Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas. Trabajo en remoto con empresas de toda España y me desplazo a Córdoba y su provincia cuando el proyecto lo requiere, para acompañar a empresas de Córdoba y de toda Andalucía en su adecuación al Esquema Nacional de Seguridad (RD 311/2022), de modo que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Córdoba, la Diputación Provincial o la Universidad de Córdoba sin quedar excluidas de los pliegos.
Córdoba no es la sede de la Junta de Andalucía —esa capitalidad corresponde a Sevilla—, pero es una de las provincias con mayor actividad administrativa y de contratación pública local de la comunidad autónoma. La ciudad cuenta con Ayuntamiento propio, la Diputación Provincial de Córdoba, la Universidad de Córdoba (UCO) y una amplia red de organismos y centros dependientes de la Junta de Andalucía con actividad en la provincia, entre ellos el Servicio Andaluz de Salud (SAS) a través del Hospital Universitario Reina Sofía. Todos ellos, como el resto del sector público español, están sujetos al Esquema Nacional de Seguridad por el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo), y trasladan esa obligación a la cadena de proveedores que les prestan servicios TIC.
La Diputación Provincial de Córdoba no se ha quedado en el mínimo exigible: a través de su empresa pública EPRINSA (Empresa Provincial de Informática, S.A.), que presta asistencia informática integral, formación y producción cartográfica a los ayuntamientos, mancomunidades y entidades locales de la provincia, se convirtió en la primera compañía pública dependiente de una diputación provincial en obtener la certificación de conformidad con el ENS. El Ayuntamiento de Córdoba, por su parte, aprobó en 2024 la licitación de renovación de su plataforma digital municipal —un contrato de 7,5 millones de euros a ocho años— con exigencias explícitas de interoperabilidad segura entre administraciones. Y la Universidad de Córdoba mantiene su propia sede electrónica desde 2008, sujeta como cualquier institución pública universitaria a las mismas obligaciones normativas que el resto del sector público.
Alrededor de esa administración se ha desarrollado un tejido empresarial propio: el Parque Científico Tecnológico de Córdoba —conocido históricamente como Rabanales 21 y hoy también como Córdoba TechPark—, junto al Campus Universitario de Rabanales, agrupa ya más de 110 empresas de los sectores TIC, agroindustria, defensa, ingeniería y biotecnología. A la vez, los grandes motores económicos de la provincia —el aceite de oliva (con las denominaciones de origen de Baena, Priego de Córdoba, Montoro-Adamuz y Lucena), el vino y el vinagre de Montilla-Moriles, el jamón ibérico de la DOP Los Pedroches y un turismo que atrae cada año cerca de dos millones de visitantes a un centro histórico con cuatro inscripciones de la UNESCO— dependen cada vez más de proveedores tecnológicos que, tarde o temprano, también acaban prestando servicio a alguna administración. Para todos ellos, quedar fuera del ENS es quedar fuera de la licitación.
La Diputación de Córdoba, a través de EPRINSA, fue la primera empresa pública dependiente de una diputación provincial en obtener el certificado ENS. Sus proveedores y subcontratistas deben acreditar un nivel de conformidad acorde a esa exigencia.
El Ayuntamiento de Córdoba licitó en 2024 la renovación de su plataforma digital municipal con interoperabilidad segura entre administraciones. Sus pliegos TIC incorporan cada vez con más frecuencia la conformidad con el ENS.
La UCO opera su propia sede electrónica desde 2008 y, como institución pública universitaria, traslada el requisito ENS a sus proveedores de servicios TIC y de administración electrónica.
Más de 110 empresas TIC, de agroindustria, defensa e ingeniería en el parque científico-tecnológico buscan escalar su actividad hacia contratos con la Junta de Andalucía, el Ayuntamiento o la Diputación.
Antes de avanzar conviene tener claro el marco completo: en la guía ENS completa explico cómo funciona el esquema paso a paso, y en la página de consultoría ENS para empresas detallo cómo trabajo el servicio de principio a fin.
El ENS no distingue entre Administración y empresa privada: alcanza a todo organismo público y a cada proveedor que trabaja para él por relación contractual. Cuando reviso el mapa de proveedores TIC de Córdoba y su provincia, me encuentro con un grupo de empresas bastante más amplio de lo que muchas sospechan.
Estos son los perfiles con los que más me cruzo en la zona:
El plazo que dio el RD 311/2022 para adecuar los sistemas ya existentes —24 meses, contados desde la disposición transitoria única— se cerró el 5 de mayo de 2024. Cualquier sistema nuevo, o que haya sufrido cambios significativos, tiene que cumplir desde su primer día de funcionamiento. Si tu empresa todavía no ha empezado, cada licitación que ves publicada en el perfil del contratante es un aviso de que el margen se acaba.
Sigo el orden que marcan las guías CCN-STIC del Centro Criptológico Nacional: del diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría. La meta es que tu empresa llegue a la conformidad con método, con una carpeta de documentación que aguante la revisión de la Junta de Andalucía, el Ayuntamiento de Córdoba, la Diputación o cualquier otro organismo que te esté contratando.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación real con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto. | Recibes un informe de diagnóstico con la distancia que te separa del cumplimiento y las brechas que hay que atacar primero. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y de ahí sale la categoría: básica, media o alta. | Queda recogido en el Anexo I del ENS, que fija el nivel de exigencia y qué vía de conformidad te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Te entrego el informe de análisis de riesgos junto con el plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control aplicable en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806, obtienes el plan de adecuación y la base de la declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo en cada paso. | Quedan las evidencias de implantación, medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Hago la revisión previa y la preparación final. En básica, te apoyo con la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III, dejo preparada la conformidad; la certificación en media o alta la firma un tercero acreditado por ENAC, nunca yo. |
La categoría de un sistema no se decide por intuición: se calcula midiendo qué pasaría si un incidente afectara a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión peor valorada es la que fija la categoría final.
La aplico cuando un incidente causaría un perjuicio limitado a las funciones de la organización, a sus activos o a las personas. Es la categoría más habitual entre proveedores de servicios auxiliares en Córdoba y su provincia.
Se activa cuando un incidente supondría un perjuicio grave: al menos una dimensión alcanza el nivel medio. Es frecuente en sistemas de gestión administrativa o en el tratamiento de datos sensibles.
Corresponde a los casos en los que un incidente causaría un perjuicio muy grave, incluso irreparable: alguna dimensión llega a nivel alto. Es propia de sistemas críticos o con datos especialmente sensibles.
Si tu sistema queda en básica, la propia empresa declara su conformidad, autoevaluándose conforme a las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que esa declaración resista cualquier revisión posterior del organismo que te contrata.
Si el sistema es media o alta, necesitas certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi papel es dejarte preparado para superarla con garantías; quien la emite es la entidad acreditada, nunca yo como consultor.
No te dejo un PDF que nadie vuelve a abrir. Al cerrar el proyecto tienes el cuerpo documental y técnico completo: el mismo que pedirán el auditor, la Junta de Andalucía, el Ayuntamiento de Córdoba o cualquier otro organismo contratante dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Opero desde mis bases en Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con clientes de toda España y viajo hasta Córdoba cuando el proyecto lo pide: en el arranque, en sesiones de trabajo con tu equipo técnico o acompañando la auditoría. He seguido de cerca cómo se mueve la contratación pública de la provincia: la certificación ENS que ya tiene EPRINSA para la Diputación, la licitación de la plataforma digital del Ayuntamiento, la sede electrónica de la Universidad de Córdoba y las exigencias TIC que llegan desde los organismos vinculados a la Junta de Andalucía.
Entiendo el acompañamiento como algo personal, de tú a tú: no desaparezco después de entregar un manual. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, al terminar, tu equipo sabe mantener la conformidad por sí mismo, esté donde esté tu sede.
Soy claro sobre dónde llega mi trabajo: preparo y adecúo tu organización hasta dejarla lista; la certificación en categorías media o alta la firma una entidad acreditada por ENAC, no yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras que trabajan como subcontratistas de EPRINSA, la empresa pública de la Diputación de Córdoba que presta asistencia informática a los ayuntamientos de la provincia y que ya cuenta con certificación ENS. Prestar servicio dentro de esa cadena de suministro exige acreditar un nivel de conformidad equivalente.
Empresas TIC, de agroindustria o biotecnología del Parque Científico Tecnológico de Córdoba, junto al Campus de Rabanales, que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia el Ayuntamiento, la Diputación o la Junta de Andalucía. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Empresas de software de gestión clínica, conectividad o ciberseguridad que prestan servicio al Hospital Universitario Reina Sofía o a otros centros del Servicio Andaluz de Salud en la provincia. La política de seguridad TIC propia del SAS traslada exigencias de conformidad ENS a toda su cadena de proveedores.
No existe una tarifa plana, y yo desconfiaría de cualquiera que te la ofrezca sin conocer tu caso. Lo que pagas depende del alcance del proyecto (cuántos sistemas entran), de la categoría que te toque —básica, media o alta—, de tu punto de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Ten en cuenta que, en categoría media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC. Es una factura aparte, que emite directamente ese tercero al realizar la auditoría de conformidad.
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS y coordina su seguridad de la información a través de la Agencia Digital de Andalucía, que centraliza la contratación de servicios TIC comunes y define las cláusulas de seguridad de sus pliegos. Si tu empresa presta o aspira a prestar servicios digitales a alguna consejería, organismo dependiente o centro del Servicio Andaluz de Salud con actividad en Córdoba, la conformidad con el RD 311/2022 es un requisito de solvencia técnica habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. EPRINSA, la Empresa Provincial de Informática de la Diputación de Córdoba, presta asistencia informática integral a los ayuntamientos de la provincia y se convirtió en la primera compañía pública dependiente de una diputación provincial en obtener la certificación ENS. Cualquier empresa que trabaje como proveedora o subcontratista dentro de esa cadena de suministro debe acreditar un nivel de conformidad acorde a esa exigencia.
Sí. El Ayuntamiento de Córdoba, como entidad local sujeta al RD 311/2022, aprobó en 2024 la licitación de renovación de su plataforma digital municipal —un contrato de 7,5 millones de euros a ocho años— que exige interoperabilidad segura entre administraciones. Los pliegos de sistemas, ciberseguridad o servicios digitales del Consistorio incorporan la conformidad con el ENS como requisito de solvencia técnica.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas. El Servicio Andaluz de Salud tiene aprobada su propia política de seguridad de las tecnologías de la información, alineada con el ENS, y sus centros —entre ellos el Hospital Universitario Reina Sofía de Córdoba, uno de los hospitales regionales de Andalucía— manejan sistemas de información especialmente sensibles que suelen situarse en categoría media o alta. La categoría concreta se determina valorando las cinco dimensiones de seguridad (CIDAT) del Anexo I del RD 311/2022.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisaciones. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Andalucía, el Ayuntamiento de Córdoba o la Diputación, lo que el pliego exige es el ENS.
Reservamos una primera toma de contacto gratuita y sin ningún compromiso, en la que repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de contratos públicos a los que aspiras. Con esa información te doy una propuesta cerrada si encajamos, o unas pautas claras para arrancar por tu cuenta si todavía no es el momento.