Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y en Las Palmas de Gran Canaria. Acompaño empresas de Ciudad Real y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022): desde el rectorado de la UCLM y el Hospital General Universitario de Ciudad Real (HGUCR) hasta el tejido industrial de Puertollano —con Repsol Petroquímica y el polo energético de Encaso Iberdrola— y el patrimonio minero UNESCO de Almadén. Todos ellos generan contratos TIC que exigen la conformidad que yo ayudo a conseguir.
Ciudad Real tiene una posición singular dentro de Castilla-La Mancha: mientras Toledo acoge la sede del Gobierno autonómico, la capital manchega concentra organismos con un peso específico propio que ninguna otra provincia del territorio replica. Aquí está el rectorado de la Universidad de Castilla-La Mancha (UCLM) —la única universidad pública regional, con su Campus de Ciudad Real que alberga la Escuela Técnica Superior de Ingeniería Industrial y los grados de la Escuela Politécnica—, el Hospital General Universitario de Ciudad Real (HGUCR) dependiente del SESCAM (Servicio de Salud de Castilla-La Mancha), y las sedes del Ayuntamiento de Ciudad Real y la Diputación Provincial de Ciudad Real. A ellos se suma la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha (JCCM) en Ciudad Real, que actúa como ventanilla territorial de todas las consejerías autonómicas.
Pero la singularidad de Ciudad Real no se agota en sus instituciones: a 30 kilómetros de la capital, Puertollano alberga uno de los complejos petroquímicos más importantes de la Península Ibérica, con Repsol Petroquímica como actor central y el legado industrial de Encaso Iberdrola que hoy evoluciona hacia la producción de hidrógeno verde. Este tejido químico-energético requiere sistemas de control industrial (OT) y de gestión (IT) cuya integración con la Administración —ayudas, registros, contratación pública de servicios— arrastra la obligación del ENS a toda la cadena de proveedores TIC. Igualmente, el municipio de Almadén, declarado Patrimonio Mundial de la Minería por la UNESCO en 2012 junto con el yacimiento de Idrija (Eslovenia), atrae proyectos de turismo cultural y digitalización financiados con fondos europeos que generan contratos con administraciones sujetas al marco normativo.
En el plano agroindustrial, la Denominación de Origen Valdepeñas —una de las DO vinícolas más antiguas de España, con más de cuarenta bodegas adheridas— y la DOP Aceite Campo de Calatrava articulan un sector que cada vez digitaliza más su trazabilidad, su logística y su relación con los organismos de control. Los productores que aspiran a contratos de suministro o de digitalización con la Administración encuentran el ENS como condición de entrada en los pliegos. Al norte de la provincia, el Festival Internacional de Teatro Clásico de Almagro y el Corral de Comedias de Almagro —el espacio teatral del siglo XVII mejor conservado del mundo— generan contratos de servicios culturales y digitales que también pueden exigir conformidad ENS cuando los convoca el Patronato Estatal o el Ministerio de Cultura.
La Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha en Ciudad Real tramita licitaciones TIC propias y traslada el requisito ENS a todos sus adjudicatarios. Sin conformidad, queda fuera del pliego.
El rectorado de la UCLM y su Campus de Ciudad Real, con la Escuela Técnica Superior de Ingeniería Industrial, gestionan sistemas de información académica y de I+D que someten al ENS a sus proveedores de software y conectividad.
El Hospital General Universitario de Ciudad Real gestiona historia clínica electrónica, receta interoperable y agendas de citación. Sus proveedores TIC se sitúan habitualmente en categoría media o alta del ENS por el tipo de datos que tratan.
El polo químico-energético de Puertollano (Repsol, Encaso Iberdrola) y los proyectos de digitalización del patrimonio minero de Almadén generan contratos con administraciones que exigen ENS en su cadena de suministro tecnológico.
Antes de dar el primer paso, conviene conocer el marco completo: puedes leer la guía ENS y ver en detalle en qué consiste la consultoría ENS para empresas.
El Real Decreto 311/2022 no distingue entre la administración pública y el proveedor privado que le factura por contrato: la obligación de conformidad alcanza a toda la cadena de suministro tecnológico. En Ciudad Real eso significa un perímetro amplio que va desde las TIC del Hospital General Universitario hasta los ISV que venden software de gestión a la Diputación, pasando por las consultoras industriales que automatizan procesos en las plantas de Puertollano.
Estos son los perfiles con los que trabajo habitualmente en la provincia:
El RD 311/2022 concedió, en su disposición transitoria única, un plazo de 24 meses para adecuar los sistemas ya existentes; ese margen se cerró el 5 de mayo de 2024. Para los sistemas nuevos o con modificaciones sustanciales, la exigencia rige desde el primer día de funcionamiento.
El Portal de Contratación de Castilla-La Mancha publica las licitaciones de todos los organismos de la región. A continuación tres contratos representativos del tipo de proyectos que generan exigencia de conformidad ENS en Ciudad Real y provincia. Antes de presentarte a cualquier concurso similar, verifica en el perfil del contratante si el pliego vigente exige explícitamente la conformidad con el ENS.
| Organismo | Tipo de contrato | Relevancia ENS y enlace de referencia |
|---|---|---|
| Diputación Provincial de Ciudad Real | Servicios de transformación digital para municipios de la provincia (programa Impulso Digital IMDI) | Los proyectos de digitalización financiados por la Diputación con fondos estatales exigen conformidad ENS a las empresas adjudicatarias que traten datos de la Administración local. Consulta los contratos vigentes en el Portal de Contratación CLM buscando por «Diputación Ciudad Real». |
| Delegación Provincial JCCM en Ciudad Real | Soporte y mantenimiento de sistemas de información autonómicos en la provincia | Las licitaciones TIC de las consejerías con presencia territorial en Ciudad Real incluyen cada vez con más frecuencia la conformidad con el RD 311/2022 entre los requisitos del pliego. Accede a los pliegos en el Portal de Contratación CLM filtrando por organismo y CPV 72000000 (servicios informáticos). |
| SESCAM · Hospital General Universitario de Ciudad Real | Sistemas de información clínica, historia electrónica y conectividad | El SESCAM publica sus contratos TIC en el perfil del contratante del Portal de Contratación CLM. Los sistemas que gestionan datos de salud se categorizan generalmente en nivel medio o alto del ENS. Busca por «SESCAM» y CPV 72200000 en el Portal de Contratación CLM. |
¿Tu empresa quiere presentarse a alguno de estos contratos o a otros similares? Reserva una llamada y te explico qué categoría ENS te corresponde y en cuánto tiempo podemos tener la conformidad lista.
Cuando la Delegación Provincial de la JCCM, el Ayuntamiento de Ciudad Real, la Diputación Provincial o cualquier otro organismo te pide acreditar el ENS, no basta con declararlo: hay que presentar un expediente técnico sólido. Por eso trabajo siguiendo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta la preparación de la declaración de conformidad o de la auditoría, para que llegues documentado cuando te lo pidan.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con las exigencias del RD 311/2022 y delimito el alcance: qué sistemas de información quedan dentro del proyecto, tanto si sirves a la UCLM, al HGUCR o al tejido industrial de Puertollano. | Informe de diagnóstico que fija la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— y le asigno su categoría: básica, media o alta. Para un ISV del HGUCR, la categoría media es habitual; para un proveedor de la Diputación, suele bastar la básica. | Se documenta en el Anexo I del ENS y fija el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT, con el foco puesto en los activos críticos de tu organización. | Informe de análisis de riesgos con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica al alcance definido. | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección—, acompañando a tu equipo en cada paso. | Evidencia documental de cada medida implantada, lista para presentarse a auditoría. |
| Fase 06 Conformidad final | Reviso y preparo el expediente final. En categoría básica, apoyo la declaración autoevaluada; en media o alta, acompaño el proceso de auditoría de la entidad acreditada por ENAC. | Conforme al Anexo III: preparo el camino hacia la conformidad, aunque la certificación en media o alta siempre la emite un tercero acreditado por ENAC. |
Cuando presentas tu declaración o te sometes a auditoría ante la Delegación de la JCCM, la Diputación o el SESCAM, lo primero que revisan es la categoría de tus sistemas. Esa categoría no se elige a ojo: resulta de valorar el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, tomando como categoría final la de la dimensión con mayor nivel.
Se aplica cuando un incidente causaría un perjuicio limitado. En Ciudad Real es la categoría más habitual entre proveedores de servicios TIC auxiliares para la Diputación Provincial o el Ayuntamiento, y entre bodegas de la DO Valdepeñas que digitalizan su relación con la Administración.
Corresponde a sistemas en los que un incidente supondría un perjuicio grave. Es habitual en ISV del HGUCR o el SESCAM que gestionan historia clínica electrónica, y en plataformas académicas de la UCLM con datos de investigación sensibles.
Reservada a sistemas donde un incidente causaría un perjuicio muy grave o irreparable. Aplica a infraestructuras críticas o sistemas con datos especialmente sensibles de la Administración autonómica o estatal.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización quien verifica su cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que resistan cualquier revisión posterior de la Delegación de la JCCM, el Ayuntamiento o la Diputación de Ciudad Real.
En categoría media o alta la conformidad solo se acredita con la certificación de una entidad acreditada por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012. Te preparo para superar esa certificación con garantías, pero quien la emite siempre es la entidad acreditada, nunca yo como consultor.
Y una comprobación que se hace en un minuto y casi nadie hace: la conformidad con el ENS es pública. El Centro Criptológico Nacional mantiene el listado de certificados en su portal de Gobernanza de la Ciberseguridad Nacional, con una sección propia de empresas certificadas junto a las de administración del Estado, comunidades autónomas, entidades locales, universidades y sector público institucional. Cuando se revisó esta página reunía 4.035 certificados: 70 de categoría BÁSICA, 1.797 de MEDIA, 996 de ALTA y 1.172 con alcance definido por un Perfil de Cumplimiento Específico. Sirve para comprobar a un competidor, para comprobar a tu propio proveedor y, cuando obtengas el tuyo, para que te comprueben a ti. Lo que no recoge son las declaraciones de conformidad de categoría BÁSICA, que se publican en el portal o la sede electrónica de cada entidad: no estar en el registro central y no cumplir son cosas distintas.
Cuando la Delegación de la JCCM, el Ayuntamiento de Ciudad Real o cualquier otro organismo revisa tu expediente de licitación, no busca una promesa: busca papeles. Por eso no te entrego un PDF que nadie vuelve a abrir, sino el cuerpo documental y técnico completo que sostiene la conformidad y que el auditor necesita ver.
Me llamo Ángel Ortega Castro y trabajo como consultor independiente en cumplimiento normativo y seguridad de la información, con base en Valladolid y en Las Palmas de Gran Canaria. Conozco los plazos y los pliegos con los que licitan la Delegación Provincial de la JCCM, el Ayuntamiento de Ciudad Real, la Diputación Provincial y la UCLM, y entiendo los condicionantes específicos de los sectores que definen la economía provincial: la química-petroquímica de Puertollano, la agroindustria vinícola de la DO Valdepeñas y el turismo de patrimonio de Almadén y Almagro.
Trabajo de forma cercana, persona a persona: por videollamada casi siempre, pero también de forma presencial cuando la fase del proyecto lo pide —una sesión de categorización con tu equipo técnico, un acompañamiento en la auditoría, una reunión con el organismo contratante—. No entrego un manual y desaparezco. Convierto la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad después de que el proyecto termine.
Prefiero ser claro sobre los límites de mi papel: preparo y adecúo tu organización hasta dejarla lista para la conformidad, pero la certificación en categorías media o alta siempre la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, unida al rigor sobre la norma vigente —RD 311/2022, sus Anexos I a IV y las guías CCN-STIC—, es lo que me diferencia de las consultoras genéricas.
Empresas que dan soporte a sistemas académicos, de investigación o de identidad digital del Campus de Ciudad Real de la UCLM —rectorado, Escuela Técnica Superior de Ingeniería Industrial y grados de la Escuela Politécnica—. La UCLM está sujeta al ENS y traslada ese requisito a sus adjudicatarios, que suelen categorizarse en nivel básico o medio según el tipo de datos que traten.
Empresas que desarrollan o mantienen software de gestión hospitalaria, historia clínica electrónica o sistemas de agendación de citas para el Hospital General Universitario de Ciudad Real (HGUCR), dependiente del SESCAM. Por el volumen y la sensibilidad de los datos de salud que gestionan, estas empresas se sitúan habitualmente en categoría media o alta del ENS y necesitan certificación acreditada por ENAC.
Dos perfiles distintos con un mismo punto de partida. Por un lado, las consultoras que integran sistemas de control industrial y gestión en las plantas de Repsol Petroquímica en Puertollano o en empresas del entorno de Encaso Iberdrola, cuando esos sistemas reportan o contratan con organismos públicos. Por otro, las empresas de digitalización que trabajan en proyectos de turismo de patrimonio en torno al Parque Minero de Almadén (Patrimonio UNESCO) o al Festival de Teatro Clásico de Almagro y su Corral de Comedias, financiados con fondos europeos que exigen ENS en la cadena de suministro.
Cada pliego de la Delegación de la JCCM, del Ayuntamiento de Ciudad Real o de la Diputación Provincial plantea un alcance distinto, así que no existe una cifra única —y conviene desconfiar de quien la dé sin conocer tu caso—. Lo que determina la inversión es el alcance (cuántos sistemas entran en juego), la categoría que te corresponda (básica, media o alta), tu punto de madurez de partida y si necesitas certificación acreditada o te basta la declaración de conformidad.
En categoría media o alta hay que sumar el coste de la entidad certificadora acreditada por ENAC: es una factura aparte, independiente de mis honorarios, que emite directamente el tercero que audita la conformidad.
En Ciudad Real el perímetro ENS abarca organismos de distinto nivel administrativo. La Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha (JCCM) traslada el requisito en sus contratos TIC. El Ayuntamiento de Ciudad Real y la Diputación Provincial de Ciudad Real son entidades locales sujetas al RD 311/2022 que pueden incluirlo en sus pliegos. La UCLM, con su rectorado en la ciudad y el Campus de Ciudad Real —que alberga la Escuela Politécnica—, sujeta a sus proveedores de sistemas al mismo marco. El Hospital General Universitario de Ciudad Real (HGUCR), dependiente del SESCAM, es quizá el organismo donde la conformidad ENS resulta más exigente, dado el tipo de datos clínicos que gestiona. El primer paso es siempre revisar el pliego concreto del contrato que te interesa en el Portal de Contratación CLM.
La obligación directa del ENS recae sobre las Administraciones Públicas y sus sistemas de información. Las empresas del entorno de Repsol Petroquímica o de Encaso Iberdrola en Puertollano no están obligadas por el ENS en sus sistemas internos de producción. Sin embargo, cuando una consultora o integradora de sistemas OT/IT de ese entorno industrial quiere licitar con la Administración —ya sea para proyectos de digitalización de datos medioambientales, contratos de servicios con organismos de control, o proyectos cofinanciados con fondos europeos gestionados por entidades públicas—, entra en el perímetro de la cadena de suministro del ENS y debe acreditar conformidad. Si tu empresa tiene este perfil y estás valorando dar el salto a la contratación pública, en la primera llamada determinamos si y cuándo aplica.
Sí, en determinados casos. Los proyectos de digitalización del Parque Minero de Almadén (Patrimonio Mundial de la Minería por la UNESCO) y los servicios digitales vinculados al Festival Internacional de Teatro Clásico de Almagro y su Corral de Comedias pueden requerir conformidad ENS cuando el contratante es una Administración Pública. Si el proyecto se financia con fondos del Ministerio de Cultura, del Instituto Nacional de las Artes Escénicas y de la Música (INAEM) o con fondos europeos gestionados por la JCCM, el organismo que convoca está sujeto al ENS y puede trasladar ese requisito a sus adjudicatarios de servicios TIC. Conviene revisar el pliego en cada convocatoria.
Depende del tipo de relación con la Administración. Una bodega de la Denominación de Origen Valdepeñas que vende producto directamente no necesita el ENS. Sin embargo, si esa bodega digitaliza su gestión y, para ello, contrata con la Administración Provincial o Autonómica servicios de trazabilidad, integración con el Consejo Regulador o plataformas de comercio electrónico con financiación pública, la empresa tecnológica que preste esos servicios sí entra en el alcance del ENS. Y si la propia bodega quiere convertirse en proveedora de sistemas digitales para otros organismos, la conformidad pasa a ser obligatoria. Puedes revisar tu situación concreta en una primera llamada sin compromiso.
Los sistemas que gestionan datos de salud —historia clínica electrónica, receta interoperable, agendas de citación— suelen categorizarse en nivel medio del ENS por el impacto que tendría un incidente de confidencialidad o disponibilidad sobre datos especialmente sensibles. En algunos casos, si el sistema tiene acceso directo a datos críticos o controla dispositivos médicos conectados, puede llegar a la categoría alta. En ambos casos la conformidad exige certificación por una entidad acreditada por ENAC, no basta la declaración autoevaluada. La categorización exacta de tu sistema se determina en la Fase 02 del proceso de adecuación, aplicando el Anexo I del RD 311/2022.
Desde el punto de vista del ENS, ambas pertenecen a la misma entidad —la Universidad de Castilla-La Mancha—, con su rectorado en Ciudad Real. Sin embargo, los sistemas de la Escuela Técnica Superior de Ingeniería Industrial (ETSI Industrial) y los de los grados de la Escuela Politécnica pueden tener perfiles de riesgo distintos: los entornos de investigación con datos confidenciales o con acceso a proyectos financiados por la Agencia Estatal de Investigación pueden categorizarse en nivel medio, mientras que los sistemas puramente de gestión académica suelen quedarse en básico. La categorización se resuelve en la fase de análisis con los responsables de TI de la UCLM y de la empresa proveedora.
En categoría básica, para una empresa con un alcance acotado y buena documentación previa, el proceso puede completarse en 6 a 10 semanas. En categoría media o alta, donde se requiere certificación acreditada, el calendario suma la preparación interna (8-16 semanas) más los plazos de la entidad certificadora (variables según su agenda). Lo importante es no esperar al último momento: si hay un pliego concreto de la Delegación de la JCCM, del Ayuntamiento de Ciudad Real o de la Diputación en el horizonte, contacta con antelación suficiente para que el proceso no te deje fuera por falta de tiempo. Reserva una llamada y fijamos el calendario desde el principio.
Cuéntame el alcance de tu proyecto, a qué organismo quieres licitar —la Delegación de la JCCM, el Ayuntamiento de Ciudad Real, la Diputación, la UCLM o el HGUCR— y la categoría previsible de tus sistemas. La primera llamada no tiene coste ni compromiso: si encajamos, te preparo una propuesta cerrada; si no es el momento, te llevas una orientación clara sobre cómo arrancar la adecuación.