientes sensibles del Gobierno de Canarias o soporta infraestructuras de alta criticidad insular, la declaración autoevaluada no es suficiente: el RD 311/2022 exige certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. En este escenario, preparo el expediente documental completo —política de seguridad, MAGERIT, plan de adecuación y evidencias por cada control del Anexo II— y acompaño a la empresa durante el proceso de auditoría. La certificación la firma siempre la entidad acreditada; mi función es que el expediente llegue a esa auditoría sin brechas que generen no conformidades mayores.
Lo que obtienes al terminar el proceso
Un expediente que aguanta la revisión de cualquier organismo público canario.
Lo que entrego no es un paquete de documentos prefabricados con el nombre de tu empresa pegado encima. Cada análisis, cada política y cada plan de adecuación parte de los sistemas reales de tu empresa, de los contratos actuales o previstos con las entidades públicas canarias y de las decisiones concretas que tomamos juntos durante el proceso. Cuando el auditor de la entidad acreditada o el responsable de compras del Gobierno de Canarias revisa el expediente, encuentra los sistemas reales incluidos en el alcance —con su categoría, sus riesgos y sus evidencias—, no una descripción genérica de lo que debería haber.
Informe GAP autonómico canario: estado real de cada control del Anexo II frente a lo que tiene tu empresa hoy, ordenado por impacto sobre la capacidad de licitación con el Gobierno de Canarias, los Cabildos y el SCS, con estimación de esfuerzo por brecha.
Acta de categorización ENS: evaluación de las cinco dimensiones CIDAT para cada sistema en alcance, con la categoría resultante documentada conforme al Anexo I del RD 311/2022. Cuando el sistema sirve a varios Cabildos o a varias consejerías, la categoría contempla todas las relaciones contractuales.
Informe MAGERIT v3 con adaptaciones insulares: inventario de activos, catálogo de amenazas con adaptaciones para el entorno de conectividad y distribución geográfica canaria, cálculo del riesgo residual por activo crítico y plan de tratamiento priorizado por coste-eficacia real en el archipiélago.
Política de seguridad y normativa de segundo nivel: política firmable por la dirección más los procedimientos e instrucciones técnicas que el ENS exige para sustentar el marco organizativo, adaptados a la estructura real de tu empresa en Canarias.
Plan de implantación conforme a CCN-STIC 806: hitos, responsables, fechas y criterios de cierre de cada medida, con las sesiones de trabajo planificadas teniendo en cuenta la distribución insular del equipo.
Declaración de Aplicabilidad (DdA): cada medida del Anexo II justificada individualmente como incluida, excluida o diferida, con el razonamiento que exige el auditor o la mesa de contratación de cualquier organismo canario.
Paquete de evidencias por medida: registros, configuraciones, actas de formación y cualquier prueba de ejecución que demuestre que cada control está implantado y no solo documentado en papel.
Cierre del expediente: declaración de conformidad con todos sus soportes en categoría básica, o dosier preparado para la entidad certificadora acreditada por ENAC en categoría media o alta, con coordinación del calendario de auditoría incluida.
Ángel Ortega Castro consultor ENS · Canarias
Por qué trabajar conmigo en el archipiélago
Presencia en Canarias, conocimiento del mapa institucional insular.
Me llamo Ángel Ortega Castro y tengo sede en el archipiélago. No soy un consultor peninsular que vuela a las islas para reuniones puntuales: conozco de primera mano el mapa institucional canario, la cadencia de licitación del Gobierno de Canarias y de los siete Cabildos Insulares, y los requisitos específicos del Servicio Canario de Salud para sus proveedores de sistemas clínicos. Esa presencia real en el archipiélago se traduce en que el arranque de un proyecto puede ser presencial la misma semana, sin el tiempo muerto de la logística de desplazamiento desde la Península.
Entiendo también la complejidad específica de operar en una comunidad con dos provincias insulares separadas geográficamente: cuando el alcance ENS afecta a sistemas en ambas provincias —porque la empresa tiene equipos o infraestructura en Las Palmas y en Tenerife, o porque da servicio tanto al Hospital Universitario de Canarias como al Hospital Dr. Negrín—, el diseño del alcance tiene que contemplar esa distribución desde el primer día, no como un añadido posterior. Un expediente ENS que no trata los sistemas de ambas provincias con coherencia no supera la revisión de una entidad certificadora seria.
Conozco también el ecosistema ZEC/REF y sus implicaciones prácticas en la facturación del servicio: cuando trabajo con una empresa inscrita en el registro ZEC, la factura se emite con IGIC en lugar de IVA, y el proceso de adecuación al ENS es exactamente el mismo que el de cualquier empresa peninsular. Y sé que una empresa que quiere licitar simultáneamente con el Gobierno de Canarias y con administraciones de la Península necesita un único expediente bien diseñado, no dos proyectos de adecuación en paralelo.
Sede en el archipiélago canarioMapa institucional: Gobierno · 7 Cabildos · SCS · ULPGC · ULLRD 311/2022 · Anexos I-IV · guías CCN-STICMAGERIT v3 · análisis de riesgos insularesZEC · REF · IGICCoordinación inter-insular sin fricción
Inversión, sin sorpresas
¿Cuánto cuesta adecuarse al ENS en Canarias?
La inversión en la adecuación ENS en Canarias depende de cuatro variables: cuántos sistemas de información entran en el alcance (y cuántas islas o sedes implican), qué categoría ENS les corresponde según el análisis de impacto CIDAT, la distancia entre la situación actual y las medidas del Anexo II, y si el contrato al que se dirige la adecuación exige declaración autoevaluada o certificación por entidad acreditada por ENAC. Un proveedor de servicios digitales que opera solo con el Cabildo de una isla y tiene categoría básica tiene un proyecto muy distinto al de un ISV que da soporte clínico al SCS en las dos provincias.
Presupuesto cerrado tras el diagnóstico GAPSin sorpresas · sin ampliaciones de alcance no previstas
En Canarias se aplica el IGIC (Impuesto General Indirecto Canario) en lugar del IVA peninsular; cuando facturo a empresas radicadas en el archipiélago, la factura lleva IGIC. En proyectos de categoría media o alta es necesario contemplar dos partidas separadas: los honorarios de la consultoría (que prepara el expediente) y el coste de la auditoría de conformidad que emite la entidad acreditada por ENAC (que certifica); esa segunda partida la emite un tercero independiente y su importe varía según el número de días de auditoría, la complejidad del alcance y la necesidad de desplazamiento del auditor al archipiélago.
La primera sesión —en formato llamada o reunión presencial según prefieras— es gratuita. En treinta minutos revisamos qué sistemas entran en el alcance, qué organismo canario es el contratante objetivo, qué categoría ENS es probable y cuánto trabajo hay entre donde estás ahora y donde necesitas estar. Si tiene sentido continuar juntos, te envío una propuesta con alcance, precio y plazo cerrados.
Preguntas frecuentes · ENS en el ámbito autonómico canario
Dudas específicas del entorno institucional canario ante el ENS.
¿El Gobierno de Canarias tiene un pliego marco ENS aplicable a las dos capitales de provincia?+
A la fecha de actualización de esta página, el Gobierno de Canarias no ha publicado un pliego marco ENS único de aplicación transversal a sus contratos TIC. La exigencia ENS se incorpora de forma individual en los pliegos de prescripciones técnicas de cada expediente concreto, lo que significa que el requisito puede variar en su formulación exacta entre, por ejemplo, un contrato de la Consejería de Sanidad y uno de la Consejería de Presidencia, Administraciones Públicas, Justicia y Seguridad: uno puede exigir conformidad en categoría básica autoevaluada, el otro puede requerir acreditación por entidad ENAC en categoría media.
Para una empresa que quiere operar con varias consejerías y con organismos en ambas capitales —Las Palmas y Santa Cruz de Tenerife—, la estrategia más eficiente es diseñar un alcance ENS amplio desde el principio, que cubra el nivel más exigente de las relaciones contractuales previstas, y no construir expedientes separados para cada consejería. La consultoría ENS para empresas incluye esa revisión de alcance en el diagnóstico inicial.
¿Cómo se coordina el ENS entre los siete Cabildos Insulares? ¿Cada Cabildo aplica su propio criterio?+
Sí: cada Cabildo Insular aplica el ENS de forma autónoma, con sus propios pliegos y su propio criterio sobre cómo formularlo. No existe a día de hoy un pliego marco común entre los siete Cabildos, ni un organismo de coordinación ENS interinsular que unifique criterios. El RD 311/2022 es el mismo para todos, pero cada Cabildo puede redactar el requisito con distinta especificidad: el Cabildo de Gran Canaria puede exigir la acreditación ENS como criterio de admisión, mientras que el Cabildo de La Gomera puede incorporarlo como prescripción técnica obligatoria durante la ejecución sin verificar la acreditación previa en la fase de licitación.
Para una empresa que quiere operar con varios Cabildos simultáneamente, la clave está en diseñar el alcance ENS para el contratante más exigente del grupo, de modo que ese expediente sea válido ante todos los demás sin ajustes. Desde la primera sesión gratuita revisamos qué Cabildos tienes en el horizonte y cómo diseñar el alcance de forma que sea reutilizable ante el máximo número de ellos.
¿El SCS coordina el ENS de los hospitales de referencia de las dos provincias insulares?+
El Servicio Canario de Salud actúa como el organismo contratante central de los grandes contratos TIC sanitarios del archipiélago, con lo que su política de seguridad y sus exigencias ENS aplican de forma transversal a sus centros en ambas provincias: el Hospital Universitario de Canarias y el Hospital Nuestra Señora de Candelaria en la provincia de Santa Cruz de Tenerife; el Hospital Materno-Infantil de Canarias y el Hospital Dr. Negrín en la provincia de Las Palmas. Un contrato TIC firmado con el SCS que incluya despliegue en hospitales de ambas provincias tendrá un pliego único, aunque la ejecución implique equipos y sistemas en las dos.
Para el proveedor, eso significa que el expediente ENS debe cubrir los sistemas desplegados en todos los centros incluidos en el contrato, no solo los de la provincia donde tiene su sede principal. El diseño del alcance es especialmente importante en estos casos: si el sistema de historia clínica está alojado en un datacenter en Gran Canaria pero sirve a centros de Tenerife, ambas dimensiones —la del datacenter y la de la conectividad hacia los centros servidos— tienen que estar en el análisis de riesgos.
¿Las dos universidades públicas (ULPGC y ULL) tienen requisitos ENS unificados por el Consejo Universitario Canario?+
No existe un pliego marco ENS unificado para las dos universidades públicas canarias a través del Consejo Universitario Canario o de ningún otro organismo de coordinación autonómica. La Universidad de Las Palmas de Gran Canaria (ULPGC) y la Universidad de La Laguna (ULL) contratan de forma autónoma, y cada una incorpora el ENS en sus pliegos de prescripciones técnicas de forma independiente. La categoría exigida depende del tipo de sistema contratado: un proveedor de plataforma de docencia virtual que la ULPGC usa para la gestión de expedientes de alumnos recibirá un pliego con requisitos ENS distintos al de un proveedor de infraestructura de investigación para el Instituto de Astrofísica de Canarias.
Para una empresa que quiere operar con las dos universidades, la estrategia recomendada es la misma que con los Cabildos: diseñar el alcance ENS para el nivel más exigente de las dos relaciones contractuales previstas, de modo que el expediente valga para ambas. Si tienes contratos activos o en perspectiva con la ULPGC, la ULL o ambas, la primera sesión sirve para determinar qué sistemas entran en el alcance de cada relación y si tiene sentido unificarlas.
¿La ZEC exige requisitos ENS específicos a empresas TIC acogidas al régimen especial?+
La Zona Especial Canaria (ZEC) no impone requisitos ENS propios. La ZEC es un régimen fiscal especial —tipo reducido de Impuesto de Sociedades e IGIC— diseñado para atraer inversión y actividad económica al archipiélago; no es un marco normativo de seguridad de la información. La obligación ENS para las empresas TIC inscritas en el registro ZEC deriva únicamente de su relación contractual con el sector público: si una empresa ZEC presta servicios al Gobierno de Canarias, a un Cabildo o al SCS, queda alcanzada por el RD 311/2022 exactamente igual que una empresa no acogida a la ZEC.
Lo que sí tiene implicaciones prácticas la ZEC es en la facturación del servicio de consultoría ENS: cuando la empresa cliente está radicada en Canarias bajo el régimen ZEC, la factura del consultor lleva IGIC en lugar de IVA peninsular. Y en el diseño del alcance hay que tener en cuenta que muchas ZEC operan simultáneamente con clientes insulares y con administraciones peninsulares, lo que exige un expediente que cubra ambos entornos de contratación sin duplicar la documentación.
¿Arrancamos con la adecuación ENS para el mercado público canario?
Agenda una primera sesión gratuita para analizar qué organismos canarios —Gobierno de Canarias, Cabildos Insulares, SCS, ULPGC o ULL— tienes en el horizonte, qué sistemas de información están implicados y qué categoría ENS les corresponde. En treinta minutos tendrás una idea clara de qué trabajo hay entre tu situación actual y la conformidad que ese contratante requiere. Si tras esa conversación tiene sentido continuar juntos, te envío una propuesta con alcance, precio y plazo cerrados y sin letra pequeña.