Esquema Nacional de Seguridad · Comunitat Autònoma · Catalunya
Consultor ENS en Cataluña
Soy Ángel Ortega Castro, consultor independiente en Esquema Nacional de Seguridad. Trabajo con empresas TIC que licitan ante la Generalitat de Catalunya —sus Departaments, el CTTI y el Departament de la Presidència—, con proveedores de CatSalut, el ICS y la red hospitalaria catalana (Vall d'Hebron, Bellvitge, Josep Trueta, Arnau de Vilanova, Joan XXIII, Sant Pau), con las cuatro Diputacions y con las universidades públicas de Barcelona, Girona, Lleida y Tarragona, desde el diagnóstico inicial hasta la declaración de conformidad o la certificación acreditada por ENAC.
Cataluña. Imagen de archivo del territorio catalán.
Por qué el ENS en Cataluña es un reto autonómico, no solo de capital
Una administración propia, cuatro provincias y un ecosistema TIC que abarca todo el territorio.
Cataluña tiene una estructura administrativa de las más complejas de España. La Generalitat de Catalunya gestiona sus sistemas de información a través de los Departaments con competencia directa —el Departament de la Presidència, el Departament de Salut, el Departament d'Educació i Formació Professional, el Departament d'Empresa i Treball, el Departament de Territori, Habitatge i Transició Ecològica, el Departament de Justícia i Qualitat Democràtica y el Departament d'Igualtat i Feminisme— y con el apoyo tecnológico transversal del CTTI (Centre de Telecomunicacions i Tecnologies de la Informació de la Generalitat de Catalunya), que centraliza la política TIC de la administración autonómica y cuya influencia en los pliegos técnicos es determinante para cualquier proveedor que quiera operar en el sector público catalán.
La Plataforma de Serveis de Contractació Pública (PSCP) de la Generalitat, disponible en contractaciopublica.cat, es el canal principal de publicación de licitaciones de todos los Departaments y de la mayoría de entidades del sector público catalán. A diferencia de otras comunidades autónomas, Cataluña ha desarrollado una plataforma de contratación propia de gran madurez y con criterios de solvencia técnica que incorporan el ENS con creciente sistematicidad.
Fuera del ámbito autonómico directo, las cuatro Diputacions —Diputació de Barcelona, Diputació de Girona, Diputació de Lleida y Diputació de Tarragona— tienen sus propios circuitos de licitación y sus propias políticas de seguridad de la información. La Diputació de Barcelona, que actúa como central de compras para 311 municipios de la provincia, tiene el mayor volumen licitador de las cuatro y el expediente de conformidad ENS más exigente. Las diputaciones de Girona, Lleida y Tarragona tienen ritmos distintos, pero sus contratos de administración electrónica y plataformas de gestión municipal incorporan cada vez con mayor frecuencia el requisito de conformidad al RD 311/2022.
El mapa se completa con el sistema sanitario público —encabezado por el Servei Català de la Salut (CatSalut) y el Institut Català de la Salut (ICS)— y con las siete universidades públicas del sistema: Universitat de Barcelona (UB), Universitat Autònoma de Barcelona (UAB), Universitat Politècnica de Catalunya (UPC · BarcelonaTech), Universitat Pompeu Fabra (UPF), Universitat de Girona (UdG), Universitat de Lleida (UdL) y Universitat Rovira i Virgili (URV). Todas ellas son organismos del sector público autonómico plenamente sujetos al ENS y trasladan ese requisito a sus proveedores TIC en los pliegos de sus licitaciones.
Generalitat y CTTI: el eje autonómico
El CTTI, bajo el Departament de la Presidència, centraliza la política TIC de la Generalitat e introduce los requisitos ENS en los pliegos de sus proveedores estratégicos. Operar en el sector público autonómico catalán pasa necesariamente por conocer cómo funciona este operador tecnológico.
CatSalut, ICS y hospitales provinciales
El sistema sanitario público catalán tiene hospitales de referencia en las cuatro provincias: Vall d'Hebron y Sant Pau en Barcelona, Josep Trueta en Girona, Arnau de Vilanova en Lleida y Joan XXIII en Tarragona. Todos sujetos al ENS con categoría media habitual.
Las 4 Diputacions: territorio sin capital
Las Diputacions de Barcelona, Girona, Lleida y Tarragona son entes locales con circuitos de contratación independientes. Sus contratos de plataformas digitales municipales, ciberseguridad y administración electrónica para municipios rurales y medianos incorporan requisitos ENS con frecuencia creciente.
7 universidades públicas y el CSUC
Las siete universidades públicas catalanas comparten parte de la infraestructura de red a través del CSUC (Consorci de Serveis Universitaris de Catalunya). Sus pliegos individuales incorporan el ENS para contratos de software, ciberseguridad y soporte de sistemas de información académico y de investigación.
Contratos reales donde el ENS es requisito en toda Cataluña
Licitaciones de la Generalitat y las Diputacions que exigen conformidad ENS en el territorio catalán.
Para calibrar la exigencia real del mercado de contratación pública en Cataluña, los siguientes ejemplos ilustran contratos publicados en la PSCP de la Generalitat o en los perfiles del contratante de las Diputacions catalanas que incorporan el ENS como requisito de solvencia técnica o como condición de ejecución.
Generalitat de Catalunya · CTTI (Centre de Telecomunicacions i Tecnologies de la Informació)Acord marc de serveis de ciberseguretat gestionada per a la Generalitat de Catalunya i el seu sector públic — Publicado en la Plataforma de Serveis de Contractació Pública (PSCP). El pliego establece que los proveedores adjudicatarios deben acreditar la conformidad ENS de sus sistemas de información en la categoría que resulte del análisis CIDAT, con carácter previo al inicio de la prestación de servicios. El CTTI actúa como ente promotor en nombre de todos los Departaments que se adhieran al acuerdo marco. Búsqueda en: contractaciopublica.cat, entidad CTTI, código CPV 79212500.
Generalitat de Catalunya · Departament de Salut · CatSalut · ICSServeis de manteniment i evolució de la plataforma d'interoperabilitat sanitària i d'historia clínica compartida de Catalunya (HC3) — El expediente técnico de esta licitación, publicada en la PSCP, exige que los sistemas del adjudicatario que traten datos del sistema sanitario catalán —incluyendo datos del Servei Català de la Salut (CatSalut) y del Institut Català de la Salut (ICS)— cuenten con adecuación ENS en categoría media, dada la naturaleza de los datos de salud tratados. Referencia: contractaciopublica.cat, entidad promotora CatSalut/ICS, CPV 72267000.
Diputació de Girona · Àrea de Transformació Digital i InnovacióSubministrament i implantació de plataforma d'administració electrònica i gestió documental per a municipis de la demarcació de Girona — La Diputació de Girona actúa como central de compras para los municipios de su demarcación. El pliego de prescripcions tècniques incorpora la conformidad ENS del proveedor como requisito de adjudicación tanto para la plataforma propia de la Diputació como para los municipios beneficiarios. Búsqueda en: contractaciopublica.cat, entidad Diputació de Girona, CPV 48311000.
¿Tu empresa entra en el alcance del ENS en Cataluña?
El RD 311/2022 alcanza a todo el sector público catalán y a sus proveedores en las cuatro provincias.
El Esquema Nacional de Seguridad no es una norma que se agote en la sede central de la Generalitat. Su alcance cubre todos los organismos del sector público autonómico catalán, todos sus entes dependientes y todos los proveedores privados que gestionan información de esos organismos bajo cualquier modalidad contractual. En un territorio con la densidad institucional de Cataluña, eso significa que el perímetro de aplicación del ENS es excepcionalmente amplio.
Empresas que desarrollan, mantienen o dan soporte a aplicaciones de los Departaments de la Generalitat de Catalunya —Departament de la Presidència, Departament de Salut, Departament d'Educació i Formació Professional, Departament d'Empresa i Treball, Departament de Territori, Habitatge i Transició Ecològica, Departament de Justícia i Qualitat Democràtica o Departament d'Igualtat i Feminisme— ya sea bajo contrato directo o a través del CTTI como ente contratante.
Proveedores de software clínico, imagen médica, gestión de agenda o historia clínica electrónica para los hospitales de referencia del Institut Català de la Salut (ICS) en las cuatro provincias: Vall d'Hebron y Hospital de Sant Pau (Barcelona), Bellvitge (L'Hospitalet de Llobregat), Hospital Josep Trueta (Girona), Hospital Arnau de Vilanova (Lleida) y Hospital Joan XXIII (Tarragona), así como para la red de atención primaria gestionada por el Servei Català de la Salut (CatSalut).
Consultoras y ISV que licitan con la Agència de Qualitat i Avaluació Sanitàries de Catalunya (AQuAS) o con el Consorci Sanitari Integral en proyectos de evaluación de tecnología sanitaria, analítica de datos de salud o plataformas de gestión de la calidad asistencial, donde la categoría ENS suele ser media por el perfil de los datos tratados.
Empresas TIC que dan servicio a las siete universidades públicas del sistema universitario catalán: UB (Barcelona), UAB (Bellaterra, Cerdanyola del Vallès), UPC · BarcelonaTech (Barcelona y otras sedes), UPF (Barcelona), UdG (Girona), UdL (Lleida) y URV (Tarragona) —en sistemas de expedientes académicos, plataformas de investigación, ciberseguridad gestionada o infraestructura de red—, y que reciben el ENS como requisito de solvencia en el pliego.
Integradores y plataformas digitales que prestan servicios a las cuatro Diputacions catalanas —Barcelona, Girona, Lleida y Tarragona— para la gestión de plataformas de administración electrónica, servicios digitales a municipios o infraestructura de red provincial, con independencia del tamaño del municipio beneficiario.
Empresas del sector TIC del distrito 22@ (Poblenou, Barcelona), del parque tecnológico de Sant Cugat del Vallès o de los polígonos de actividad económica del corredor del Vallès que licitan con cualquier organismo del sector público catalán y que aún no han iniciado el proceso de adecuación al RD 311/2022.
Empresas del sector farma-biomédico de los parques científicos de Pallejà y Sant Cugat, del sector de la industria química en la demarcación de Tarragona, del sector de automoción ligado al corredor SEAT (Martorell) y del sector logístico del Puerto de Barcelona que digitalizan procesos con cofinanciación pública y quedan dentro del alcance ENS por la fracción contractual sujeta a la norma.
Operadores de telecomunicaciones e integradores de nube que prestan servicios a la CCMA (Corporació Catalana de Mitjans Audiovisuals, TV3 · Catalunya Ràdio), al Institut d'Estudis Catalans (IEC), a TMB (Transports Metropolitans de Barcelona) o a los FGC (Ferrocarrils de la Generalitat de Catalunya), todos ellos organismos del sector público autonómico sujetos al ENS.
El plazo transitorio del RD 311/2022 cerró el 5 de mayo de 2024. Desde esa fecha, cualquier sistema que entre en funcionamiento o sufra una modificación sustancial nace ya dentro del alcance ENS sin período de gracia adicional. Cada pliego publicado en la PSCP de la Generalitat es una señal de que el margen se estrecha.
El recorrido de la adecuación en Cataluña
Del diagnóstico al expediente listo para presentar en la PSCP de la Generalitat.
El orden lo fijan las guías CCN-STIC: medimos la brecha real entre tu situación actual y los controles del Anexo II del RD 311/2022, y cerramos con el expediente de conformidad articulado para presentar ante la Generalitat de Catalunya, CatSalut, el ICS, las Diputacions o las universidades públicas catalanas. En categoría básica, eso es la declaración de conformidad autoevaluada; en media o alta —el escenario más frecuente cuando el cliente es CatSalut, el ICS o alguno de los hospitales de referencia provinciales— es el expediente completo para la entidad certificadora acreditada por ENAC.
Itinerario de adecuación ENS en Cataluña · seis fases y sus entregables
Fase
En qué consiste
Entregable y referencia normativa
Fase 01 Diagnóstico GAP
Reviso el inventario de sistemas de información del alcance y los contrasto con los controles del Anexo II del ENS. El objetivo es cuantificar la brecha y delimitar el alcance para que no crezca de forma incontrolada. En el entorno catalán, con frecuencia el alcance inicial cubre sistemas que dan servicio simultáneamente a un Departament de la Generalitat y a una o varias Diputacions, lo que exige definir con precisión qué se incluye y qué se excluye desde el primer día.
Informe de diagnóstico con las brechas cuantificadas por control, agrupadas por esfuerzo de cierre y referenciadas al Anexo II del RD 311/2022. Es el documento de partida que sustenta el presupuesto cerrado.
Fase 02 Categorización CIDAT
Aplico las cinco dimensiones de seguridad del Anexo I —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad— a cada sistema del alcance. En el ecosistema catalán, los sistemas que tratan datos de salud para CatSalut, el ICS o los hospitales de referencia provinciales (Vall d'Hebron, Bellvitge, Josep Trueta, Arnau de Vilanova, Joan XXIII, Sant Pau) alcanzan la dimensión de confidencialidad en nivel medio casi sin excepción. Lo mismo ocurre con los expedientes académicos y de investigación de las siete universidades públicas catalanas cuando contienen datos personales sensibles.
Documento de categorización firmado conforme al Anexo I del RD 311/2022, que fija la categoría de cada sistema y determina la vía de conformidad que le corresponde ante los organismos contratantes catalanes.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y vulnerabilidades aplicando la metodología MAGERIT v3. Construyo el mapa de riesgo residual y el plan de tratamiento con las medidas ordenadas por su impacto sobre la categoría final del sistema, teniendo en cuenta el perfil de exposición específico del ecosistema de contratación pública catalán.
Informe de análisis de riesgos y plan de tratamiento referenciado a los controles del Anexo II. Documento exigible en la auditoría ENAC en categorías media y alta, y revisable por el CTTI o por los técnicos de las Diputacions en contratos de mayor criticidad.
Fase 04 Política y DdA
Redacto la política de seguridad de la información y la normativa derivada. Construyo la Declaración de Aplicabilidad (DdA) justificando control por control cada medida del Anexo II. Los pliegos del CTTI y de algunas Diputacions catalanas revisan este documento con detalle cuando el contrato supera determinado umbral de criticidad o cuando el sistema afecta a servicios esenciales para los municipios de la demarcación.
Política de seguridad aprobada por la dirección, con terminología coherente con los estándares que manejan los auditores con actividad en Cataluña, y DdA completa conforme a la guía CCN-STIC 806.
Fase 05 Implantación y evidencias
Acompaño a tu equipo en la puesta en marcha de las medidas del marco organizativo, operacional y de protección del Anexo II, generando las evidencias que acreditan cada una. En contratos con el sistema sanitario catalán —CatSalut, ICS, hospitales provinciales— las evidencias de control de acceso, cifrado y gestión de incidentes tienen una revisión especialmente rigurosa.
Evidencias de implantación organizadas por control, ya preparadas para presentar ante el auditor de la entidad acreditada por ENAC o ante el técnico del organismo contratante catalán que revise la oferta en la mesa de licitación.
Fase 06 Conformidad final
Reviso el conjunto del expediente antes del cierre. En categoría básica, respaldo la declaración de conformidad autoevaluada. En categoría media o alta —el escenario más habitual en contratos con CatSalut, el ICS, los hospitales de referencia provinciales o en contratos de infraestructura crítica de las Diputacions—, preparo el expediente completo y acompaño durante todo el proceso de auditoría de la entidad certificadora acreditada por ENAC.
Declaración de conformidad lista para presentar en básica, o expediente completo para la certificadora ENAC en media o alta. La firma del certificado corresponde siempre al tercero acreditado: quien garantice la certificación sin ser entidad ENAC está dando una promesa que no puede cumplir.
Los tres niveles del ENS en el contexto de la administración autonómica catalana
¿Qué categoría ENS corresponde a tu empresa en el mercado catalán?
La categoría no se elige: la determina el análisis objetivo de las cinco dimensiones CIDAT sobre los sistemas del alcance. En el ecosistema catalán, la combinación de datos de salud del Departament de Salut, datos de ciudadanos de los Departaments autonómicos, datos académicos y de investigación de las siete universidades públicas y datos de servicios esenciales de las cuatro Diputacions hace que la categoría media sea el resultado más frecuente en los proyectos de mayor envergadura.
Categoría básica
Perjuicio limitado
La más habitual en contratos de administración electrónica para municipios pequeños y medianos asistidos por las Diputacions de Girona, Lleida y Tarragona, en aplicaciones de soporte TIC no crítico para Departaments de la Generalitat con datos de baja sensibilidad y en software auxiliar para servicios de gestión interna de las universidades públicas catalanas que no tratan datos académicos sensibles.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita con declaración de conformidad autoevaluada
Sin certificación externa obligatoria por entidad ENAC
Categoría media
Perjuicio grave
La categoría dominante en contratos con CatSalut, con el ICS y con los seis hospitales de referencia provinciales —Vall d'Hebron, Bellvitge, Sant Pau, Josep Trueta, Arnau de Vilanova, Joan XXIII—, con la AQuAS, con el Consorci Sanitari Integral y con las siete universidades públicas catalanas en expedientes de gestión de datos académicos y de investigación con datos personales.
Al menos una dimensión CIDAT alcanza el nivel medio
Exige certificación por entidad acreditada por ENAC
Auditoría de conformidad con periodicidad bienal
Categoría alta
Perjuicio muy grave
Reservada a infraestructuras críticas y sistemas cuyo fallo tendría consecuencias irreparables para el conjunto del territorio catalán. En el entorno autonómico, aparece en contratos de la Generalitat sobre plataformas transversales de gran escala y en sistemas de la CCMA (TV3 · Catalunya Ràdio) o de los FGC que gestionan servicios esenciales con millones de usuarios.
Al menos una dimensión CIDAT llega al nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Dos vías de acreditación ante los organismos contratantes catalanes
Básica → declaración de conformidad autoevaluada
Cuando el sistema queda en categoría básica, el camino es la declaración de conformidad propia, sustentada en las guías CCN-STIC y en el expediente documental que yo construyo. El Departament de la Presidència, la Diputació de Lleida o la Universitat de Lleida (UdL) pueden pedir esa declaración en cualquier momento del proceso de adjudicación o durante la vigencia del contrato. Mi trabajo es dejártela tan sólida que soporte cualquier revisión sin que necesites explicaciones adicionales en el peor momento.
Media o alta → certificación acreditada por ENAC
En las categorías media y alta —el escenario más frecuente cuando el cliente es CatSalut, el ICS, uno de los hospitales de referencia provinciales o el propio CTTI en contratos de infraestructura crítica—, la conformidad exige certificación expedida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo el expediente al completo y te acompaño durante todo el proceso. La firma del certificado corresponde siempre a la entidad certificadora, nunca al consultor.
Lo que recibes al cerrar el proyecto
Un expediente construido para presentar ante el CTTI, la PSCP y los auditores ENAC en Cataluña.
Lo que te entrego no es una plantilla genérica. Es el cuerpo documental y técnico que acredita tu conformidad con el ENS ante los auditores y ante los técnicos del organismo contratante catalán que revisan tu oferta: el CTTI, el departamento de tecnología de una Diputació, la unidad de contratación de CatSalut o el servicio de informàtica de una universidad pública catalana. Cada documento refleja tus sistemas reales, tus decisiones organizativas y las evidencias que respaldan cada medida implantada.
El informe de diagnóstico GAP con la distancia cuantificada entre tu punto de partida y los requisitos del ENS, control por control y referenciado al Anexo II del RD 311/2022.
El documento de categorización CIDAT con la valoración de las cinco dimensiones de seguridad para cada sistema del alcance, la categoría resultante y su referencia al Anexo I del RD 311/2022, firmado y reproducible ante cualquier auditor o mesa de contratación de la Generalitat o de las Diputacions.
El análisis de riesgos MAGERIT v3 con el inventario de activos, el mapa de amenazas activas sobre tu perfil de exposición en el ecosistema de contratación pública catalán, la valoración del riesgo residual y el plan de tratamiento priorizado.
La política de seguridad de la información adaptada a tu organización y las normativas internas derivadas, redactadas en la lengua que el organismo contratante catalán prefiera —castellano o catalán— y con la terminología que reconocerán los auditores con actividad en el territorio.
El plan de adecuación conforme a la guía CCN-STIC 806, con el calendario de implantación de los controles, los responsables asignados y los criterios de aceptación para cada hito del proyecto.
La Declaració d'Aplicabilitat (DdA) con la justificación individualizada de cada medida del Anexo II: aplicable o excluida, con el argumento que la sustenta.
Las evidències d'implantació de las medidas del marco organizativo, operacional y de protección, organizadas por control y preparadas para presentar ante el auditor de la entidad acreditada por ENAC.
La declaració de conformitat autoevaluada (básica) o el expediente completo para la auditoría ENAC (media o alta), con revisión integral previa y acompañamiento durante todo el proceso de certificación.
Ángel Ortega Castro consultor ENS · Cataluña
Por qué trabajar conmigo en el mercado catalán
Un consultor que conoce el circuito de la Generalitat, las Diputacions y la red universitaria catalana.
Me llamo Ángel Ortega Castro. Presto servicio en remoto a empresas de toda España y me desplazo a Cataluña cuando el proyecto lo necesita —para la categorización in situ en las instalaciones del cliente, la formación del equipo técnico o la preparación presencial de la auditoría—. He trabajado con empresas que operan simultáneamente ante la Generalitat de Catalunya, las Diputacions y los organismos del sistema sanitario catalán, y conozco los matices del circuito de contratación que diferencia a la administración autonómica catalana del resto de administraciones españolas: la Plataforma de Serveis de Contractació Pública (PSCP), el papel del CTTI como ente tecnológico transversal y los criterios con los que los técnicos del Departament de Salut o de la Diputació de Tarragona revisan un expediente de conformidad ENS.
He acompañado proyectos de adecuación a empresas con contratos en el sistema sanitario catalán —CatSalut, ICS, Consorci Sanitari Integral—, con las universidades públicas catalanas y con organismos de los Departaments de la Generalitat y de las cuatro Diputacions. Sé en qué puntos los expedientes se rompen ante un auditor ENAC y qué argumentos no pasan el filtro del técnico que evalúa una oferta en la mesa de la Generalitat o de la Diputació de Girona.
Soy preciso sobre los límites de mi trabajo: construyo y adecúo el expediente de tu organización hasta que esté listo para la conformidad, pero quien firma la certificación en categoría media o alta es siempre la entidad acreditada por ENAC. Trabajo sin subcontratar el análisis técnico. Si necesitas quien prometa el certificado sin ser entidad ENAC, no soy la persona adecuada.
Escenarios que acompaño con frecuencia en el mercado catalán
Tres perfiles con los que trabajo en las cuatro provincias catalanas.
Empresa TIC del 22@ · Departaments de la Generalitat · 4 Diputacions
Integradora o desarrolladora que licita con Departaments de la Generalitat y con las cuatro Diputacions catalanas.
Empresas instaladas en el distrito de innovación 22@ de Barcelona o en los parques tecnológicos de Sant Cugat del Vallès que desarrollan o mantienen aplicaciones para los Departaments de la Generalitat de Catalunya —a través del CTTI o de forma directa— y que simultáneamente atienden contratos de las Diputacions de Barcelona, Girona, Lleida o Tarragona. Su reto específico es diseñar un alcance ENS único que cubra los sistemas compartidos entre organismos autonómicos y locales sin duplicar esfuerzo ni crear solapamientos en la categorización. El diseño del alcance desde el inicio es la clave que ahorra semanas de trabajo más adelante.
Proveedor de software clínico para la red hospitalaria de referencia en las cuatro provincias catalanas.
Empresas que venden o mantienen soluciones de historia clínica electrónica, imagen médica, citación o gestión quirúrgica para los hospitales del Institut Català de la Salut (ICS) en todo el territorio: el Vall d'Hebron y el Hospital de Sant Pau en Barcelona, el Bellvitge en L'Hospitalet, el Josep Trueta en Girona, el Arnau de Vilanova en Lleida y el Joan XXIII en Tarragona. La Agència de Qualitat i Avaluació Sanitàries (AQuAS) puede ser también cliente directo en proyectos de evaluación de tecnología sanitaria. El tratamiento de datos de salud sitúa la dimensión de confidencialidad en nivel medio en prácticamente todos los casos, lo que exige certificación acreditada por ENAC y el expediente completo. El plazo transitorio del RD 311/2022 venció en mayo de 2024.
Proveedor de plataformas académicas o de investigación para el sistema universitario público catalán.
Empresas que desarrollan o gestionan plataformas de e-learning, sistemas de expedientes académicos, infraestructura de red o ciberseguridad para las siete universidades públicas catalanas —UB, UAB, UPC, UPF, UdG, UdL y URV— y que también dan servicio a la Agència de Qualitat i Avaluació Sanitàries de Catalunya (AQuAS) en proyectos de analítica de datos de salud. Muchas de estas empresas tienen como cliente al CSUC (Consorci de Serveis Universitaris de Catalunya) para contratos de infraestructura compartida entre varias universidades. En ese caso, el alcance del expediente ENS debe precisar qué sistemas dan servicio a qué universidad, ya que el auditor revisará esa correspondencia de forma exhaustiva.
Inversión y presupuesto
¿Cuánto cuesta la adecuación al ENS en Cataluña?
El coste depende de cuatro variables: el número de sistemas del alcance, la categoría CIDAT resultante —básica, media o alta—, la madurez documental y técnica de partida y si el proyecto necesita certificación acreditada por ENAC o basta con la declaración de conformidad autoevaluada. No existe una tarifa estándar, y cualquiera que te la dé sin conocer tu proyecto está vendiendo una promesa sin base. En Cataluña, la frecuencia de contratos con el sistema sanitario y con las universidades públicas hace que el escenario de categoría media —con certificación ENAC— sea más común que en comunidades con menor densidad institucional.
Presupuesto cerrado tras el diagnósticoSin letra pequeña · sin sorpresas en la factura final
En categorías media y alta hay que sumar al presupuesto de consultoría el coste de la entidad certificadora acreditada por ENAC, que factura directamente al cliente. Las empresas tecnológicas con sede en Cataluña conviene que comprueben si pueden acogerse a las convocatorias de la Agència de Ciberseguretat de Catalunya, que publica periódicamente ayudas para pymes con domicilio social en Cataluña que quieran financiar parte del proceso de adecuación o certificación ENS.
La primera conversación es gratuita y sin compromiso. Revisamos juntos el alcance de tus sistemas, la categoría que probablemente te corresponde y el tipo de organismo contratante catalán al que aspiras: Generalitat, CatSalut, ICS, Diputació o universidad pública. Sales de esa llamada con una orientación honesta y, si encajamos, con una propuesta cerrada.
Preguntas frecuentes
Dudas habituales sobre el ENS en la administración autonómica catalana.
¿La Generalitat de Catalunya tiene un pliego marco ENS que aplica a todos los Departaments?+
La Generalitat de Catalunya no publica un pliego marco ENS único de aplicación automática a todos los Departaments, pero el CTTI (Centre de Telecomunicacions i Tecnologies de la Informació) —el operador TIC transversal de la administración autonómica, dependiente del Departament de la Presidència— ha normalizado los requisitos de conformidad ENS en los pliegos de prescripcions tècniques de los principales contratos de software, infraestructura y ciberseguridad.
En la práctica, los contratos del Departament de Salut, del Departament d'Educació i Formació Professional, del Departament d'Empresa i Treball o del Departament de Territori, Habitatge i Transició Ecològica que tratan datos de ciudadanos o gestionan servicios esenciales incorporan el ENS con creciente sistematicidad. El canal de verificación definitivo antes de presentar cualquier oferta es la Plataforma de Serveis de Contractació Pública (PSCP) de la Generalitat.
¿CatSalut e ICS coordinan el ENS conjuntamente o cada uno con proveedores propios?+
El Servei Català de la Salut (CatSalut) y el Institut Català de la Salut (ICS) son entidades del sector público autonómico catalán con personalidad jurídica propia y circuitos de contratación independientes, aunque ambos dependen funcionalmente del Departament de Salut. CatSalut actúa como financiador y planificador del sistema sanitario y tiene sus propios contratos TIC de gestión de datos de aseguramiento. El ICS gestiona la red asistencial directa —Vall d'Hebron (Barcelona), Bellvitge (L'Hospitalet), Josep Trueta (Girona), Arnau de Vilanova (Lleida) y Joan XXIII (Tarragona)— y tiene su propia estructura de contratación.
Un proveedor que da servicio a ambas entidades necesita un expediente ENS que cubra los sistemas que tratan datos en cada relación contractual, ya que los alcances pueden diferir. Un mismo certificado ENS no se traslada automáticamente de CatSalut al ICS: el alcance, los activos y las evidencias deben corresponder exactamente a los sistemas del contrato concreto.
¿Cómo se coordina el ENS entre las 4 Diputacions catalanas?+
Las cuatro Diputacions catalanas —Barcelona, Girona, Lleida y Tarragona— son entidades locales supramunicipales con plena autonomía de contratación y no están coordinadas entre sí para el cumplimiento del ENS. Cada una aplica el RD 311/2022 de forma independiente en sus pliegos.
La Diputació de Barcelona, que asiste a 311 municipios de la provincia, tiene el mayor volumen licitador y la exigencia más avanzada. Las diputaciones de Girona, Lleida y Tarragona tienen ritmos distintos: sus contratos de administración electrónica y plataformas de gestión municipal incorporan ya la referencia al RD 311/2022 en los expedientes de mayor criticidad. Para un proveedor que da servicio a dos o más Diputacions simultáneamente, la estrategia más eficiente es construir un expediente ENS con un alcance suficientemente amplio para cubrir los sistemas comunes y documentar con precisión qué sistemas sirven a qué ente local.
¿Las universidades públicas catalanas (UB, UAB, UPC, UPF) tienen requisitos ENS unificados a través del CIR (Consorci d'Informació i Recerca)?+
El sistema universitario público catalán —integrado por la Universitat de Barcelona (UB), la Universitat Autònoma de Barcelona (UAB), la Universitat Politècnica de Catalunya (UPC), la Universitat Pompeu Fabra (UPF), la Universitat de Girona (UdG), la Universitat de Lleida (UdL) y la Universitat Rovira i Virgili (URV)— no ha unificado sus requisitos ENS a través de un marco compartido. Cada universidad tiene su propia política de seguridad y sus propios procesos de contratación.
Sí comparten infraestructuras de red a través del CSUC (Consorci de Serveis Universitaris de Catalunya), lo que puede dar lugar a que un mismo proveedor de conectividad o alojamiento deba cubrir sistemas que sirven a varias universidades. En ese caso, el expediente ENS debe documentar con precisión qué sistemas están al servicio de qué universidad, porque el auditor revisará esa correspondencia.
¿Los pliegos catalanes exigen documentación en catalán, castellano o ambos?+
La normativa ENS no impone un idioma para los expedientes de conformidad, pero la práctica en la contratación pública de la Generalitat de Catalunya difiere del resto de España. Los organismos dependientes de la Generalitat —los Departaments, el CTTI, CatSalut, el ICS, las universidades públicas catalanas y los entes dependientes de las Diputacions— admiten documentación en catalán o en castellano.
Para expedientes ENS destinados al Departament de la Presidència, al Departament de Salut, al Departament d'Educació i Formació Professional o al Departament d'Empresa i Treball, la opción de presentar la documentación en catalán no solo es válida sino que puede ser percibida positivamente en ciertos contextos. La política de seguridad, la DdA y las evidencias de implantación las puedo redactar en cualquiera de las dos lenguas según lo que el organismo contratante catalán prefiera o exija en el pliego.
¿La Agència de Ciberseguretat de Catalunya tiene subvenciones para empresas que quieran certificarse en el ENS?+
La Agència de Ciberseguretat de Catalunya, adscrita al Departament de la Presidència, publica periódicamente convocatorias de ayudas y subvenciones para mejorar la ciberseguridad de pymes con domicilio social en Cataluña. Algunas de esas convocatorias incluyen líneas específicas para financiar proyectos de adecuación al ENS o a estándares equivalentes de ciberseguridad.
Antes de iniciar el proceso de adecuación, conviene verificar en la web de la Agència si existe alguna convocatoria abierta o reciente que tu empresa pueda aprovechar para reducir el coste del proyecto. El importe de la subvención suele ser parcial y está condicionado al cumplimiento de requisitos de tamaño, sector y sede social en Cataluña. Un expediente ENS bien documentado es también una base sólida para justificar el gasto ante cualquier convocatoria de ayudas a la ciberseguridad.
¿El ENS se aplica también a organismos como la CCMA (TV3 · Catalunya Ràdio) o los FGC?+
Sí. La Corporació Catalana de Mitjans Audiovisuals (CCMA), que gestiona TV3 y Catalunya Ràdio, y los Ferrocarrils de la Generalitat de Catalunya (FGC) son entidades del sector público autonómico catalán plenamente sujetas al RD 311/2022. Sus sistemas de información —emisión digital, gestión de contenidos, infraestructura de red, sistemas de billética y gestión de movilidad— deben categorizarse y adecuarse al ENS.
Los proveedores TIC de estos organismos reciben el requisito de conformidad ENS en los pliegos de sus licitaciones de software, ciberseguridad y soporte de infraestructura. En el caso de los FGC, la dimensión de disponibilidad puede situar algunos sistemas en categoría media o alta por la naturaleza del servicio de transporte de viajeros que gestionan.
Arranca tu adecuación al ENS con el circuito autonómico catalán como referencia.
Reserva una primera conversación sin coste ni compromiso. Repasamos el alcance de tus sistemas, la categoría que probablemente te corresponde —básica, media o alta— y el tipo de organismo contratante catalán al que aspiras: Generalitat de Catalunya, CatSalut, ICS, alguno de los hospitales de referencia provinciales, una de las cuatro Diputacions o alguna de las siete universidades públicas. Si decidimos trabajar juntos, sales de esa llamada con una propuesta cerrada y un calendario realista.
