Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y en Las Palmas de Gran Canaria. Llevo proyectos en remoto por toda España y me desplazo de forma presencial cuando el proyecto lo pide; ahora mismo acompaño a empresas de Ciudad Real y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real, la Diputación Provincial o la UCLM sin quedar excluidas de los pliegos.
Ciudad Real no es la sede del Gobierno autonómico —esa función corresponde a Toledo—, pero concentra piezas administrativas de primer orden dentro de Castilla-La Mancha. Es la sede del Ayuntamiento de Ciudad Real, de la Diputación Provincial de Ciudad Real y, sobre todo, del rectorado de la Universidad de Castilla-La Mancha (UCLM), la única universidad pública de la región —con campus también en Albacete, Cuenca y Toledo, pero con su sede rectoral precisamente en esta ciudad—. A esto se suma el Hospital General Universitario de Ciudad Real, dependiente del SESCAM (Servicio de Salud de Castilla-La Mancha), que gestiona sistemas de información clínica —historia clínica electrónica, receta interoperable, agendas de citación— sujetos también al ENS.
Alrededor de este ecosistema institucional se ha desarrollado un tejido empresarial que combina TIC y agroalimentario. La Junta de Comunidades de Castilla-La Mancha licita desde su Consejería de Hacienda, Administraciones Públicas y Transformación Digital servicios de ciberseguridad como el Centro de Operaciones de Seguridad (SOC), y la Diputación Provincial de Ciudad Real impulsa el programa Impulso Digital (IMDI) —dotado con cerca de tres millones de euros— y una Oficina de Transformación Digital creada junto a ITECAM (Centro Tecnológico Industrial de Castilla-La Mancha) para acompañar la digitalización de pymes y municipios pequeños de la provincia. A ello se suma un sector agroalimentario que aporta cerca del 18 % de la riqueza provincial, con el vino (DOP La Mancha, DOP Valdepeñas), el aceite (DOP Campo de Calatrava) y el queso manchego como productos estrella, y que cada vez digitaliza más su gestión y su relación con la Administración.
Para todas las empresas que prestan o aspiran a prestar servicios a alguno de estos organismos, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías y organismos dependientes de la Junta de Comunidades de Castilla-La Mancha exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Ciudad Real y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos, como en la digitalización del archivo municipal.
La Universidad de Castilla-La Mancha, con rectorado en Ciudad Real, y el SESCAM, con el Hospital General Universitario de la ciudad, están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de dar el primer paso conviene tener claro el marco normativo: puedes repasar la guía ENS completa y consultar en detalle en qué consiste la consultoría ENS para empresas.
Cada licitación con componente TIC que publican la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real o la Diputación Provincial arrastra la misma exigencia de fondo: la empresa adjudicataria debe acreditar conformidad con el Esquema Nacional de Seguridad. La obligación no distingue entre la administración y el proveedor privado que le factura por contrato, así que en la práctica alcanza a un número amplio de empresas de la capital y de los municipios de la provincia.
Estos son algunos de los perfiles con los que trabajo habitualmente en la zona:
El RD 311/2022 concedió, en su disposición transitoria única, un plazo de 24 meses para adecuar los sistemas ya existentes; ese margen se cerró el 5 de mayo de 2024. Para los sistemas nuevos, o con modificaciones sustanciales, la exigencia rige desde el primer día de funcionamiento. Quien todavía no ha empezado su adecuación lo nota cada vez que revisa el perfil del contratante de la Junta, del Ayuntamiento o de la Diputación: el margen sigue estrechándose.
Cuando un organismo contratante como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real o cualquier otro te pide acreditar el ENS, no basta con decir que se cumple: hay que enseñar un expediente ordenado. Por eso trabajo siguiendo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta la preparación de la declaración de conformidad o de la auditoría, para que llegues con documentación sólida al momento en que te la pidan.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con las exigencias del ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Informe de diagnóstico que fija la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— y le asigno su categoría: básica, media o alta. | Se documenta en el Anexo I del ENS y fija tanto el nivel de exigencia como la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos, con su correspondiente plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección—, acompañando a tu equipo en cada paso. | Evidencia documental de cada medida implantada, lista para presentarse a auditoría. |
| Fase 06 Conformidad final | Reviso y preparo el expediente final. En categoría básica, apoyo la declaración autoevaluada; en media o alta, acompaño el proceso de auditoría de la entidad acreditada. | Conforme al Anexo III: preparo el camino hacia la conformidad, aunque la certificación en media o alta siempre la emite un tercero acreditado por ENAC. |
Cuando presentas tu declaración o te sometes a una auditoría ante un organismo como la Junta de Comunidades de Castilla-La Mancha o el SESCAM, lo primero que revisan es la categoría de tus sistemas, y esa categoría no se elige a ojo: resulta de valorar el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, tomando como categoría final la de la dimensión con mayor nivel.
Se aplica cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. En Ciudad Real es la categoría más habitual entre proveedores de servicios auxiliares para la Administración.
Corresponde a sistemas en los que un incidente supondría un perjuicio grave, porque alguna de las dimensiones alcanza el nivel medio. Es habitual en sistemas de gestión administrativa o en tratamientos con datos sensibles, como los que maneja el SESCAM.
Reservada a sistemas donde un incidente causaría un perjuicio muy grave, incluso irreparable, porque alguna dimensión llega al nivel alto. Es el caso de los sistemas críticos o con datos especialmente sensibles.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización la que verifica su cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que resistan cualquier revisión posterior del organismo contratante, sea la Junta, el Ayuntamiento o la Diputación.
En categoría media o alta, en cambio, la conformidad solo se acredita con la certificación de una entidad acreditada por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012. Te preparo para superar esa certificación con garantías, pero quien la emite es siempre la entidad acreditada, nunca yo como consultor.
Cuando la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real o cualquier otro organismo contratante revisa tu expediente de licitación, no busca una promesa: busca papeles. Por eso no te dejo un PDF que nadie vuelve a abrir, sino el cuerpo documental y técnico completo que sostiene la conformidad y que el auditor necesita ver.
Me llamo Ángel Ortega Castro y trabajo como consultor independiente en cumplimiento normativo y seguridad de la información, con base en Valladolid y en Las Palmas de Gran Canaria. Aunque atiendo empresas de toda España, conozco de cerca cómo licita Castilla-La Mancha: sus tiempos, sus pliegos y las exigencias que suelen imponer organismos como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real, la Diputación Provincial o la UCLM.
Trabajo de forma cercana, persona a persona: por videollamada casi siempre, pero también de forma presencial cuando la fase del proyecto lo pide —una auditoría, una sesión de formación con tu equipo, una reunión con el organismo contratante—. No entrego un manual y desaparezco. Te acompaño en cada fase, convierto la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad después de que el proyecto termine.
Prefiero ser claro sobre los límites de mi papel: preparo y adecúo tu organización hasta dejarla lista para la conformidad, pero la certificación en categorías media o alta siempre la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, unida al rigor sobre la norma vigente —RD 311/2022, sus Anexos I a IV y las guías CCN-STIC—, es lo que me diferencia de las consultoras genéricas.
Desarrolladoras de software de gestión hospitalaria o historia clínica electrónica que trabajan para el SESCAM (Servicio de Salud de Castilla-La Mancha) y necesitan acreditar conformidad con el ENS por el volumen de datos sensibles de salud que tratan. Suelen situarse en categoría media.
Empresas tecnológicas de Ciudad Real capital o provincia que colaboran con la Diputación Provincial en el programa Impulso Digital (IMDI) o con la Oficina de Transformación Digital creada junto a ITECAM, y que necesitan iniciar o completar su adecuación al ENS antes del siguiente pliego.
Bodegas, cooperativas, almazaras o queserías de la provincia que, tras digitalizar su gestión, quieren ampliar su cartera hacia el Ayuntamiento de Ciudad Real, la Diputación o la Junta de Comunidades de Castilla-La Mancha. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Cada pliego de la Junta de Comunidades de Castilla-La Mancha, del Ayuntamiento de Ciudad Real o de la Diputación Provincial plantea un alcance distinto, así que no existe una cifra única para la adecuación —y conviene desconfiar de quien la dé sin conocer tu caso—. Lo que sí determina la inversión es el alcance (cuántos sistemas entran en juego), la categoría que te corresponda (básica, media o alta), tu punto de madurez de partida y si necesitas certificación acreditada o te basta la declaración de conformidad.
Ten en cuenta que, en categoría media o alta, hay que sumar el coste de la entidad certificadora acreditada por ENAC: es una factura aparte, independiente de mis honorarios, que emite directamente el tercero que audita la conformidad.
Sí. La Junta de Comunidades de Castilla-La Mancha, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, tengan su sede en Ciudad Real o en cualquier otra provincia de la región. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes —incluida la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, que ya ha licitado servicios de seguridad como el Centro de Operaciones de Seguridad (SOC)—, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El Servicio de Salud de Castilla-La Mancha (SESCAM), del que depende el Hospital General Universitario de Ciudad Real, es una entidad del sector público sanitario sujeta al ENS que gestiona sistemas de información especialmente sensibles —historia clínica electrónica, receta interoperable, agendas de citación—. Los proveedores TIC que dan soporte a estos sistemas deben acreditar conformidad, y por el tipo de datos que tratan suelen situarse en categoría media o alta.
Sí. Tanto el Ayuntamiento de Ciudad Real como la Diputación Provincial de Ciudad Real son entidades locales sujetas al ENS por el RD 311/2022. El Ayuntamiento ya ha licitado proyectos de digitalización —como el sistema de gestión integral del archivo municipal, cofinanciado por fondos del Plan de Recuperación—, y la Diputación impulsa el programa Impulso Digital (IMDI) junto con una Oficina de Transformación Digital creada con ITECAM. Ambas pueden incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvises. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Ciudad Real o la Diputación Provincial, lo que el pliego exige es el ENS.
Cuéntame el alcance de tu proyecto, a qué categoría se acerca previsiblemente tu sistema y con qué organismo necesitas contratar. La primera llamada no tiene coste ni compromiso: si encajamos, te preparo una propuesta cerrada; si no es el momento, te llevas una orientación clara para arrancar tu adecuación en Ciudad Real.