Consultor ENS en Castilla-La Mancha

Esta es una de las casuísticas más habituales en Castilla-La Mancha y una de las que más confusión genera. Cuando una plataforma tecnológica presta servicio simultáneamente a la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, a la Consejería de Educación, Cultura y Deportes y a la Presidencia de la JCCM, el alcance del sistema de información ENS no tiene por qué fragmentarse en tres expedientes distintos. Lo más eficiente es definir un único alcance que englobe el sistema compartido y categorizarlo en función de la dimensión más elevada que resulte de los datos que procesa para cualquiera de las consejerías usuarias.

En la práctica, la consejería con mayor criticidad de datos —habitualmente la Consejería de Sanidad por los datos de salud del SESCAM, o la Consejería de Hacienda, Administraciones Públicas y Transformación Digital por los datos tributarios— marca el suelo de la categoría. Si el sistema puede segregarse técnicamente para aislar el perímetro sensible, puede ser posible mantener categorías distintas para subsistemas independientes. Esa segregación se diseña y documenta en la fase de categorización. La primera llamada es el momento para revisar si tu arquitectura actual admite esa segregación o si conviene construir un expediente unificado.

Depende de la categoría ENS que resulte de la categorización de tus sistemas. El SESCAM —y con él los complejos hospitalarios de Albacete, Ciudad Real, Toledo, Cuenca y Guadalajara— trata datos de salud cuya sensibilidad eleva la dimensión de confidencialidad con mucha frecuencia al nivel medio. Cuando eso ocurre, la declaración de conformidad autoevaluada no es suficiente: el pliego exigirá certificación emitida por una entidad acreditada por ENAC.

En cambio, si tu sistema presta un servicio auxiliar al SESCAM que no implica acceso directo a datos de salud —por ejemplo, mantenimiento de infraestructura de red sin acceso a la historia clínica, o servicios de impresión y logística documental—, la categoría puede quedar en básica y la declaración autoevaluada sería suficiente. La distinción es técnica y requiere un análisis de categorización antes de comprometer recursos. Puedes iniciar ese análisis desde la página de reservas o explorar el servicio en consultoría ENS para empresas.

Las Diputaciones de Albacete, Ciudad Real, Cuenca, Guadalajara y Toledo actúan como proveedoras de servicios electrónicos para los municipios de sus demarcaciones. Sus contratos TIC pueden generar un efecto multiplicador poco evidente: el proveedor no gestiona un sistema para una sola Diputación, sino para una Diputación que a su vez da servicio a decenas o centenares de municipios. El volumen de datos de padrón, tributarios y de servicios sociales que fluye por esos sistemas eleva la dimensión de confidencialidad y disponibilidad con más frecuencia de lo esperado.

Para empresas que prestan servicios a varias Diputaciones simultáneamente, lo más eficiente es construir un único expediente ENS con un alcance bien delimitado que cubra los sistemas afectados en todas las provincias, evitando la duplicación de expedientes por Diputación. La coordinación con los equipos técnicos de cada Diputación —que suele ser el mayor reto logístico del proyecto— la gestiono directamente durante el proceso de adecuación.

La Universidad de Castilla-La Mancha opera cuatro campus en Albacete, Ciudad Real, Cuenca y Toledo. Cuando un proveedor TIC gestiona sistemas que funcionan en los cuatro campus bajo una misma plataforma —como infraestructura de red unificada, sistemas de administración electrónica universitaria o plataformas de gestión académica—, el alcance ENS debe contemplar todos los nodos como parte de un único sistema de información distribuido.

La categoría resultante depende del tipo de datos gestionados. Los sistemas de investigación con datos sensibles o los que manejan información de estudiantes a gran escala pueden alcanzar la categoría media. Los sistemas de soporte generalista quedan habitualmente en categoría básica. En ambos casos, la UCLM exige que sus proveedores acrediten la conformidad ENS ante la unidad de contratación correspondiente. Si tu empresa gestiona sistemas en varios campus de la UCLM con características distintas, la segregación del alcance puede ser una opción que valga la pena explorar antes de comprometer un expediente único en categoría media.

El IRIAF (Instituto Regional de Investigación y Desarrollo Agroalimentario y Forestal) y el ITAP (Instituto Técnico Agronómico Provincial) son organismos de la Junta de Comunidades de Castilla-La Mancha, lo que los sitúa dentro del ámbito de aplicación del ENS. Cuando un proveedor TIC integra sus sistemas con los de estos institutos —por ejemplo, mediante APIs de intercambio de datos sobre variedades vegetales, resultados de ensayos agronómicos o trazabilidad de explotaciones— puede quedar afectado por el requisito ENS si el pliego del contrato de integración lo exige.

La exigencia no es automática para cualquier conexión: depende de si el proveedor actúa como responsable o encargado del tratamiento de datos de los sistemas del IRIAF o el ITAP, y de si el contrato de integración está instrumentado como contrato de servicio sujeto al ENS o como mero contrato de suministro de datos. La revisión de esa distinción es parte del análisis GAP inicial. Para empresas del sector vitivinícola, oleícola o quesero de la región que integran sus plataformas de trazabilidad con sistemas autonómicos, la primera llamada es el punto de partida para aclarar si la adecuación ENS es necesaria y en qué términos.

La necesidad de adecuación al ENS en el sector aeronáutico de Illescas —donde opera la planta de Airbus y sus proveedores de primer nivel— depende de si la empresa en cuestión presta servicios a organismos públicos o si participa en contratos con administraciones. La industria aeronáutica privada no está sujeta directamente al ENS, pero sí puede estarlo si mantiene contratos con el Ministerio de Defensa, con INTA (Instituto Nacional de Técnica Aeroespacial) o con otros organismos públicos que exijan conformidad ENS en sus pliegos.

En el corredor logístico Madrid-Toledo-Guadalajara, la situación es similar: las empresas de logística y transporte que gestionan plataformas digitales para administraciones públicas —sistemas de seguimiento de envíos para organismos de la JCCM, plataformas de gestión de flotas para Diputaciones, etc.— entran en el perímetro ENS cuando el contrato así lo establece. Las empresas puramente privadas sin contratos con el sector público no tienen obligación directa de adecuación, aunque la certificación ENS puede ser un activo competitivo si aspiran a licitar en el futuro.

Trabajo con empresas de las cinco provincias de Castilla-La Mancha: Albacete, Ciudad Real, Cuenca, Guadalajara y Toledo. La consultoría ENS es un servicio que se presta íntegramente en remoto en todas sus fases documentales y de análisis —diagnóstico, categorización, análisis de riesgos, redacción de política y DdA—, por lo que la localización provincial del cliente no condiciona la calidad ni el calendario del trabajo.

Me desplazo a las instalaciones del cliente cuando la naturaleza del sistema lo requiere —por ejemplo, para revisar configuraciones de seguridad en entornos que no pueden exponerse remotamente— o cuando el proceso de auditoría de la entidad certificadora ENAC incluye visita presencial. En esos casos, la logística entre las provincias manchegas o desde Valladolid hacia cualquiera de ellas es sencilla. La primera llamada se realiza siempre por videoconferencia, sin coste ni desplazamiento.