Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas de toda Euskadi —los tres Territorios Históricos— que necesitan acreditar el Esquema Nacional de Seguridad (RD 311/2022) para licitar con el Gobierno Vasco (Eusko Jaurlaritza), las Diputaciones Forales de Álava, Bizkaia y Gipuzkoa, Osakidetza, EJIE, la UPV/EHU o cualquier organismo del sector público vasco. Euskadi tiene una singularidad que no existe en ninguna otra comunidad autónoma española: cuatro niveles de administración con competencias propias —Gobierno Vasco, tres Diputaciones Forales, Juntas Generales y Ayuntamientos capitales— que pueden exigir el ENS de forma simultánea e independiente a un mismo proveedor TIC. Para una empresa que quiere crecer en la contratación pública vasca, coordinar ese alcance de forma eficiente desde el principio marca la diferencia entre un proyecto ENS rentable y uno que multiplica costes sin añadir seguridad real.
Vitoria-Gasteiz · sede del Gobierno Vasco (Eusko Jaurlaritza) en Lakua. Foto: CC BY-SA · Wikimedia Commons
ENS en Euskadi · el modelo foral como contexto diferencial
Cuatro administraciones con pliegos propios. Un proveedor TIC puede licitarlas todas.
La primera pregunta que hace cualquier empresa vasca que empieza a trabajar con el sector público es: ¿a quién tengo que acreditar el ENS? En la mayoría de las comunidades autónomas, la respuesta es sencilla: a la comunidad o al Estado. En Euskadi no. El modelo constitucional y estatutario vasco crea una arquitectura de administración con cuatro niveles que tienen capacidad de contratación propia y, por tanto, de exigir el ENS de forma independiente: el Gobierno Vasco (Eusko Jaurlaritza), con sede en el barrio de Lakua (Vitoria-Gasteiz) y que incluye la Lehendakaritza, el Consejo de Gobierno Vasco y el Parlamento Vasco; las Diputaciones Forales de Álava/Araba, Bizkaia y Gipuzkoa con sus respectivas Juntas Generales; los Ayuntamientos de las tres capitales —Vitoria-Gasteiz, Bilbao y San Sebastián—; y los organismos dependientes como EJIE, Osakidetza, BiscayTIK, IZFE y Arabako Informatika.
El Departamento de Gobernanza, Administración Digital y Autogobierno del Gobierno Vasco es el impulsor de la política de seguridad de la información en el ámbito autonómico. Su brazo tecnológico, EJIE — Eusko Jaurlaritzaren Informatika Elkartea, es quien publica, instrumenta y ejecuta la mayor parte de los contratos TIC del Gobierno Vasco. Los pliegos de EJIE llevan varios años incorporando la conformidad con el ENS como criterio de solvencia técnica o requisito de acceso en contratos que abarcan desde plataformas de administración electrónica hasta sistemas de gestión interna de los departamentos de Salud, Educación, Economía y Hacienda, Industria y los demás departamentos del Eusko Jaurlaritza.
Lo que distingue a Euskadi de cualquier otra comunidad es que cada una de las tres Diputaciones Forales tiene competencias tributarias plenas sobre el IRPF, el Impuesto de Sociedades y el IVA en su propio territorio histórico, y gestiona servicios públicos con sistemas de información propios. La Diputación Foral de Álava/Araba, la Diputación Foral de Bizkaia y la Diputación Foral de Gipuzkoa cada una publica sus pliegos en la plataforma KEJI (contratacion.euskadi.eus) con independencia del Gobierno Vasco, y cada una puede requerir al mismo proveedor TIC la acreditación ENS por separado. Para una empresa que trabaja a la vez con las tres, el reto no es hacer tres proyectos ENS, sino diseñar un único alcance que cubra las tres contrataciones con la máxima eficiencia documental. Eso requiere experiencia concreta en el modelo foral vasco, no solo conocimiento genérico del RD 311/2022.
Osakidetza — Servicio Vasco de Salud aporta la mayor concentración de datos sensibles del ecosistema vasco. Con cinco hospitales de referencia distribuidos por los tres territorios —Hospital Universitario Cruces y Hospital Galdakao-Usansolo en Bizkaia; Hospital Universitario Basurto en el corazón de Bilbao; Hospital Universitario Araba en Vitoria-Gasteiz; y Hospital Universitario de Donostia en Gipuzkoa—, Osakidetza integra historia clínica electrónica, imagen médica (PACS/RIS), laboratorios digitalizados y sistemas de citación que sitúan prácticamente todos sus contratos de software en categoría ENS media por la dimensión de confidencialidad de los datos de salud.
El tercer pilar de la demanda pública vasca lo forman los proveedores TIC especializados de cada territorio: BiscayTIK en Bizkaia, IZFE (Informatika Zerbitzuen Foru Elkartea) en Gipuzkoa y Arabako Informatika en Álava. Estos tres organismos gestionan la digitalización de los servicios forales y municipales de sus respectivos territorios, y actúan como vectores de difusión de los requisitos ENS hacia los proveedores privados que trabajan con los municipios de cada provincia. Una empresa que presta servicio digital a municipios del interior de Gipuzkoa puede encontrarse, por primera vez, con un requisito ENS en un pliego de IZFE, aunque nunca haya licitado con el Gobierno Vasco directamente.
La Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU) suma una cuarta dimensión de demanda. Con tres campus —Campus de Álava en Vitoria-Gasteiz, Campus de Bizkaia con sede principal en Leioa, y Campus de Gipuzkoa en San Sebastián/Donostia—, la UPV/EHU gestiona expedientes académicos, plataformas de investigación y sistemas de administración electrónica para decenas de miles de personas. Sus convocatorias incorporan el ENS con creciente frecuencia, especialmente en proyectos de investigación con financiación pública. Si quieres explorar el marco normativo antes de seguir, la guía ENS completa te da el contexto de base. Si ya tienes claro lo que necesitas, el servicio de consultoría ENS para empresas explica el proceso de principio a fin.
Gobierno Vasco (Lakua) · EJIE · Departamentos
La Lehendakaritza y el Consejo de Gobierno Vasco en Lakua coordinan los Departamentos de Gobernanza, Salud, Economía y Hacienda, Educación e Industria. EJIE centraliza la contratación TIC y sus pliegos incorporan el ENS como estándar de solvencia técnica.
3 Diputaciones Forales · Juntas Generales
Álava, Bizkaia y Gipuzkoa publican sus propios pliegos en KEJI con independencia del Gobierno Vasco. Una empresa que licita con las tres necesita un alcance ENS unificado: tres procesos de certificación separados son caros e innecesarios.
Osakidetza · 5 hospitales en 3 provincias
Cruces y Galdakao (Bizkaia), Basurto (Bilbao), Araba (Álava) y Donostialdea (Gipuzkoa). El tratamiento de datos de salud eleva sistemáticamente la categoría ENS a media, lo que exige certificación ENAC en todos sus contratos de HIS, PACS y laboratorio.
BiscayTIK · IZFE · Arabako Informatika
Los tres proveedores TIC públicos territoriales son la vía por la que el ENS llega a los municipios de cada provincia. Un proveedor de software municipal en Gipuzkoa puede recibir el requisito ENS a través de IZFE sin haber licitado nunca con el Gobierno Vasco.
¿Está tu empresa dentro del alcance?
Quién tiene obligación real de cumplir en el ecosistema foral vasco.
El RD 311/2022 alcanza a cualquier entidad privada que preste servicios a la Administración pública española mediante relación contractual. En Euskadi, ese radio es especialmente amplio porque la estructura foral añade tres organismos contratantes con competencias tributarias propias —las Diputaciones Forales de Álava, Bizkaia y Gipuzkoa— que actúan en paralelo al Gobierno Vasco y publican sus propios pliegos. Un mismo proveedor TIC puede recibir el requisito ENS de cuatro organismos distintos al mismo tiempo.
Los perfiles con los que trabajo habitualmente en los tres Territorios Históricos:
Empresas TIC de los clústeres tecnológicos vascos —Parque Tecnológico de Zamudio y Derio (Bizkaia), Parque Tecnológico de Miñano (Álava) y Parque Tecnológico de Miramon (Gipuzkoa)— que tienen contratos de desarrollo, mantenimiento o soporte con el Gobierno Vasco, EJIE o cualquiera de los tres departamentos con mayor volumen TIC (Gobernanza, Salud o Economía y Hacienda), y que necesitan acreditar el ENS para no quedar fuera de la siguiente licitación.
ISV especializados en sistemas de información sanitaria —HIS, PACS, RIS, laboratorio clínico, citación— que prestan servicio a cualquiera de los cinco hospitales de referencia de Osakidetza: Cruces, Basurto, Galdakao-Usansolo, Araba y Donostialdea. El tratamiento de datos de salud lleva prácticamente siempre la categoría ENS a nivel medio, lo que exige certificación por entidad acreditada por ENAC. Estos proyectos tienen además un reto específico: el proveedor del software accede a datos clínicos pero no los aloja, y la definición del alcance debe distinguir con precisión qué flujos de datos gestiona el proveedor y qué infraestructura es responsabilidad del propio hospital.
Empresas de servicios TIC que trabajan simultáneamente con más de una Diputación Foral —por ejemplo, una firma de software de gestión tributaria que sirve a la Hacienda Foral de Bizkaia y a la de Gipuzkoa—. En estos casos, el objetivo es diseñar un único alcance ENS que cubra ambas contrataciones sin duplicar el expediente documental, aprovechando que las medidas del Anexo II del RD 311/2022 son las mismas independientemente del organismo contratante.
Consultoras e integradoras que coordinan proyectos en los que la infraestructura está gestionada por EJIE, BiscayTIK, IZFE o Arabako Informatika como organismos públicos TIC y los sistemas de aplicación los desarrolla un tercero privado. Esta distribución de responsabilidades entre proveedor y organismo TIC público debe quedar documentada en el expediente ENS para que el auditor entienda qué parte cubre cada quién.
Empresas de los sectores de máquina herramienta de Gipuzkoa, siderurgia de Bizkaia o automoción del corredor de Vitoria-Gasteiz —donde opera la planta de Mercedes-Benz Vitoria— que están desarrollando divisiones de servicios digitales o contratos de mantenimiento remoto de sistemas con organismos públicos vascos, y que se encuentran por primera vez con el ENS como requisito de un pliego.
Entidades del sector energético —especialmente en la órbita de Iberdrola, cuya sede central histórica está en Bilbao y que tiene una de sus mayores concentraciones de personal tecnológico en el área metropolitana vasca— que prestan servicios TIC a organismos del sector público vasco en proyectos de ciudad inteligente o electrificación.
Empresas tecnológicas del sector de ciencias de la vida y farmacéutico-biotecnológico que trabajan con los centros de investigación del Sistema Vasco de Ciencia e Innovación —CIC-bioGUNE (Bizkaia), CIC-Nanogune (Gipuzkoa), Ikerbasque e Innobasque— cuando estos tienen proyectos con financiación pública que requieren conformidad con el ENS para los sistemas de tratamiento de datos.
Proveedores del sector naval y de construcciones metálicas del País Vasco que están digitalizando sus procesos de diseño, planificación y mantenimiento y que contratan con organismos portuarios o administrativos del Gobierno Vasco sujetos al RD 311/2022.
El periodo transitorio del RD 311/2022 expiró el 5 de mayo de 2024. Los sistemas nuevos o con cambios significativos deben cumplir desde la puesta en producción, y los pliegos publicados pueden exigir conformidad vigente en el momento de presentación de la oferta. Esperar al siguiente pliego para empezar la adecuación suele significar quedar fuera de él.
Pliegos vascos con exigencia ENS: tres expedientes tipo en los tres Territorios Históricos.
El portal KEJI — Contratación Pública en Euskadi (contratacion.euskadi.eus) centraliza los pliegos del Gobierno Vasco, las tres Diputaciones Forales y sus organismos dependientes, incluyendo Osakidetza, EJIE, BiscayTIK, IZFE y Arabako Informatika. A diferencia del portal estatal, KEJI publica la licitación en euskera y castellano, y organiza los expedientes por órgano de contratación, lo que permite filtrar de forma eficiente por las entidades vascas que son relevantes para cada proveedor. Los tres tipos de expediente siguientes representan los escenarios de mayor frecuencia en los proyectos ENS que gestiono en Euskadi.
Contratos de sistemas de información y administración electrónica del Gobierno Vasco gestionados por EJIE (Álava, Bizkaia y Gipuzkoa).
EJIE publica con regularidad expedientes de desarrollo, mantenimiento y evolución de plataformas transversales del Eusko Jaurlaritza, desde los portales de administración electrónica de los departamentos de Gobernanza y Economía y Hacienda hasta los sistemas de gestión de recursos humanos de la Administración General Vasca. El ENS —en categoría básica para sistemas administrativos de bajo impacto, y media cuando hay tratamiento de datos sensibles de los Departamentos de Salud o Hacienda y Finanzas— aparece de forma sistemática como criterio de solvencia técnica. Los expedientes activos están disponibles en el perfil del contratante de EJIE dentro de la plataforma KEJI.
Licitaciones de las Haciendas Forales de Álava, Bizkaia y Gipuzkoa para sistemas de gestión tributaria y servicios TIC forales.
Las tres Haciendas Forales gestionan el IRPF, el IS y el IVA de sus respectivos territorios con plena autonomía, y los sistemas de información que soportan esa gestión son de alta criticidad: la categoría ENS raramente baja de media. Cada Diputación Foral publica sus propios pliegos en KEJI con independencia de las otras dos y del Gobierno Vasco, lo que significa que una empresa que presta servicio de software tributario a las tres puede recibir tres requerimientos ENS distintos en el mismo año. Coordinar ese proceso desde una única adecuación es posible y es lo que yo propongo. Localiza los expedientes filtrando en KEJI por cada órgano contratante foral.
Contratos de Osakidetza para sistemas HIS, PACS y plataformas clínicas en los hospitales de los tres territorios.
El Servicio Vasco de Salud publica contratos de historia clínica electrónica, imagen médica y laboratorio para sus centros distribuidos por las tres provincias. El tratamiento de datos de salud sitúa la dimensión de confidencialidad en nivel medio de forma prácticamente universal, lo que exige certificación por entidad acreditada por ENAC. Un proveedor que sirve a dos o más hospitales de Osakidetza en provincias distintas puede diseñar un único alcance ENS válido para todos, dado que Osakidetza es un organismo único aunque sus hospitales estén distribuidos territorialmente. Los pliegos están disponibles en KEJI bajo el órgano de contratación «Osakidetza».
Si tu empresa ya tiene contratos en alguno de estos expedientes o quiere entrar en ellos, el primer paso es un diagnóstico GAP que determine la brecha real entre tu situación actual y lo que exige el pliego. La primera llamada es sin coste y sin compromiso.
El proceso paso a paso
Las fases del proyecto ENS, calibradas para la estructura foral vasca.
El itinerario sigue las guías CCN-STIC del Centro Criptológico Nacional: diagnóstico, categorización, análisis de riesgos, plan de adecuación y conformidad final. En el contexto de Euskadi hay dos pasos adicionales que no aparecen en proyectos de otras comunidades: la coordinación del alcance entre los distintos organismos forales contratantes cuando el proveedor licita con más de uno, y la verificación del requisito de bilingüismo cuando los pliegos del Gobierno Vasco exigen documentación disponible también en euskera.
Fases del proyecto ENS · qué entrego en cada etapa · contexto del ecosistema foral vasco
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Analizo tu situación actual frente a los requisitos del ENS. En Euskadi, esto incluye mapear con qué organismos forales trabajas —Gobierno Vasco a través de EJIE, Diputaciones Forales, Osakidetza, BiscayTIK, IZFE, Arabako Informatika— y si hay responsabilidades compartidas sobre la infraestructura con alguno de esos organismos públicos TIC.
Informe GAP con las brechas ordenadas por prioridad, la identificación de los organismos contratantes relevantes y la propuesta de alcance unificado para los que puedan cubrirse con un único expediente.
Fase 02 Categorización
Valoro cada sistema en las cinco dimensiones CIDAT. En Osakidetza, la confidencialidad de los datos de salud lleva a categoría media de forma casi universal. En las Haciendas Forales, los datos tributarios con nivel medio son la norma. En EJIE, depende del departamento y del tipo de dato gestionado.
Documento de categorización conforme al Anexo I del RD 311/2022, con la categoría resultante por sistema y la vía de conformidad recomendada: declaración autoevaluada (básica) o certificación ENAC (media/alta).
Fase 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT v3. En entornos industriales de los clústeres de Zamudio, Miñano o Miramon con sistemas OT/IT convergentes —máquina herramienta, siderurgia, automoción—, el mapa de amenazas incluye vectores específicos de ese tipo de infraestructura industrial.
Informe de análisis de riesgos con inventario de activos, valoración del riesgo residual y plan de tratamiento priorizado, referenciado a las guías CCN-STIC aplicables.
Fase 04 Plan de adecuación + DdA
Redacto la política de seguridad, selecciono las medidas del Anexo II y elaboro la Declaración de Aplicabilidad. Cuando el pliego del organismo contratante vasco exige documentación en euskera y castellano, verifico los requisitos concretos de bilingüismo y los incorporo al plan de trabajo desde el inicio.
Plan de adecuación conforme a CCN-STIC 806 + Declaración de Aplicabilidad completa y argumentada, con los plazos ajustados a las fechas del pliego o la licitación objetivo.
Fase 05 Implantación
Desplegamos las medidas organizativas, operacionales y de protección del Anexo II junto con tu equipo, generando las evidencias documentales que el auditor ENAC o el técnico del órgano foral contratante pedirá en la revisión.
Evidencias de implantación de cada medida, organizadas y referenciadas para facilitar la revisión, sea ante EJIE, la Diputación Foral correspondiente, Osakidetza o cualquier otro organismo del sector público vasco.
Fase 06 Conformidad final
Revisión previa completa y acompañamiento hasta el cierre. En categoría básica, preparamos la declaración de conformidad autoevaluada. En categoría media o alta —frecuente en Osakidetza y en las Haciendas Forales—, te acompaño durante la auditoría de la entidad acreditada por ENAC.
Conforme al Anexo III del RD 311/2022. La certificación en categoría media o alta la emite siempre la entidad acreditada por ENAC, nunca el consultor. Quien prometa eso sin serlo incurre en publicidad engañosa.
Escenarios habituales en los tres Territorios Históricos
Tres situaciones concretas en el ecosistema foral vasco.
Empresa TIC de Zamudio (Bizkaia), Miñano (Álava) o Miramon (Gipuzkoa) · Gobierno Vasco + 3 Diputaciones Forales
ISV o integradora de un parque tecnológico vasco que licita simultáneamente con el Gobierno Vasco y con las Diputaciones Forales.
La empresa tiene sede en uno de los tres parques tecnológicos de Euskadi y presta servicios a organismos del Eusko Jaurlaritza a través de EJIE y, en paralelo, a una o más Diputaciones Forales. Cada organismo puede requerir el ENS por separado, pero el alcance técnico de los sistemas suele ser el mismo. El trabajo consiste en diseñar desde el inicio un único expediente ENS que cubra todas las contrataciones con la máxima eficiencia, identificando qué parte de la responsabilidad de conformidad corresponde al proveedor y qué parte a EJIE, BiscayTIK, IZFE o Arabako Informatika como organismos gestores de infraestructura.
ISV de sistemas sanitarios · Osakidetza · 5 hospitales en 3 provincias
Proveedor de HIS, imagen médica o laboratorio para Osakidetza con presencia en hospitales de más de una provincia vasca.
La empresa desarrolla o mantiene sistemas de historia clínica electrónica, PACS, RIS o plataformas de laboratorio para centros de Osakidetza en Bizkaia, Álava y Gipuzkoa. El tratamiento de datos de salud en nivel medio y la distribución geográfica de los hospitales plantean un reto específico: el proveedor es uno, pero los sistemas están desplegados en centros de tres provincias distintas. El objetivo es un único alcance ENS coherente que cubra todos los despliegues, con la delimitación clara de qué flujos de datos gestiona el proveedor y qué infraestructura es responsabilidad de cada hospital de Osakidetza como responsable del tratamiento.
Consultora de foralidad · Hacienda Foral Bizkaia + Álava + Gipuzkoa + servicios TIC públicos coordinados
Firma especializada en servicios TIC para las tres Haciendas Forales y los organismos de digitalización territorial de cada provincia.
La empresa presta servicio de software de gestión tributaria o digitalización de servicios forales a las Haciendas Forales de Bizkaia, Álava y Gipuzkoa, y puede tener además contratos con BiscayTIK, IZFE y Arabako Informatika. Los datos tributarios de nivel medio y la pluralidad de organismos contratantes hacen que sea habitual recibir tres requerimientos ENS distintos en el mismo ciclo de licitación. El enfoque correcto no es hacer tres proyectos separados, sino diseñar un único expediente de adecuación con un alcance integrado que cubra las tres haciendas forales, ahorrando entre un 35 y un 45 por ciento del coste respecto a adecuaciones independientes.
Categorías del ENS · qué corresponde en el ecosistema foral vasco
Básica, media o alta: cómo se determina en Euskadi.
La categoría no se elige ni se negocia: resulta de valorar el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. En Euskadi, hay tres factores que elevan la categoría con mayor frecuencia que en otras comunidades: el tratamiento de datos de salud en Osakidetza, la criticidad de los sistemas tributarios en las tres Haciendas Forales, y la densidad de datos de administración electrónica en los sistemas que gestiona EJIE para los departamentos autonómicos.
Categoría básica
Impacto limitado
Se aplica cuando ninguna de las cinco dimensiones CIDAT supera el nivel bajo. En el ecosistema vasco es habitual en proveedores de herramientas de gestión administrativa de bajo impacto para municipios de los tres territorios o para servicios no críticos de los organismos forales.
Ninguna dimensión CIDAT en nivel medio o alto
Se acredita con declaración de conformidad autoevaluada
Expediente documental que resista la revisión del organismo contratante foral
Categoría media
Impacto grave
Al menos una dimensión alcanza el nivel medio. Es la categoría predominante en proveedores de Osakidetza, de las Haciendas Forales de los tres territorios y de los sistemas de administración electrónica de EJIE con datos de salud o tributarios.
Al menos una dimensión CIDAT en nivel medio
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Alguna dimensión alcanza el nivel alto. En Euskadi puede darse en sistemas de infraestructuras críticas del sector energético vinculados a organismos públicos vascos, o en sistemas de información tributaria foral con datos fiscales de especial criticidad para los tres territorios.
Al menos una dimensión CIDAT en nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Las dos vías para acreditar la conformidad ante los organismos forales vascos
Básica → declaración de conformidad autoevaluada
Cuando la categoría resultante es básica, la acreditación se hace mediante una declaración de conformidad propia, elaborada con las guías CCN-STIC y sostenida por el expediente documental que yo preparo. El organismo contratante —EJIE, la Diputación Foral de Álava, IZFE, el Ayuntamiento de Donostia o cualquier otro— puede solicitar esa documentación en cualquier fase del proceso de adjudicación o durante la ejecución del contrato.
Media o alta → certificación acreditada por ENAC
Cuando la categoría es media o alta —la norma en Osakidetza y en las Haciendas Forales de los tres territorios—, la conformidad exige certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo el expediente completo y te acompaño durante la auditoría; la firma del certificado es siempre de la entidad certificadora, nunca del consultor. Quien prometa la certificación sin ser entidad ENAC incurre en publicidad engañosa.
Lo que recibes
El cuerpo documental que sostiene tu conformidad ante el sector público vasco.
Lo que entrego no es un dossier genérico con los datos cambiados. Es el expediente técnico y documental construido sobre tus sistemas, tu alcance real y las particularidades del ecosistema foral vasco: los técnicos de EJIE, los responsables de contratación de las Diputaciones Forales y los auditores ENAC detectan a los cinco minutos un expediente fabricado en serie. Cada documento refleja tus decisiones concretas, tus evidencias reales y la argumentación que sostiene cada medida del Anexo II, con los matices del modelo de administración vasco integrados desde el inicio.
Informe de diagnóstico (análisis GAP): cuantifica la distancia entre tu situación de partida y los requisitos del ENS, identifica los organismos forales contratantes relevantes para tu caso y propone el alcance unificado óptimo cuando puedes cubrir varias contrataciones con un único expediente.
Documento de categorización: valoración de las cinco dimensiones CIDAT para cada sistema dentro del alcance, con la categoría resultante referenciada al Anexo I del RD 311/2022 y la justificación de los factores del ecosistema vasco que la determinan.
Análisis de riesgos MAGERIT v3: inventario de activos, mapa de amenazas —incluyendo vectores de OT/IT en entornos industriales de los parques tecnológicos vascos si aplica—, valoración del riesgo residual y plan de tratamiento priorizado.
Política de seguridad de la información aprobada por dirección y la normativa derivada que el ENS exige como marco organizativo, con verificación de compatibilidad con los requisitos de bilingüismo que pueda exigir el organismo foral contratante.
Plan de adecuación conforme a CCN-STIC 806: calendario, responsables y criterios de aceptación para cada hito, ajustados a las fechas del pliego del Gobierno Vasco, la Diputación Foral o Osakidetza que te has propuesto ganar.
Declaración de Aplicabilidad (DdA): justificación individualizada de cada medida del Anexo II —aplicable o excluida, y por qué—, con la coherencia interna que los auditores ENAC y los técnicos del sector público vasco comprueban en primer lugar.
Evidencias de implantación de las medidas organizativas, operacionales y de protección, organizadas y referenciadas para facilitar la revisión ante cualquier organismo del ecosistema foral: EJIE, Diputaciones Forales, Osakidetza, BiscayTIK, IZFE o Arabako Informatika.
Declaración de conformidad o expediente de auditoría ENAC según tu categoría, con revisión previa y acompañamiento hasta cerrar el proceso de conformidad ante el organismo contratante vasco correspondiente.
Ángel Ortega Castro consultor ENS · Euskadi · País Vasco
Por qué contar conmigo
Conozco el modelo foral vasco, los tres organismos TIC territoriales y Osakidetza.
Soy Ángel Ortega Castro, consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y me desplazo a Euskadi cuando el proyecto lo requiere. He trabajado con suficiente profundidad en el ecosistema de contratación pública vasco como para entender las particularidades que lo distinguen de cualquier otra comunidad española: la estructura de cuatro niveles de administración con capacidad contratante propia, el papel de EJIE como articulador tecnológico del Eusko Jaurlaritza, la naturaleza descentralizada de Osakidetza con hospitales distribuidos por los tres territorios, y el hecho de que BiscayTIK, IZFE y Arabako Informatika son tres organismos distintos con sus propias políticas de exigencia ENS hacia sus proveedores.
He acompañado proyectos de adecuación al ENS a empresas con contratos en Osakidetza, con departamentos del Gobierno Vasco a través de EJIE, y con las Diputaciones Forales de los tres territorios históricos. Conozco los puntos donde los expedientes mal construidos se rompen ante un auditor ENAC y los argumentos que funcionan cuando un técnico de la Diputación Foral de Gipuzkoa o el responsable de contratación de Osakidetza revisan la solvencia técnica de una oferta. Sé también que los pliegos del Gobierno Vasco pueden requerir disponibilidad de la documentación en euskera y castellano, y gestiono ese requisito desde el inicio del proyecto, no como un añadido de última hora.
Soy preciso sobre el límite de mi trabajo: preparo y adecúo tu organización hasta la conformidad, pero quien firma la certificación en categoría media o alta es siempre la entidad acreditada por ENAC. Trabajo sin subcontratar el análisis técnico a terceros ni fabricar atajos que un auditor rechazaría en la primera revisión documental.
El modelo foral vasco es el más complejo de España en materia de ENS porque ninguna otra comunidad autónoma tiene tres Haciendas Forales con competencias tributarias plenas publicando pliegos de forma independiente. Si tu empresa quiere estar bien posicionada para licitar de forma simultánea con el Gobierno Vasco y con las tres Diputaciones Forales, el diseño del alcance ENS desde el inicio es la decisión que más influye en el coste total del proyecto. Esa es la conversación que tiene sentido tener en la primera llamada. Resérvala aquí sin compromiso.
¿Cuánto cuesta el ENS en el ecosistema foral vasco?
En Euskadi, la categoría media es estadísticamente más frecuente que en la media nacional, porque la densidad de sistemas con datos sensibles —salud en Osakidetza, tributarios en las tres Haciendas Forales, administración electrónica en EJIE— es la más alta de España en proporción al tamaño del tejido empresarial. Eso tiene una implicación directa en el presupuesto: a los honorarios de consultoría hay que añadir, con total separación, el coste de la entidad certificadora acreditada por ENAC cuando la categoría lo exige. La ventaja de un alcance unificado para múltiples organismos forales es que ese coste de certificación se amortiza sobre una base de contratos más amplia.
Presupuesto cerrado, tras diagnóstico inicialAdaptado a tu alcance, tu categoría y los organismos forales contratantes · sin sorpresas
El coste de la entidad certificadora ENAC lo factura directamente el tercero que realiza la auditoría de conformidad. No lo intermediario ni percibo comisión sobre él. Cuando llegamos a la fase de auditoría, te oriento sobre qué certificadoras tienen experiencia en el ecosistema vasco y qué plazos manejan, para no poner en riesgo los calendarios del pliego objetivo.
La primera llamada sirve para repasar tu alcance, los organismos forales con los que ya trabajas o quieres trabajar, la categoría ENS que previsiblemente te corresponde y si tiene sentido un alcance unificado para cubrir varias contrataciones. Es sin coste y sin compromiso. Si veo que puedo ayudarte, te doy una propuesta cerrada; si no, sales con orientación clara. Reserva aquí →
Preguntas frecuentes · contexto foral vasco
Dudas concretas sobre el ENS en el ecosistema de Euskadi.
¿Cómo se coordina el ENS entre el Gobierno Vasco (Lakua) y las 3 Diputaciones Forales?+
El Gobierno Vasco (Eusko Jaurlaritza), con sede en el complejo institucional de Lakua (Vitoria-Gasteiz), y las tres Diputaciones Forales de Álava/Araba, Bizkaia y Gipuzkoa son organismos con personalidad jurídica y capacidad contratante propia. No existe una coordinación ENS «descendente» del Gobierno Vasco hacia las Diputaciones Forales: cada organismo aplica el RD 311/2022 de forma autónoma en sus propias licitaciones y puede requerir al mismo proveedor TIC la acreditación ENS con independencia de lo que haga el otro.
En la práctica, esto significa que una empresa que licita con el Gobierno Vasco a través de EJIE y también con la Diputación Foral de Gipuzkoa puede recibir dos requerimientos ENS distintos con calendarios distintos. La forma de gestionar eso eficientemente es diseñar desde el inicio un único alcance ENS que cubra ambas contrataciones, aprovechando que el marco normativo —el RD 311/2022 y las guías CCN-STIC— es el mismo para los dos organismos. Eso es lo que propongo en la fase de diagnóstico: identificar todas las contrataciones forales activas o previstas y definir el alcance que permite cubrirlas con el menor coste de adecuación. Si quieres empezar, la primera conversación es en la página de reservas.
¿Osakidetza tiene pliego marco ENS aplicable a los hospitales de las 3 provincias?+
Osakidetza — Servicio Vasco de Salud es un organismo único aunque sus hospitales estén distribuidos por los tres territorios históricos. Sus contratos de sistemas de información se publican en la plataforma KEJI bajo el órgano «Osakidetza», y los requisitos ENS que incorporan son transversales a la organización: no hay un criterio de solvencia distinto para los hospitales de Bizkaia (Cruces y Galdakao-Usansolo), los de Álava (Hospital Universitario Araba) o el de Gipuzkoa (Hospital Universitario de Donostia).
Esto tiene una consecuencia práctica importante para los proveedores de HIS, PACS o laboratorio: si tu sistema está desplegado en dos o tres hospitales de Osakidetza en provincias distintas, sigues siendo un único proveedor con un único sistema, y puedes diseñar un único alcance ENS que cubra todos los despliegues. El reto no es el número de hospitales sino la definición precisa de qué datos gestiona el proveedor y qué infraestructura es responsabilidad de cada hospital de Osakidetza como responsable del tratamiento. Esa delimitación es la parte más crítica del proyecto y requiere acuerdo formal entre el proveedor y Osakidetza antes de iniciar la categorización. Puedes iniciar el proceso desde la página de reservas.
¿EJIE, BiscayTIK, IZFE y Arabako Informatika son proveedores TIC públicos separados con criterios ENS distintos?+
Sí: son cuatro organismos distintos con naturaleza y alcance diferente. EJIE (Eusko Jaurlaritzaren Informatika Elkartea) es el brazo tecnológico del Gobierno Vasco: gestiona la infraestructura digital de la Administración General Vasca y sus departamentos. BiscayTIK es el organismo TIC de la Diputación Foral de Bizkaia: digitaliza los servicios forales y municipales del territorio histórico de Bizkaia. IZFE (Informatika Zerbitzuen Foru Elkartea) cumple la misma función para la Diputación Foral de Gipuzkoa. Arabako Informatika es el organismo TIC equivalente para la Diputación Foral de Álava/Araba.
El marco normativo que aplican es el mismo para los cuatro —el RD 311/2022—, pero sus políticas internas de contratación, sus plazos de licitación y sus prioridades de digitalización son independientes. Un proveedor de software que sirve servicios municipales en los tres territorios puede recibir el requisito ENS de los cuatro organismos a la vez, cada uno con su propio proceso de adjudicación. La solución no es hacer cuatro adecuaciones ENS, sino una sola con un alcance integrado que cubra las cuatro contrataciones. Esa es la primera conversación que tiene sentido tener: reserva aquí sin compromiso.
¿La UPV/EHU (3 campus) aplica requisitos ENS unificados o cada campus tiene su propia política?+
La Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU) es una única institución académica con tres campus distribuidos por los tres territorios históricos: el Campus de Álava en Vitoria-Gasteiz (Facultad de Economía, Ingeniería de Vitoria), el Campus de Bizkaia con sede principal en Leioa y extensiones en Bilbao (Medicina, Ciencias, Ingeniería de Bilbao), y el Campus de Gipuzkoa en San Sebastián/Donostia (Informática, Química, Ciencias Sociales). La política de seguridad de la información es institucional —de la UPV/EHU como entidad—, no de cada campus por separado.
En la práctica, los contratos de servicios TIC de la UPV/EHU se publican centralmente —en KEJI y, cuando superan umbrales europeos, en la Plataforma de Contratación del Sector Público— y los requisitos ENS que incorporan son transversales a la universidad. Si tu empresa presta servicio a más de un campus —por ejemplo, mantenimiento de plataformas de gestión académica que usan los tres—, el alcance ENS cubre los tres sin necesidad de tres expedientes separados. Lo que sí puede variar es el nivel de criticidad de los sistemas según el tipo de investigación que apoya: un sistema que gestiona proyectos con financiación del Gobierno Vasco o de la Unión Europea puede tener requerimientos adicionales que hay que identificar en la fase de categorización.
¿Los pliegos de Euskadi exigen documentación en euskera y castellano?+
El RD 311/2022 no establece ningún requisito lingüístico para la documentación del expediente ENS: el castellano es suficiente desde el punto de vista normativo. Sin embargo, la normativa sobre el uso del euskera en las Administraciones Públicas de la Comunidad Autónoma del País Vasco —especialmente la Ley 10/1982, de 24 de noviembre, básica de normalización del uso del Euskera— y las políticas de normalización lingüística del Gobierno Vasco y de las Diputaciones Forales pueden requerir, en determinados contratos, que los documentos de cara al organismo contratante estén disponibles también en euskera.
En mi experiencia con pliegos vascos, lo más frecuente es que se exija la disponibilidad de los resúmenes ejecutivos y los documentos de presentación en euskera, mientras que la documentación técnica interna del expediente ENS —la Declaración de Aplicabilidad, el análisis de riesgos MAGERIT, las evidencias de implantación— puede presentarse en castellano. Pero esto varía por pliego y por organismo: el Departamento de Gobernanza, Administración Digital y Autogobierno del Gobierno Vasco y EJIE son más exigentes en materia de bilingüismo que muchos municipios de los tres territorios. Lo que hago en todos los proyectos vascos es verificar los requisitos concretos de bilingüismo del pliego objetivo antes de definir el plan de trabajo, para que no haya sorpresas en la fase de presentación de la oferta.
El tejido económico de Euskadi y el ENS
Industria de alto valor, energía, finanzas y biotecnología: cuatro sectores con demanda ENS creciente en los tres territorios.
Euskadi tiene una economía con características que no se reproducen en ninguna otra comunidad autónoma española en materia de contratación pública TIC. El peso de la industria de máquina herramienta de Gipuzkoa —con clústeres como AFM Cutting y empresas como Danobat, Fagor Automation o Zayer en el entorno de Elgoibar, Bergara y Beasain—, la siderurgia de Bizkaia —con plantas de ArcelorMittal en Sestao y Lesaka— y la planta de Mercedes-Benz Vitoria —el mayor fabricante de furgonetas de Europa en el corredor alavés— hacen de Euskadi la comunidad autónoma con mayor intensidad de digitalización industrial de España. Muchas de estas empresas están desarrollando divisiones de servicios digitales para el sector público vasco, y esa entrada en la contratación pública las lleva directamente al ENS.
Iberdrola, con su cuartel general histórico en Bilbao y una de sus mayores concentraciones de personal de tecnología en el País Vasco, opera en el sector de infraestructuras críticas sujetas a la Directiva NIS2 y a los requisitos de operadores de servicios esenciales. Sus proveedores TIC que mantienen sistemas que también sirven a organismos del sector público vasco —proyectos de electrificación de transporte, redes inteligentes o servicios de ciudad conectada contratados por el Gobierno Vasco o los Ayuntamientos capitales— pueden encontrarse con el ENS como requisito cuando el cliente final es una entidad pública.
Kutxabank, el grupo bancario de cajas vascas con sede central en San Sebastián/Donostia y presencia en los tres territorios, concentra en Euskadi una demanda de servicios TIC de alta exigencia en seguridad y cumplimiento. Aunque el sector financiero no está directamente sujeto al ENS, sus proveedores TIC que también prestan servicios a administraciones públicas vascas deben gestionar en paralelo las exigencias de ciberseguridad del sector bancario y las del ENS para la contratación pública. La experiencia previa en entornos financieros de alta exigencia es, en estos casos, un punto de partida mejor que el de la media del sector tecnológico.
El sector de ciencias de la vida y biotecnología vasco tiene una concentración singular en Euskadi. Los centros de investigación CIC-bioGUNE (en Derio, Bizkaia) y CIC-Nanogune (en Donostia, Gipuzkoa), junto con la red de conocimiento de Ikerbasque e Innobasque —los dos impulsores del Sistema Vasco de Ciencia e Innovación (Red Vasca de Ciencia y Tecnología)— concentran proyectos de investigación con financiación pública que requieren, con creciente frecuencia, sistemas de tratamiento de datos conformes con el ENS cuando el organismo financiador es la Administración Pública vasca. Las empresas biotecnológicas y farmacéuticas que colaboran con estos centros y acceden a datos de investigación financiados con fondos públicos vascos están entrando en el ámbito de aplicación del ENS.
El sector naval y de construcciones metálicas del País Vasco —con astilleros y empresas auxiliares en la Ría del Nervión y en la costa de Gipuzkoa— está digitalizando sus procesos de diseño, planificación y mantenimiento. Los contratos de servicios digitales con el Puerto Autónomo de Bilbao o con organismos portuarios y marítimos del Gobierno Vasco pueden incorporar el ENS como requisito cuando los sistemas acceden a datos de operaciones portuarias con dimensión de seguridad nacional. El sector agroalimentario de la Rioja Alavesa —denominación de origen que cubre la zona sur de Álava—, con su proceso de digitalización de cadena de valor y sus crecientes contratos con organismos agrarios del Gobierno Vasco, representa otro segmento con demanda ENS incipiente pero creciente en el territorio alavés.
EITB (Euskal Irrati Telebista — Radio Televisión Vasca), el ente público de comunicación del Gobierno Vasco, concentra sistemas de gestión audiovisual, archivo digital y distribución de contenido que soportan la programación de toda la cadena de radio y televisión en los tres territorios. Sus contratos de mantenimiento de infraestructura tecnológica y gestión de contenidos digitales incorporan el ENS con creciente regularidad dado que EITB es un organismo público del Gobierno Vasco sujeto al RD 311/2022.
Capitales de Euskadi · Guías ENS · Otras CCAA
Consultoría ENS en las tres capitales vascas y recursos clave.
Empieza tu adecuación al ENS con quien conoce el modelo foral vasco.
La primera conversación es sin coste y sin compromiso. En media hora repasamos el alcance de tus sistemas, los organismos del sector público vasco con los que ya trabajas o quieres licitar —Gobierno Vasco, Diputaciones Forales de Álava, Bizkaia y Gipuzkoa, Osakidetza, EJIE, BiscayTIK, IZFE, Arabako Informatika o UPV/EHU—, la categoría ENS que previsiblemente te corresponde y si tiene sentido un alcance unificado para cubrir varias contrataciones en un único expediente. Si encajamos, te entrego una propuesta cerrada; si no, sales con orientación concreta para arrancar por tu cuenta.
