Consultor ENS en la Comunidad de Madrid
Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas proveedoras de las Consejerías de la Comunidad de Madrid, del SERMAS y sus doce hospitales de referencia, de las seis universidades públicas madrileñas y de entidades autonómicas como Metro de Madrid, Canal de Isabel II e IFEMA. La Comunidad de Madrid como administración regional tiene sus propias cadenas de contratación, sus propios pliegos marco y una infraestructura sanitaria y universitaria que genera una demanda ENS sin equivalente en ninguna otra comunidad autónoma.
Una comunidad autónoma con 179 municipios, tres millones de expedientes de salud y seis campus universitarios.
La Comunidad de Madrid no es Madrid ciudad. Es una administración con competencias propias sobre sanidad, educación, transporte, servicios sociales y digitalización que afectan a sus 8,5 millones de habitantes repartidos en 179 municipios. Cuando una empresa proveedora trabaja con la Comunidad, su interlocutor puede ser la Presidencia de la Comunidad de Madrid, la Consejería de Digitalización y Función Pública, la Consejería de Sanidad que coordina el SERMAS, la Consejería de Educación, Ciencia y Universidades que tutela las universidades públicas, la Consejería de Familia, Juventud y Asuntos Sociales, o la Vicepresidencia, Consejería de Presidencia y Portavocía del Gobierno. Cada una con su propia oficina de contratación, su propio catálogo de pliegos y sus propios tiempos de licitación.
El eje tecnológico de todo este entramado es Madrid Digital (ICM), la Agencia de Informática y Comunicaciones de la Comunidad de Madrid, que actúa como plataforma de servicios compartidos para las Consejerías y presta servicios de nube, comunicaciones y administración electrónica a toda la administración regional. Los contratos que publica Madrid Digital son los que más frecuentemente incorporan requisitos ENS explícitos, con exigencia habitual de categoría media en los sistemas de información transversales y de alta cuando el ámbito de tratamiento incluye datos especialmente sensibles.
El Servicio Madrileño de Salud (SERMAS) gestiona la historia clínica electrónica de más de tres millones de pacientes, coordina la logística de imagen médica de doce hospitales de referencia y mantiene plataformas de citación, teleconsulta y gestión de quirófanos para toda la red pública. Sus proveedores TIC operan en un entorno donde la dimensión de confidencialidad raramente baja de nivel medio —dato de salud, categoría especial según el RGPD— y donde una certificación ENS es a menudo el umbral mínimo para entrar en el proceso de contratación. Los hospitales de la red pública con mayor volumen de contratación TIC son el Hospital Universitario 12 de Octubre, el Hospital Universitario La Paz, el Hospital Universitario Ramón y Cajal, el Hospital General Universitario Gregorio Marañón, el Hospital Universitario Puerta de Hierro, el Hospital Clínico San Carlos, el Hospital Universitario de Fuenlabrada, el Hospital Universitario de Getafe, el Hospital Universitario de Móstoles, el Hospital Universitario Fundación Alcorcón, el Hospital Universitario Príncipe de Asturias de Alcalá de Henares y el Hospital Universitario Severo Ochoa de Leganés.
Las seis universidades públicas tuteladas por la Comunidad generan su propio mercado de contratación TIC: la Universidad Complutense de Madrid (UCM), la Universidad Politécnica de Madrid (UPM), la Universidad Autónoma de Madrid (UAM), la Universidad Carlos III de Madrid, la Universidad Rey Juan Carlos (URJC) y la Universidad de Alcalá (UAH). Todas ellas son entidades del sector público obligadas directamente por el ENS, y en los últimos años han trasladado esa obligación a los proveedores de sistemas de información, infraestructura cloud y plataformas de administración electrónica universitaria mediante sus pliegos de prescripciones técnicas.
A este entorno se suman operadores autonómicos de servicios esenciales con altísimo volumen de datos: Metro de Madrid y la Empresa Municipal de Transportes (EMT) —cuya cadena de suministro TIC incluye sistemas de gestión de flotas, validación de títulos de transporte y videovigilancia—, Canal de Isabel II —el operador público de abastecimiento y saneamiento de agua que gestiona la infraestructura crítica de suministro hídrico de la región— e IFEMA, el consorcio ferial cuya plataforma digital y sistemas de acreditación manejan datos de millones de visitantes anuales en ferias internacionales. Para los proveedores TIC de estas entidades, el ENS es tanto una exigencia contractual como un diferenciador competitivo en procesos de licitación donde la solvencia en seguridad de la información se valora de forma creciente.
Si quieres entender el marco normativo antes de dar el primer paso, te recomiendo la guía ENS completa; si ya tienes claro que necesitas empezar, en la página de consultoría ENS para empresas explico el proceso de principio a fin.
9 Consejerías y organismos
La Presidencia, la Consejería de Digitalización y Madrid Digital articulan la contratación TIC de toda la administración autonómica. Sus pliegos marco con requisito ENS afectan a proveedores de toda la cadena.
SERMAS y 12 hospitales
Historia clínica electrónica, imagen médica, citación y teleconsulta de doce hospitales de referencia. Datos de salud en categoría ENS media de forma sistemática. Certificación ENAC como umbral frecuente.
6 universidades públicas
UCM, UPM, UAM, Carlos III, URJC y UAH trasladan la obligación ENS a sus proveedores de TIC. Sus pliegos de infraestructura y administración electrónica incorporan el RD 311/2022 como criterio de solvencia.
Metro, Canal e IFEMA
Operadores autonómicos de servicios esenciales con contratos TIC complejos. Metro de Madrid, Canal de Isabel II e IFEMA gestionan infraestructuras críticas cuya cadena de suministro tecnológico exige madurez en seguridad.
Quién tiene obligación real de cumplir en el ámbito autonómico madrileño.
El RD 311/2022 extiende la obligación de cumplimiento a las entidades privadas que prestan servicios o soluciones a las administraciones públicas (disposición adicional primera). En el ámbito de la Comunidad de Madrid como administración regional —distinta del Ayuntamiento de la capital y de la Administración General del Estado—, ese alcance abarca un ecosistema de contratación pública que va desde las grandes plataformas de servicios compartidos de Madrid Digital hasta los sistemas de gestión de los municipios del área metropolitana que superan los 50.000 habitantes.
Los perfiles de empresa que con más frecuencia inicio proyectos ENS en el entorno autonómico madrileño:
- Empresas TIC con sede en los parques empresariales de Alcobendas, Tres Cantos, Las Rozas y San Sebastián de los Reyes que proveen sistemas de información, infraestructura cloud o servicios de ciberseguridad gestionada a las Consejerías de la Comunidad, a Madrid Digital o al SERMAS, y que necesitan cerrar la adecuación ENS antes de la siguiente convocatoria.
- ISV especializados en software sanitario —historia clínica electrónica, imagen médica DICOM, gestión de citación y teleconsulta— que trabajan simultáneamente con varios hospitales del SERMAS: el 12 de Octubre, La Paz, Ramón y Cajal, Gregorio Marañón, Puerta de Hierro o Clínico San Carlos, donde la categoría ENS resultante es media por la naturaleza de los datos.
- Proveedores de plataformas de administración electrónica universitaria que mantienen contratos con la UCM, UPM, UAM, Carlos III, URJC o UAH para sistemas de gestión académica, plataformas de e-learning o infraestructura de red de campus, cada una con su propio pliego y calendario de renovación.
- Empresas farmacéuticas o de tecnología sanitaria con sede en el corredor Alcalá-Alcobendas que tienen contratos con el SERMAS o sus hospitales y necesitan acreditar seguridad de la información en sus sistemas de soporte a la cadena de suministro farmacéutico.
- Integradoras de sistemas industriales y aeronáuticas con sede en Getafe que, además de sus contratos con el Ministerio de Defensa, mantienen contratos de servicios digitales con organismos de la Comunidad de Madrid y necesitan un expediente ENS que cubra ambos ámbitos bajo un mismo alcance.
- Consultoras de administración local que prestan servicios TIC a los ayuntamientos de Móstoles, Getafe, Alcalá de Henares, Alcorcón, Fuenlabrada, Leganés o Torrejón de Ardoz —municipios de más de 150.000 habitantes que funcionan como entidades del sector público con obligación ENS propia— y que trasladan ese requisito a sus contratos de servicios tecnológicos.
- Empresas de infraestructura tecnológica de transporte que participan en contratos de Metro de Madrid o EMT para sistemas de validación, videovigilancia, control de acceso o gestión de flota, cuya categoría ENS se sitúa frecuentemente en media por tratamiento de datos de tráfico e identificación de usuarios.
El plazo transitorio del RD 311/2022 para poner al día sistemas preexistentes expiró el 5 de mayo de 2024. Los pliegos de la Comunidad de Madrid publicados desde esa fecha pueden exigir conformidad ENS vigente sin aceptar procesos de adecuación no concluidos.
Pliegos autonómicos, sanitarios y universitarios con exigencia ENS explícita.
La Comunidad de Madrid publica su contratación en el Portal de Contratación de la Comunidad de Madrid y en la Plataforma de Contratación del Sector Público. En los últimos años, las licitaciones TIC con exigencia expresa de conformidad con el ENS han pasado de ser excepcionales a ser sistemáticas en el ámbito del SERMAS, de Madrid Digital y de las grandes universidades públicas. A continuación, tres tipos de expediente donde el requisito aparece con regularidad.
- Contratos del SERMAS para sistemas de información clínica. El Servicio Madrileño de Salud publica licitaciones de soporte a la historia clínica electrónica, sistemas de imagen médica (PACS/RIS), plataformas de citación y gestión hospitalaria para sus hospitales de referencia. Por el tratamiento de datos de salud (categoría especial según el RGPD), la categoría ENS resultante es media de forma habitual, con exigencia de certificación por entidad acreditada ENAC. Los pliegos del SERMAS son accesibles en el perfil del contratante de la Comunidad de Madrid en la Plataforma de Contratación del Sector Público filtrando por órgano contratante SERMAS y materia sistemas de información sanitaria.
- Acuerdos marco de Madrid Digital para servicios cloud y administración electrónica. La Agencia de Informática y Comunicaciones de la Comunidad de Madrid publica con periodicidad acuerdos marco de servicios TIC en la nube, infraestructura de comunicaciones y modernización de la administración electrónica autonómica. Estos contratos incluyen cláusulas de seguridad referenciadas al RD 311/2022, con niveles de exigencia que varían entre la declaración de conformidad para servicios básicos y la certificación ENAC para plataformas con datos sensibles de ciudadanos. Su portal de referencia es el Portal de Contratación de la Comunidad de Madrid.
- Contratos de infraestructura TIC de las universidades públicas madrileñas. UCM, UPM, UAM, Carlos III, URJC y UAH licitan de forma independiente sus contratos de mantenimiento de sistemas de gestión académica, infraestructura de red de campus y plataformas de e-learning. Cada universidad publica en su propio perfil del contratante, aunque todos están recogidos también en la Plataforma de Contratación del Sector Público. Las licitaciones de mayor importe incluyen prescripciones técnicas de seguridad referenciadas al ENS. Los contratos de las seis universidades están disponibles en el buscador de la Plataforma de Contratación del Sector Público filtrando por universidad pública madrileña como órgano contratante.
Si tu empresa ya tiene pendiente la adecuación ENS y necesita valorar el esfuerzo real antes de presentar oferta, el paso natural es un diagnóstico GAP que fije exactamente la distancia hasta la conformidad. La primera llamada es sin coste y sin compromiso.
De la categorización de tus sistemas a la conformidad que exige la Consejería o el SERMAS.
El itinerario sigue las guías CCN-STIC del Centro Criptológico Nacional, que son la referencia que utilizarán los técnicos de la Consejería de Digitalización, de Madrid Digital o del SERMAS al evaluar tu expediente. Cada fase produce entregables específicos para tus sistemas y tu alcance: sin plantillas genéricas ni documentación reutilizada de otro proyecto que un auditor ENAC detecta a los pocos minutos de revisión.
| Fase | En qué consiste | Qué obtienes |
|---|---|---|
| Fase 01 Diagnóstico GAP | Revisión de los sistemas de información en el alcance del contrato con la Consejería o el SERMAS, evaluación de controles existentes y estimación de la categoría ENS probable. | Informe GAP con brecha actual, nivel de madurez estimado y hoja de ruta priorizada con hitos para el pliego. |
| Fase 02 Categorización | Aplicación de la metodología del Anexo I del RD 311/2022 y de la guía CCN-STIC 803 para determinar la categoría (básica, media o alta) según las dimensiones de seguridad de cada sistema. | Documento de categorización firmado, con justificación dimensión a dimensión y sistema a sistema. |
| Fase 03 Análisis de riesgos | Identificación de activos, amenazas y vulnerabilidades siguiendo la metodología MAGERIT v3 adaptada al contexto de la Comunidad de Madrid y al tipo de datos tratados (sanitarios, académicos, tributarios). | Registro de riesgos con valoración cuantitativa, mapa de calor y plan de tratamiento con medidas ENS priorizadas. |
| Fase 04 Política y marco documental | Redacción o revisión de la Política de Seguridad de la Información, el Documento de Aplicabilidad (DdA) y los procedimientos operativos de seguridad exigidos por la categoría resultante. | Política de Seguridad, DdA con justificación de cada medida aplicada o no aplicada, y conjunto documental de procedimientos. |
| Fase 05 Implantación de medidas | Acompañamiento en la implantación técnica y organizativa de los controles ENS que el GAP identificó como insuficientes, con verificación de su efectividad antes de la auditoría. | Evidencias de implantación de controles, plan de pruebas y registro de incidentes para el expediente de auditoría. |
| Fase 06 Preparación de auditoría | Simulacro de auditoría interna, recopilación de evidencias, preparación del dossier documental y coordinación con la entidad certificadora acreditada por ENAC. | Dossier completo listo para auditoría ENAC, lista de comprobación de controles y soporte durante la visita del auditor. |
Básica, media o alta: cómo se determina en el entorno autonómico madrileño.
La categoría ENS no la decide el cliente público ni el proveedor: la determina el resultado del proceso de categorización según las dimensiones de seguridad del sistema. En la práctica, los contratos con la Comunidad de Madrid tienden a concentrarse en los rangos que se describen a continuación.
Categoría básica
Sistemas de soporte administrativo sin tratamiento de datos especialmente sensibles. Frecuente en contratos de servicios digitales con Consejerías de menor impacto —Cultura, Turismo, Deporte— o en sistemas de atención al ciudadano de bajo riesgo.
- Declaración de conformidad autoevaluada suficiente
- No requiere certificación por entidad acreditada ENAC
- Aplicación del subconjunto básico de medidas del Anexo II del RD 311/2022
- Responsable de Seguridad puede ser interno
Categoría media
La más frecuente en el entorno del SERMAS, las universidades públicas madrileñas y Madrid Digital. Sistemas con datos de salud, datos académicos con impacto en derechos o infraestructuras de servicios esenciales.
- Requiere certificación por entidad acreditada ENAC
- Responsable de Seguridad independiente del Responsable del Sistema
- Análisis de riesgos MAGERIT obligatorio
- Auditoría de seguridad bienal
Categoría alta
Sistemas de infraestructura crítica, plataformas de gestión de emergencias sanitarias o sistemas de control de infraestructuras esenciales como los de Canal de Isabel II o Metro de Madrid en sus componentes más críticos.
- Certificación ENAC obligatoria con alcance ampliado
- Controles adicionales de continuidad y recuperación
- Auditoría anual de seguridad
- Medidas reforzadas de gestión de incidentes
Vía declaración de conformidad
Disponible en categoría básica. La empresa elabora el expediente completo (categorización, análisis de riesgos, DdA, medidas implantadas) y firma una declaración de conformidad. Es el recorrido más corto hasta la adecuación, pero solo válido cuando el sistema no alcanza ninguna dimensión de nivel medio.
Vía certificación acreditada ENAC
Obligatoria en categorías media y alta —el caso habitual en contratos con SERMAS, Madrid Digital y universidades públicas madrileñas—. La empresa prepara el expediente completo y una entidad certificadora acreditada por ENAC lleva a cabo la auditoría y emite el certificado. Coordino la preparación del dossier y el proceso con la entidad certificadora elegida por el cliente.
Tres situaciones concretas, tres enfoques distintos de adecuación.
Cada proyecto ENS es diferente porque el alcance, la categoría y el organismo contratante determinan el recorrido. Estos tres escenarios reflejan los proyectos que abordo con más frecuencia en el entorno autonómico madrileño.
TIC nacional con oficinas en el corredor norte que trabaja con múltiples Consejerías y SERMAS
Una empresa con sede en Alcobendas o Las Rozas puede tener contratos simultáneos con la Consejería de Digitalización, con Madrid Digital y con dos o tres hospitales del SERMAS. El reto no es la adecuación para un solo cliente: es construir un único expediente ENS con un alcance bien delimitado que cubra todos los sistemas relevantes y evite cuatro proyectos en paralelo. El análisis de riesgos se diseña para que una sola categorización sea válida ante todos los órganos contratantes, y el DdA refleja los controles aplicados en todos los entornos.
ISV especializado que licita simultáneamente con varias universidades públicas madrileñas
Un ISV que provee plataformas de administración electrónica o sistemas de gestión académica a la UCM, la UPM y la Universidad Carlos III se enfrenta a tres pliegos independientes con requisitos ENS similares pero no idénticos. El enfoque eficiente es construir un expediente ENS con alcance definido por el sistema —no por el cliente—, de modo que el mismo expediente responda a los requerimientos de las tres universidades. La categorización se basa en el tipo de datos tratados (datos académicos, datos de gestión de personal, datos de investigación) y se documenta de forma que cada universidad pueda verificar su aplicabilidad directamente.
Consultora de administración local coordinando pliegos ENS en municipios grandes del área metropolitana
Los ayuntamientos de Móstoles, Getafe, Alcalá de Henares, Alcorcón y Fuenlabrada son entidades del sector público directamente obligadas por el ENS. Sus contratos de servicios TIC —sistemas de padrón, gestión tributaria, sede electrónica, videovigilancia— trasladan ese requisito a sus proveedores. Una consultora que atiende varios de estos municipios necesita coordinar pliegos con características distintas: cada ayuntamiento tiene su propia oficina de contratación y sus propios plazos. El proceso de adecuación más eficiente define un alcance por sistema que permita presentar el mismo expediente ENS ante todos los clientes municipales, ajustando solo la documentación de contexto a cada órgano contratante.
Ángel Ortega Castro
Trabajo con empresas proveedoras de administraciones públicas que necesitan acreditar el Esquema Nacional de Seguridad para mantener o ampliar su cartera de contratos públicos. Mi enfoque es práctico y orientado al pliego: el objetivo no es una certificación por el valor del documento, sino la conformidad verificable que permite seguir licitando.
He llevado proyectos de adecuación ENS en categorías básica y media para proveedores del sector sanitario, del sector universitario y de la administración autonómica en distintas comunidades. Conozco de primera mano cómo evalúan los técnicos de contratación los expedientes ENS y qué déficits documentales generan más observaciones en las auditorías ENAC.
Trabajo en remoto con plena eficiencia —el grueso del trabajo es documental y de análisis— y me desplazo a las instalaciones del cliente cuando la naturaleza del sistema o el proceso de auditoría lo requieren. La primera sesión de diagnóstico es siempre por videoconferencia, sin coste y sin compromiso de contratación.
Sectores con mayor demanda de certificación ENS en el ámbito autonómico madrileño.
La Comunidad de Madrid concentra una densidad de proveedores TIC del sector público sin equivalente en ninguna otra comunidad autónoma. Más allá de los grandes grupos tecnológicos que trabajan con los ministerios, hay un tejido de empresas medianas y especializadas cuyo principal mercado son exactamente las Consejerías, el SERMAS, las universidades públicas y los operadores autonómicos de servicios esenciales.
- TIC con sede en el corredor norte (Alcobendas, Tres Cantos, Las Rozas, San Sebastián de los Reyes). El mayor polo de empresas de software, integradores de sistemas y proveedores de ciberseguridad del país, con clientes principales en la Comunidad de Madrid, el SERMAS y las universidades públicas. La presión sobre la acreditación ENS se ha intensificado desde 2024 en este segmento.
- Sector farmacéutico y de tecnología sanitaria. Empresas de la corona norte de la Comunidad —Alcobendas, Tres Cantos— que desarrollan sistemas de gestión de cadena de suministro farmacéutico, software de farmacovigilancia o plataformas de gestión de ensayos clínicos para hospitales del SERMAS. Sus contratos con hospitales de referencia como La Paz, Ramón y Cajal o el 12 de Octubre incluyen tratamiento de datos de salud que eleva sistemáticamente la categoría ENS a media.
- Servicios financieros con contratos con la administración autonómica. Proveedores de plataformas de gestión presupuestaria, sistemas de control de gasto o soluciones de firma electrónica que trabajan con la Consejería de Hacienda o con la Agencia Tributaria de la Comunidad de Madrid.
- Sector aeronáutico y defensa en Getafe. Empresas con contratos tanto con el Ministerio de Defensa como con organismos de la Comunidad de Madrid que necesitan un expediente ENS que cubra ambos ámbitos bajo un mismo alcance, evitando duplicidades documentales y de auditoría.
- Operadores de transporte público autonómico. Proveedores de sistemas de validación de títulos, videovigilancia, control de acceso y gestión de flota para Metro de Madrid y EMT, donde la categoría ENS del sistema depende del tipo de datos de usuario gestionados y de la criticidad del servicio para la movilidad regional.
Presupuesto cerrado, sin sorpresas al facturar.
El coste de un proyecto ENS depende del número de sistemas en el alcance, del nivel de madurez de partida y de la categoría ENS resultante. No doy cifras sin conocer el contexto real porque daría un número que no te sirve para tomar la decisión correcta.
Lo que sí puedo precisar: el coste de quedar excluido de un concurso del SERMAS, de Madrid Digital o de una universidad pública madrileña por no tener la adecuación ENS es siempre superior al coste del proyecto. Y ese coste no se mide solo en la licitación perdida: se mide en los contratos de renovación que tampoco se pueden defender.
Qué está incluido
- Diagnóstico GAP inicial sin coste y sin compromiso para valorar el punto de partida real.
- Categorización documentada con justificación dimensión a dimensión según el RD 311/2022 y la guía CCN-STIC 803.
- Análisis de riesgos MAGERIT adaptado al tipo de activos y datos del entorno de la Consejería, el SERMAS o la universidad contratante.
- Marco documental completo: Política de Seguridad, Documento de Aplicabilidad y procedimientos operativos.
- Preparación de la auditoría ENAC y coordinación con la entidad certificadora, incluido simulacro de auditoría previo.
- Soporte durante la auditoría para la respuesta a observaciones y la obtención del certificado.
Dudas específicas de la Comunidad de Madrid como administración autonómica.
¿Cómo se coordina el ENS entre las diferentes Consejerías de la Comunidad de Madrid?
La Consejería de Digitalización y Función Pública, a través de Madrid Digital (ICM), actúa como la unidad de coordinación tecnológica transversal de la Comunidad de Madrid. En materia de seguridad de la información, Madrid Digital establece los marcos de referencia y los acuerdos marco de servicios TIC que aplican a todas las Consejerías, aunque cada Consejería mantiene su propia oficina de contratación y puede añadir requisitos adicionales en sus pliegos.
En la práctica, esto significa que un proveedor que trabaja con varias Consejerías puede encontrarse con pliegos que referencian el mismo marco ENS pero con matices distintos en los requisitos de evidencia o en los plazos de acreditación. El enfoque más eficiente es construir un expediente ENS con alcance definido por el sistema —no por el órgano contratante— que sea reutilizable ante distintas Consejerías. La primera llamada de diagnóstico ayuda a identificar si ese enfoque transversal es viable en tu caso.
¿El SERMAS exige ENS a proveedores de todos los hospitales o solo a los de la red central?
El SERMAS es el órgano contratante para los contratos de sistemas de información de toda la red hospitalaria pública madrileña, tanto los hospitales de referencia regional —12 de Octubre, La Paz, Ramón y Cajal, Gregorio Marañón, Puerta de Hierro, Clínico San Carlos— como los hospitales de área —Fuenlabrada, Getafe, Móstoles, Alcorcón, Príncipe de Asturias, Severo Ochoa—. En todos ellos, los contratos de historia clínica electrónica, imagen médica e infraestructura de gestión hospitalaria incorporan requisitos de seguridad referenciados al ENS.
La exigencia de certificación versus declaración de conformidad depende de la categoría ENS del sistema. En contratos que implican tratamiento de datos de salud —categoría especial según el RGPD—, la dimensión de confidencialidad alcanza habitualmente nivel medio, lo que requiere certificación por entidad acreditada ENAC. En contratos de soporte administrativo sin acceso a datos clínicos, la categoría puede ser básica y bastar la declaración de conformidad. La categorización exacta hay que hacerla sobre el sistema concreto, no sobre el hospital.
¿La Comunidad de Madrid tiene un pliego marco ENS que aplica a todas las Consejerías?
Madrid Digital publica acuerdos marco de servicios TIC que aplican a todas las Consejerías y que incluyen prescripciones de seguridad referenciadas al ENS. Sin embargo, cada Consejería puede añadir requisitos adicionales en los contratos específicos derivados de esos acuerdos marco, y los contratos de mayor importe o mayor sensibilidad tienden a incluir cláusulas ENS más detalladas.
En la práctica, la situación más habitual es que el pliego de prescripciones técnicas de un contrato con la Comunidad de Madrid cite expresamente el RD 311/2022 y el nivel de categoría exigido, pero deje a la empresa proveedora la responsabilidad de demostrar la conformidad. El expediente ENS que construyo cubre exactamente ese requerimiento: proporciona la documentación que el órgano contratante necesita para verificar la conformidad, en el formato que los técnicos de la Consejería o de Madrid Digital esperan encontrar.
¿Los ayuntamientos de municipios grandes como Móstoles, Getafe o Alcalá exigen ENS a proveedores?
Sí. Los ayuntamientos de los municipios más grandes del área metropolitana —Móstoles, Getafe, Alcalá de Henares, Alcorcón, Fuenlabrada, Leganés y Torrejón de Ardoz, todos con más de 150.000 habitantes— son entidades del sector público directamente obligadas por el ENS. Sus sistemas de gestión municipal —padrón, gestión tributaria, sede electrónica, servicios de atención al ciudadano— deben cumplir el RD 311/2022, y esa obligación se traslada a los proveedores TIC en sus pliegos de contratación.
La diferencia con los contratos de la Comunidad de Madrid es que cada ayuntamiento tiene su propio perfil del contratante y sus propios plazos. Para una empresa que atiende varios municipios, el enfoque más eficiente es construir un único expediente ENS con alcance definido por sistema que sea reutilizable ante los distintos ayuntamientos, ajustando solo la documentación de contexto a cada órgano contratante. Esto reduce significativamente el esfuerzo de mantenimiento y actualización del expediente.
¿Metro de Madrid, EMT y Canal de Isabel II tienen requisitos ENS específicos?
Metro de Madrid, EMT y Canal de Isabel II son entidades del sector público autonómico que gestionan infraestructuras esenciales: transporte público regional y suministro de agua potable respectivamente. El RD 311/2022 los alcanza en cuanto entidades del sector público, y sus sistemas de información —control de acceso, sistemas de gestión de flota, plataformas de gestión de incidencias, sistemas de control de infraestructuras— pueden alcanzar categoría media o alta dependiendo de la criticidad del sistema y del tipo de datos tratados.
En la práctica, los proveedores TIC de estas entidades se encuentran con pliegos que incorporan requisitos de seguridad de la información con referencia explícita o implícita al ENS. La categoría concreta del sistema depende del análisis de las cinco dimensiones de seguridad sobre los activos en el alcance: no es lo mismo un sistema de gestión de incidencias internas que un sistema de control de acceso de viajeros o un SCADA de control de red de agua. En la primera llamada de diagnóstico evaluamos qué sistemas de tu contrato con estas entidades entran en el alcance y cuál es la categoría más probable.
¿Cuánto tarda una adecuación ENS para contratos con la Consejería de Sanidad o el SERMAS?
El plazo depende principalmente de dos factores: el nivel de madurez de partida en seguridad de la información y la categoría ENS resultante. En proyectos de categoría media —la más habitual en contratos con la Consejería de Sanidad y el SERMAS— el recorrido habitual desde el diagnóstico GAP hasta la obtención del certificado ENAC es de cuatro a ocho meses, dependiendo del alcance del sistema y de la disponibilidad de la entidad certificadora.
El diagnóstico GAP inicial permite afinar ese plazo con mayor precisión: identifica qué controles ya están implantados y cuáles requieren trabajo de implantación antes de la auditoría. En empresas con cierta madurez en seguridad de la información —especialmente las que ya tienen ISO 27001— el plazo puede acortarse de forma significativa porque muchos controles ya están documentados y verificados. Si tienes un plazo de concurso concreto, en la primera llamada evaluamos si es alcanzable y qué haría falta priorizar.
Consultoría ENS en otras provincias y recursos clave.
Hablemos de tu adecuación al ENS en la Comunidad de Madrid.
Te propongo una primera llamada gratuita, sin compromiso y sin presentaciones comerciales. En ella revisamos el alcance de tus sistemas, qué categoría ENS corresponde probablemente según el organismo contratante —Consejería, SERMAS, universidad pública o entidad autonómica—, y si el camino que necesitas es la declaración de conformidad o la certificación acreditada por ENAC. Si encajamos, te envío una propuesta con presupuesto cerrado. Si no, te quedas con una orientación útil para arrancar el proceso por tu cuenta.