Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas de Gran Canaria. Trabajo en remoto con empresas de toda España y me desplazo a Castellón de la Plana cuando el proyecto lo requiere, para acompañar la adecuación al Esquema Nacional de Seguridad (RD 311/2022) de empresas de la ciudad y de toda la provincia, de modo que puedan licitar y trabajar con el Ayuntamiento de Castellón de la Plana, la Diputación de Castellón, la Universitat Jaume I o la Generalitat Valenciana sin quedar fuera de los pliegos.
Castellón de la Plana no es la sede del Consell de la Generalitat Valenciana —esa capitalidad corresponde a la ciudad de Valencia—, pero es la capital de su provincia y concentra administración propia con volumen de contratación real: el Ayuntamiento de Castellón de la Plana (Ajuntament de Castelló), la Diputación Provincial de Castellón (Diputació de Castelló), la Universitat Jaume I (UJI) y la Autoridad Portuaria de Castellón (PortCastelló). Todos ellos, como el resto del sector público español, están sujetos al Esquema Nacional de Seguridad por el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo), y trasladan esa obligación a la cadena de proveedores que les prestan servicios TIC.
La Diputación de Castellón no se ha quedado en el mínimo exigible: mantiene una Oficina Provincial de Protección de Datos y Seguridad y, a través de su servicio SEPAM (Servicio Provincial de Asistencia a Municipios), ofrece de forma activa a los ayuntamientos de la provincia de menos de 20.000 habitantes la adecuación material y técnica de sus sistemas de información al ENS, conforme a la guía CCN-STIC-806. Esto significa que la Diputación —y, por extensión, buena parte de los municipios que se acogen a ese servicio— exige a sus proveedores tecnológicos una conformidad con el ENS que va más allá de lo simbólico.
El Ayuntamiento de Castellón de la Plana, por su parte, ha renovado su Sede Electrónica y cuenta con una Concejalía de Innovación Digital y Administración Electrónica que ya ha tramitado su primera licitación TIC 100% electrónica a través de la Plataforma de Contratación del Sector Público. La Universitat Jaume I, como institución pública universitaria, gestiona sistemas de expedientes académicos y administración electrónica sujetos al ENS, y su parque científico y tecnológico Espaitec —con más de cincuenta empresas afiliadas, un 42,3 % de ellas del sector TIC— es el semillero natural de proveedores que aspiran a trabajar con el sector público.
Alrededor de esa administración se ha desarrollado un tejido económico propio y muy identificable: el clúster cerámico —con cerca del 94 % del azulejo fabricado en España y en torno al 22-23 % del PIB industrial de la provincia, según datos de ASCER— concentrado en el eje Alcora-Onda-Vila-real-Castellón; el Puerto de Castellón (PortCastelló), entidad pública que mueve mercancía cerámica y energética y que avanza hacia la eólica marina flotante; el turismo de la Costa Azahar, con dieciséis municipios costeros; y un sector agroalimentario citrícola exportador. Buena parte de las empresas tecnológicas que dan soporte a ese tejido acaban, tarde o temprano, prestando también servicio a alguna administración. Para todas ellas, quedar fuera del ENS es quedar fuera de la licitación.
Su Oficina Provincial de Protección de Datos y Seguridad y el servicio SEPAM adecúan al ENS a decenas de municipios pequeños. Sus proveedores tecnológicos deben acreditar el mismo nivel de conformidad.
El Ayuntamiento de Castellón de la Plana ya tramita licitaciones TIC 100% electrónicas y exige cada vez con más frecuencia la conformidad con el ENS en sus pliegos de sistemas y ciberseguridad.
La Universitat Jaume I está sujeta al ENS, y las más de cincuenta empresas de su parque científico Espaitec —un 42,3 % de perfil TIC— buscan escalar hacia contratos con administraciones públicas.
La Dirección General de Tecnologías de la Información y las Comunicaciones (DGTIC) y el CSIRT-CV coordinan la seguridad de la información autonómica y aplican el ENS a sus proveedores en toda la provincia.
Antes de arrancar conviene tener claro el marco completo: te dejo la guía ENS completa y, si prefieres delegar el proceso desde el primer día, los detalles del servicio de consultoría ENS para empresas.
La norma no se queda dentro de la Administración: alcanza también a toda empresa privada que le preste servicios mediante relación contractual. Aplicado al tejido de Castellón de la Plana, ese alcance cubre un número considerable de negocios de la ciudad y de la provincia.
Estos son perfiles concretos que, en la práctica, se ven obligados a adecuarse:
La disposición transitoria única del RD 311/2022 concedió 24 meses para poner al día los sistemas ya existentes; ese plazo se agotó el 5 de mayo de 2024. Los sistemas de nueva creación, o los que sufran cambios sustanciales, tienen que cumplir desde su puesta en marcha. Si tu empresa aún no ha arrancado el proceso de adecuación, cada nuevo anuncio en el perfil del contratante debería servirte de aviso: el margen sigue reduciéndose.
Sigo el orden que marcan las guías CCN-STIC: arranco con el diagnóstico y termino con la declaración de conformidad o la auditoría, según la categoría que corresponda. Busco que tu empresa avance hacia la conformidad paso a paso, con una documentación que resista el escrutinio de la Diputación de Castellón, del Ayuntamiento, de la Generalitat Valenciana o de cualquier otro organismo que te lo exija en un pliego.
| Fase | Qué hago | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación de partida con lo que exige el ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Informe de diagnóstico con la distancia real al cumplimiento y las brechas prioritarias. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y determino su categoría: básica, media o alta. | Anexo I del ENS. Determina el nivel de exigencia y la vía de conformidad aplicable. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos y plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando control por control. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Acompaño a tu equipo mientras desplegáis las medidas del Anexo II: marco organizativo, operacional y de protección. | Evidencias de implantación por medida, listas para auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre. Si la categoría es básica, te ayudo con la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Preparo la conformidad; la certificación media/alta la emite un tercero acreditado por ENAC. |
La categoría de un sistema no se decide a criterio propio: sale de valorar el impacto de un posible incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que alcance el nivel más alto.
Se aplica cuando un incidente causaría un perjuicio limitado a las funciones de la organización, a sus activos o a las personas. Es la categoría que más se repite entre proveedores de servicios auxiliares.
Aparece cuando el incidente supondría un perjuicio grave, con alguna dimensión en nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a un perjuicio muy grave, incluso irreparable, con alguna dimensión en nivel alto. Es propia de sistemas críticos o de datos especialmente sensibles.
Cuando el sistema es de categoría básica, basta con una declaración de conformidad autoevaluada: la propia empresa verifica que cumple según las guías CCN-STIC. Yo preparo la documentación y reúno las evidencias para que esa declaración aguante cualquier revisión del organismo contratante.
En categoría media o alta hace falta certificación de una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo para afrontarla con garantías; ahora bien, quien emite la certificación es siempre la entidad acreditada, nunca el consultor.
No trabajo para dejarte un PDF que se queda sin abrir en una carpeta. Te entrego el conjunto documental y técnico que sostiene la conformidad y que el auditor, la Diputación de Castellón, el Ayuntamiento de Castellón de la Plana o el organismo que corresponda va a pedirte ver dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Opero desde mis dos bases, Valladolid y Las Palmas de Gran Canaria, doy servicio en remoto a clientes de toda España y viajo hasta Castellón de la Plana cuando el proyecto lo pide: para la reunión de arranque, para sesiones de trabajo con tu equipo técnico o para acompañarte durante la auditoría. Conozco bien cómo funciona la contratación pública de la provincia: el programa que la Diputación de Castellón pone a disposición de los municipios a través de SEPAM para adecuarlos al ENS, la contratación electrónica que ya usa el Ayuntamiento de Castellón de la Plana, el papel que juega la Universitat Jaume I junto con su parque científico Espaitec, y lo que exige la Generalitat Valenciana a través de la DGTIC y del CSIRT-CV.
Entiendo mi papel como un acompañamiento cercano, de persona a persona: nada de entregar un manual y desaparecer. Estoy contigo en cada fase, convierto la norma en decisiones prácticas y dejo a tu equipo preparado para sostener la conformidad cuando el proyecto termine, sin que importe dónde tengas la sede.
Soy claro sobre los límites de mi papel: preparo y adecúo a tu organización para llegar a la conformidad; la certificación en las categorías media o alta la otorga siempre una entidad acreditada por ENAC. Esa honestidad, sumada al rigor con el que sigo la norma en vigor (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me separa de las consultoras que prometen de más.
Integradoras o desarrolladoras que mantienen aplicaciones o dan soporte técnico a la Oficina Provincial de Protección de Datos y Seguridad de la Diputación de Castellón, o a los ayuntamientos de menos de 20.000 habitantes que se acogen a su servicio SEPAM de adecuación al ENS. Suelen moverse en categoría básica o media.
Empresas tecnológicas afiliadas a Espaitec, el parque científico y tecnológico de la Universitat Jaume I, que tras consolidarse en el sector privado quieren ampliar su cartera hacia contratos con la propia UJI, el Ayuntamiento de Castellón o la Generalitat Valenciana. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Empresas de conectividad, videovigilancia o sistemas de control de tráfico portuario que prestan servicio a la Autoridad Portuaria de Castellón, motor logístico del clúster cerámico y de los nuevos tráficos energéticos vinculados a la eólica marina, y que necesitan acreditar conformidad con el ENS como entidad pública que son.
No existe una tarifa cerrada de antemano, y yo desconfiaría de cualquiera que te la diera sin haber visto tu caso. Lo que pagas depende del alcance del proyecto (número de sistemas), de la categoría que te toque (básica, media o alta), de tu punto de madurez de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Cuando la categoría es media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC. Ese importe es independiente de mi presupuesto: lo factura directamente el tercero que ejecuta la auditoría de conformidad.
Sí. La Diputación Provincial de Castellón es una entidad local sujeta al ENS por el RD 311/2022, y además mantiene una Oficina Provincial de Protección de Datos y Seguridad que, a través del servicio SEPAM, adecúa al ENS a los ayuntamientos de la provincia de menos de 20.000 habitantes conforme a la guía CCN-STIC-806. Si tu empresa presta o aspira a prestar servicios digitales a la Diputación o a esos municipios, acreditar el ENS es un requisito de solvencia técnica habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El Ayuntamiento de Castellón de la Plana, como entidad local sujeta al RD 311/2022, ha renovado su Sede Electrónica y ya ha tramitado licitaciones TIC 100% electrónicas a través de la Plataforma de Contratación del Sector Público. Los pliegos de sistemas, ciberseguridad o servicios digitales incorporan cada vez con más frecuencia la conformidad con el ENS como requisito de solvencia técnica.
Sí. La Universitat Jaume I (UJI) es una institución pública universitaria sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, plataformas de administración electrónica—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC, incluidas las empresas afiliadas a su parque científico y tecnológico Espaitec, que acrediten conformidad con el RD 311/2022 en los contratos que impliquen acceso a sus sistemas.
Sí, en la medida en que es una entidad pública sujeta al RD 311/2022. PortCastelló gestiona un tráfico de mercancías creciente vinculado al clúster cerámico y a los nuevos tráficos energéticos, y como cualquier organismo del sector público traslada exigencias de conformidad con el ENS a las empresas que le prestan servicios tecnológicos, de conectividad o de ciberseguridad para sus sistemas e infraestructuras.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas para el organismo autonómico o sus delegaciones en la provincia. La Generalitat Valenciana coordina su seguridad de la información a través de la Dirección General de Tecnologías de la Información y las Comunicaciones (DGTIC) y del CSIRT-CV —el primer centro de respuesta a incidentes autonómico de España— y aplica el ENS conforme al RD 311/2022 en todos sus sistemas. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) del Anexo I.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Diputación de Castellón, el Ayuntamiento o la Generalitat Valenciana, lo que el pliego exige es el ENS.
Cuéntame en una primera llamada, sin coste ni compromiso, qué sistemas quieres poner al día y con qué administración —Ayuntamiento, Diputación, UJI o Generalitat— necesitas licitar. Con eso te doy una lectura realista de la categoría previsible y de los plazos; si encajamos, la siguiente parada es una propuesta cerrada, y si no, sales igualmente con una hoja de ruta clara para empezar por tu cuenta.