Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente. Ayudo a empresas de Cuenca y su provincia a completar su adecuación al Esquema Nacional de Seguridad (RD 311/2022), el paso que les permite licitar y trabajar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Cuenca, la Diputación Provincial o la UCLM sin quedar fuera de los pliegos.
Cuenca no es la sede del Gobierno de Castilla-La Mancha —ese papel corresponde a Toledo—, pero es una ciudad con peso administrativo e institucional propio dentro de la región. Es la capital de su provincia, sede de la Diputación Provincial de Cuenca y de la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha, además de contar con un Ayuntamiento con sede electrónica activa y una agenda de digitalización propia. En la ciudad también opera el Campus de Cuenca de la Universidad de Castilla-La Mancha (UCLM), con seis facultades y dos escuelas —entre ellas la Facultad de Bellas Artes y la Facultad de Periodismo, referencias en su especialidad dentro de la región— que, como institución pública universitaria, está sujeta al ENS igual que cualquier otra entidad del sector público.
A ese ecosistema institucional se suma un organismo singular: el Consorcio de la Ciudad de Cuenca, encargado de la conservación y gestión del conjunto histórico fortificado que la UNESCO declaró Patrimonio Mundial en 1996 —la novena ciudad española en lograrlo, diez años después de Toledo—. El Consorcio gestiona sistemas de información propios —sede electrónica, gestión patrimonial, control de acceso a espacios como las Casas Colgadas o el Museo de Arte Abstracto Español— que, como entidad del sector público, también están sujetos al ENS.
Alrededor de estas administraciones —Diputación, Ayuntamiento, Delegación de la Junta de Comunidades de Castilla-La Mancha, UCLM y Consorcio— se ha desarrollado un tejido de empresas TIC locales: consultoras informáticas, desarrolladoras de software de gestión y proveedores de mantenimiento y soporte que trabajan o aspiran a trabajar con alguno de estos organismos. A ellas se suman las empresas de los tres sectores que realmente mueven la economía de la provincia —agroalimentario, industria forestal-maderera y turismo, que concentran más de la mitad del empleo conquense— cuando digitalizan su gestión para relacionarse con la Administración. Para todas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de la Diputación Provincial de Cuenca y de la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Cuenca incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas de administración electrónica.
El Campus de Cuenca de la UCLM y el Consorcio de la Ciudad de Cuenca, gestor del Patrimonio Mundial UNESCO, están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto conviene tener claro el marco normativo: échale un vistazo a la guía ENS completa y al detalle del servicio de consultoría ENS para empresas para entender qué implica cada nivel de exigencia.
La norma no se limita a los organismos públicos: alcanza también a las empresas privadas que trabajan para ellos por relación contractual. En Cuenca y su provincia, ese círculo de empresas obligadas es más amplio de lo que a menudo se piensa.
Estos son algunos de los perfiles que, en la práctica, se ven obligados a adecuarse:
El plazo de 24 meses que la disposición transitoria única del RD 311/2022 concedía para adaptar los sistemas ya existentes se agotó el 5 de mayo de 2024; los sistemas nuevos o modificados de forma significativa, en cambio, deben cumplir desde su puesta en marcha. Si tu adecuación sigue pendiente, cada licitación que se publica en el perfil del contratante es un recordatorio de que el margen disponible se sigue reduciendo.
Sigo el orden que marcan las guías CCN-STIC: primero el diagnóstico, después la construcción del expediente hasta llegar a la declaración de conformidad o a la auditoría. La meta es que la documentación que presentes ante la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Cuenca, la Diputación Provincial o cualquier otro organismo contratante sea sólida desde el primer momento.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación de partida con lo que exige el ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Informe de diagnóstico que cuantifica la distancia real al cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— y le asigno su categoría: básica, media o alta. | Conforme al Anexo I del ENS. De aquí sale el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos, con su correspondiente plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas necesarias y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Según la guía CCN-STIC 806: plan de adecuación y borrador de la declaración de conformidad. |
| Fase 05 Implantación | Se despliegan las medidas del Anexo II —marco organizativo, operacional y de protección— con acompañamiento directo a tu equipo en cada paso. | Evidencias de implantación, medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre. Si la categoría es básica, te apoyo en la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III: yo preparo la conformidad, pero la certificación en media o alta siempre la emite un tercero acreditado por ENAC. |
No eliges la categoría de tu sistema a capricho: se obtiene valorando qué impacto tendría un incidente en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión que alcance el nivel más alto es la que determina la categoría final.
Se aplica cuando un incidente tendría un perjuicio limitado sobre la actividad, los activos o las personas. En Cuenca es la categoría más habitual entre proveedores de servicios auxiliares y consultoras TIC que trabajan con el Ayuntamiento o la Diputación.
Se activa cuando el perjuicio de un incidente sería grave porque alguna dimensión llega al nivel medio. Es frecuente en sistemas de gestión administrativa o en el tratamiento de datos sensibles, habituales en la gestión documental de organismos como la Diputación o el Ayuntamiento.
Corresponde a los casos en que un incidente causaría un perjuicio muy grave, a veces irreparable, porque alguna dimensión alcanza el nivel alto: sistemas críticos o que manejan información especialmente sensible.
Si tu sistema es de categoría básica, basta con una declaración de conformidad autoevaluada: es la propia empresa la que verifica su cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias preparadas para que esa declaración aguante cualquier revisión del organismo contratante, ya sea la Diputación, el Ayuntamiento o la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha.
Si la categoría es media o alta, la conformidad solo se acredita con una certificación emitida por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi función es prepararte para superarla con garantías; la certificación siempre la firma la entidad acreditada, nunca yo como consultor.
No es un PDF que se archiva y no vuelve a abrirse. Es el conjunto documental y técnico que sostiene tu conformidad, el mismo que un auditor, la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Cuenca o cualquier otro organismo contratante va a pedir ver dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —Cuenca y el resto de Castilla-La Mancha incluidos—. He tratado de cerca la licitación pública castellanomanchega: sé cómo son los tiempos, cómo se leen los pliegos y qué exigen habitualmente organismos como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Cuenca, la Diputación Provincial o el Campus de Cuenca de la UCLM.
Trabajo con acompañamiento real, persona a persona: no entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, al cerrar el proyecto, tu equipo queda capacitado para mantener la conformidad por su cuenta.
Soy claro sobre los límites de mi papel: preparo y adecúo tu organización de cara a la conformidad, pero la certificación en categorías media o alta la firma siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, unida al rigor sobre la norma vigente —RD 311/2022, Anexos I-IV y guías CCN-STIC—, es lo que me separa de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con la Diputación Provincial de Cuenca, su Organismo Autónomo de Gestión Tributaria y Recaudación, o con la Delegación Provincial de la Junta de Comunidades de Castilla-La Mancha, y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas que prestan servicios de sistemas de reserva, control de aforo o gestión documental al Consorcio de la Ciudad de Cuenca o al Ayuntamiento, para espacios como las Casas Colgadas, el Museo de Arte Abstracto Español o el conjunto histórico declarado Patrimonio Mundial por la UNESCO en 1996. La sensibilidad de los sistemas de gestión patrimonial y de visitantes suele situar estos proyectos en categoría básica o media.
Empresas de los tres motores reales de la economía conquense —agroalimentario, industria forestal-maderera y turismo, que concentran más de la mitad del empleo provincial— que digitalizan su gestión y quieren ampliar su cartera hacia el Ayuntamiento de Cuenca, la Diputación o el Campus de Cuenca de la UCLM. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa fija, y conviene desconfiar de quien la ofrezca sin conocer tu caso. Lo que pagues depende del alcance del proyecto —cuántos sistemas entran—, de la categoría que te corresponda —básica, media o alta—, de tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categoría media o alta hay que añadir, además de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: es un importe independiente que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. Aunque la sede del Gobierno regional está en Toledo, la Junta de Comunidades de Castilla-La Mancha opera en Cuenca a través de su Delegación Provincial y de organismos dependientes, y está plenamente sujeta al ENS. Traslada esa obligación a sus proveedores y contratistas de servicios TIC: si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. Tanto el Ayuntamiento de Cuenca como la Diputación Provincial de Cuenca —incluido su Organismo Autónomo de Gestión Tributaria y Recaudación— son entidades locales sujetas al ENS por el RD 311/2022. Pueden incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC, y lo hacen con creciente frecuencia, especialmente en contratos de administración electrónica y gestión documental.
El Consorcio de la Ciudad de Cuenca es un organismo público responsable de la conservación y gestión del patrimonio histórico de la ciudad, declarada Patrimonio Mundial por la UNESCO en 1996. Como entidad del sector público, gestiona sistemas de información propios —sede electrónica, gestión patrimonial y de visitas— sujetos al ENS, y puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de gestión documental se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Cuenca o la Diputación Provincial, lo que el pliego exige es el ENS.
Empezamos con una llamada breve, sin coste ni compromiso, para repasar el alcance de tus sistemas en Cuenca, la categoría de seguridad que previsiblemente te aplica y la vía de contratación que mejor encaja con tu caso. Si tiene sentido seguir adelante, te envío una propuesta cerrada; si no encajamos, te quedas igualmente con una hoja de ruta clara para empezar por tu cuenta.