Me llamo Ángel Ortega Castro y soy consultor ENS independiente, con sedes de trabajo en Valladolid y Las Palmas: llevo la mayoría de proyectos en remoto con empresas de toda España y me desplazo en persona cuando el encargo lo requiere. Acompaño a empresas de Granada y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Granada, la Diputación Provincial o la Universidad de Granada (UGR) sin quedar excluidas de los pliegos.
El polo universitario y biosanitario del sur de España concentra la demanda.
Granada no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es sede de la Universidad de Granada (UGR), una de las mayores universidades públicas del país, y del Parque Tecnológico de la Salud (PTS Granada), un polo biosanitario con más de 30 años de trayectoria que alberga centros como GENyO (Centro de Genómica e Investigación Oncológica Pfizer-Universidad de Granada-Junta de Andalucía) o el Instituto de Parasitología y Biomedicina «López-Neyra» del CSIC, además de más de 40 pymes de base tecnológica incubadas en el BIC Granada (Centro Europeo de Empresas e Innovación). Junto a la universidad y el polo biosanitario, la economía de la provincia se apoya en el turismo —con la Alhambra, el Albaicín y Sierra Nevada como principales motores— y en el sector agroalimentario, con una intensa actividad cooperativa en la comarca del Poniente Granadino en torno al aceite de oliva y los productos hortofrutícolas. Buena parte de ese tejido investigador, tecnológico y de servicios trabaja o aspira a trabajar con el sector público, y ahí el Esquema Nacional de Seguridad se convierte en un requisito ineludible.
Aunque la sede central de la Junta de Andalucía está en Sevilla, en Granada la Junta mantiene una actividad administrativa intensa a través de su Delegación del Gobierno y de las delegaciones territoriales de sus consejerías, así como del Servicio Andaluz de Salud (SAS), que gestiona hospitales como el Virgen de las Nieves o el Clínico San Cecilio. Todos ellos son organismos que gestionan sistemas de información sujetos al ENS y trasladan esa obligación a sus proveedores tecnológicos. A ello se suman dos grandes organismos contratantes de base local: el Ayuntamiento de Granada, con una agenda de administración electrónica activa que se traduce en licitaciones de software, conectividad y ciberseguridad; y la Diputación Provincial de Granada, que a través de su Plan Estratégico «Granada Provincia Territorio Inteligente» (GPTI) impulsa la digitalización de los municipios de la provincia —muchos de ellos de menos de 20.000 habitantes— con líneas de ayuda de hasta 7.000 euros por municipio para modernizar equipos y mejorar la ciberseguridad.
La Universidad de Granada, con campus en Fuentenueva, Cartuja, Ciencias de la Salud y Aynadamar —sede de la Escuela Técnica Superior de Ingenierías Informática y de Telecomunicación (ETSIIT)—, opera sistemas sensibles —expedientes académicos, plataformas de investigación, administración electrónica propia— y tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público. Alrededor de este ecosistema de administraciones y centros de investigación se ha desarrollado un tejido de empresas TIC y biotecnológicas —muchas de ellas instaladas en el PTS Granada— que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Acceso a la Junta de Andalucía
Los contratos TIC de las consejerías, la Delegación del Gobierno en Granada y el Servicio Andaluz de Salud exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
Requisito en pliegos locales
El Ayuntamiento de Granada y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas, especialmente dentro del Plan GPTI.
UGR y organismos vinculados
La Universidad de Granada, con sus campus de Fuentenueva, Cartuja, Ciencias de la Salud y Aynadamar, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Ventana de oportunidad real
Las empresas y spin-offs del PTS Granada que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración andaluza.
La norma alcanza a todas las administraciones y, por relación contractual, a las empresas privadas que trabajan para ellas. En Granada capital y su provincia, ese círculo es amplio: va desde integradores TIC hasta spin-offs biotecnológicas que prestan servicio a organismos públicos.
Así se traduce ese alcance en la práctica granadina:
Si desarrollas o mantienes software para la Delegación del Gobierno de la Junta de Andalucía en Granada, o para el Servicio Andaluz de Salud (SAS) —que gestiona hospitales como el Virgen de las Nieves o el Clínico San Cecilio—, estás dentro del alcance.
También si prestas servicios en la nube, alojamiento o conectividad al Ayuntamiento de Granada o a la Diputación Provincial de Granada.
Lo mismo ocurre con los integradores y las empresas de ciberseguridad gestionada que atienden la infraestructura de la Universidad de Granada (UGR) en sus campus de Fuentenueva, Cartuja, Ciencias de la Salud y Aynadamar —donde está la ETSIIT—.
Y con las spin-offs y empresas de base tecnológica o biotecnológica del PTS Granada que colaboran con centros participados por la Junta de Andalucía y el CSIC, como GENyO o el Instituto de Parasitología y Biomedicina «López-Neyra».
Cierran la lista las consultoras TIC que prestan soporte o gestión de sistemas dentro del Plan «Granada Provincia Territorio Inteligente» (GPTI), con el que la Diputación digitaliza los municipios de la provincia.
El RD 311/2022 dio, en su disposición transitoria única, un plazo de 24 meses para poner al día los sistemas ya existentes; ese margen se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que hayan cambiado de forma sustancial, tienen que cumplir desde el primer momento. Si aún no has empezado la adecuación, cada licitación que se publica en el perfil del contratante es un aviso de que el tiempo juega en tu contra.
Base legal: El marco normativo es el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191). Su coordinación depende del Centro Criptológico Nacional (CCN), y en las categorías media y alta son entidades acreditadas por ENAC, conforme a la norma UNE-EN ISO/IEC 17065, quienes llevan a cabo la verificación independiente.
Cómo trabajamos
Fases del acompañamiento ENS en Granada.
Seguimos el itinerario que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría. Te acompaño en persona en cada etapa, para que llegues a la conformidad con un expediente sólido, listo para presentar ante la Junta de Andalucía, el Ayuntamiento de Granada o cualquier otro organismo contratante.
Cómo avanza la adecuación al ENS, fase a fase
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Nos sentamos juntos a comparar tu situación real con lo que exige el ENS, y delimitamos contigo el alcance: qué sistemas de información quedan dentro.
Te entrego un informe de diagnóstico que marca la distancia real hasta el cumplimiento y ordena las brechas por prioridad.
Fase 02 Categorización
Valoramos juntos tus sistemas en las cinco dimensiones de seguridad —CIDAT— hasta fijar la categoría que les corresponde: básica, media o alta.
Queda recogido en el Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que te toca seguir.
Fase 03 Análisis de riesgos
Identifico contigo los activos, las amenazas y las salvaguardas aplicando la metodología MAGERIT.
Se traduce en un informe de análisis de riesgos y su correspondiente plan de tratamiento.
Fase 04 Plan de adecuación + DdA
Redactamos la política de seguridad, seleccionamos las medidas y justificamos, control por control, la Declaración de Aplicabilidad (DdA).
Siguiendo la guía CCN-STIC 806, obtienes el plan de adecuación y la base de tu declaración de conformidad.
Fase 05 Implantación
Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo persona a persona en cada paso.
Reunimos las evidencias de implantación, medida por medida, ya preparadas para la auditoría.
Fase 06 Conformidad final
Hacemos la revisión previa y la preparación final. En categoría básica te apoyo en la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada.
Conforme al Anexo III, dejo tu conformidad lista; la certificación en media o alta la emite, siempre, un tercero acreditado por ENAC.
Nadie elige la categoría a capricho: sale de valorar qué pasaría si un incidente afectara a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que alcance el nivel más alto.
Categoría básica
Impacto limitado
Se da cuando un incidente tendría un efecto limitado sobre las funciones de la organización, sus activos o las personas. Es la categoría que más se repite entre proveedores de servicios auxiliares.
Todas las dimensiones se quedan en nivel bajo
Se acredita con declaración autoevaluada
Medidas proporcionadas, al alcance de cualquier equipo
Categoría media
Impacto grave
Aparece cuando el perjuicio de un incidente sería grave: alguna dimensión llega al nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Al menos una dimensión llega a nivel medio
Exige certificación por entidad acreditada
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Corresponde a un perjuicio muy grave, a veces irreparable: alguna dimensión alcanza el nivel alto. Es el caso de los sistemas críticos o con información especialmente sensible.
Al menos una dimensión llega a nivel alto
Certificación obligatoria por entidad acreditada
Auditoría de conformidad bienal, sin excepción
Dos caminos para acreditar la conformidad
Básica → declaración de conformidad
Si estás en básica, acreditas la conformidad con una declaración de conformidad autoevaluada: eres tú mismo quien verifica el cumplimiento, siguiendo las guías CCN-STIC. Yo te preparo, contigo, la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo contratante.
Media / alta → certificación acreditada
En media o alta, la conformidad pasa por una certificación de una entidad acreditada por ENAC, bajo la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla con garantías; quien certifica es siempre la entidad acreditada, nunca yo.
Lo que te entrego
Toda la documentación para demostrar conformidad.
Esto no es un PDF que se queda cerrado en un cajón. Es el cuerpo documental y técnico que sostiene tu conformidad, el que el auditor, la Junta de Andalucía, el Ayuntamiento de Granada o cualquier otro organismo contratante va a querer ver en el expediente de licitación.
Informe de diagnóstico / análisis GAP: refleja la distancia real entre dónde estás y lo que exige el ENS.
Categorización del sistema según las cinco dimensiones (CIDAT), con el nivel resultante: básica, media o alta.
Análisis de riesgos con metodología MAGERIT, acompañado de su plan de tratamiento.
Política de seguridad de la información y la normativa interna que se deriva de ella.
Plan de adecuación conforme a la guía CCN-STIC 806, con responsables, plazos y prioridades definidos.
Declaración de Aplicabilidad (DdA), que justifica cada medida elegida del Anexo II.
Evidencias de implantación de las medidas organizativas, operacionales y de protección puestas en marcha.
Preparación de la auditoría o de la declaración: revisión previa, checklist y mi acompañamiento personal durante todo el proceso de conformidad.
Ángel Ortega Castro consultor ENS · toda España
La razón para elegirme
Un consultor ENS cercano al ecosistema público granadino.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —también a Granada y al resto de Andalucía—. He aprendido de primera mano cómo funciona la contratación pública andaluza: sus plazos, sus pliegos y lo que suelen pedir organismos como la Junta de Andalucía, el Ayuntamiento de Granada, la Diputación Provincial de Granada, la Universidad de Granada (UGR) o los centros de investigación del PTS Granada.
Trabajo con un acompañamiento real, persona a persona. No te entrego un manual y me despido: estoy contigo en cada fase, convierto la norma en decisiones concretas para tu caso, y cuando el proyecto se cierra, tu equipo se queda con la capacidad de sostener la conformidad por sí mismo.
Soy claro sobre dónde llega mi papel: preparo y adecúo tu organización hasta dejarla lista para la conformidad; la certificación en categorías media o alta la emite siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Consultor ENS independienteRD 311/2022 · Anexos I-IVGuías CCN-STICMAGERIT · análisis de riesgosGranada · Andalucía · remoto y presencial en toda España
Perfiles que acompaño en Granada
Tres escenarios habituales en el polo universitario y biosanitario andaluz.
Proveedor TIC o biotecnológico del PTS Granada
Empresa que colabora con centros públicos de investigación biosanitaria.
Pymes y spin-offs universitarias alojadas en el PTS Granada —muchas de ellas surgidas del Centro Europeo de Empresas e Innovación (BIC Granada)— que prestan servicios de TI, análisis de datos o mantenimiento de sistemas a centros participados por la Junta de Andalucía y el CSIC, como GENyO o el Instituto de Parasitología y Biomedicina «López-Neyra», y necesitan acreditar conformidad con el ENS para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Integrador de la Diputación o el Ayuntamiento de Granada
Empresa que da soporte a la digitalización de la provincia.
Empresas tecnológicas de la capital o la provincia que prestan servicios de administración electrónica, ciberseguridad o soporte TIC al Ayuntamiento de Granada o a la Diputación Provincial dentro de su Plan Estratégico «Granada Provincia Territorio Inteligente» (GPTI) o del proyecto de destino turístico inteligente REDETI-Granada, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Consultora TIC de la Universidad de Granada
Empresa que mantiene sistemas académicos o de investigación de la UGR.
Integradores o desarrolladoras de software que dan soporte a la administración electrónica o a las plataformas de investigación de la Universidad de Granada, con presencia en sus campus de Fuentenueva, Cartuja, Ciencias de la Salud y Aynadamar —sede de la ETSIIT—, y que necesitan acreditar conformidad con el ENS para mantener o renovar el contrato.
Inversión aproximada
¿Qué inversión requiere adecuarse al ENS?
Aquí no hay una tarifa fija, y yo desconfiaría de quien te la dé sin conocer tu caso. Lo que pagues depende del alcance (cuántos sistemas entran), de la categoría (básica, media o alta), de cómo de madura está ya tu organización y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Presupuesto cerrado, una vez hecho el diagnósticoSin sorpresas · a medida de tu alcance y categoría
En categoría media o alta, a mis honorarios hay que sumar el coste de la entidad certificadora acreditada por ENAC: ese importe es independiente del mío y te lo factura directamente el tercero que hace la auditoría de conformidad.
En la primera llamada revisamos juntos tu alcance, la categoría que previsiblemente te corresponde y el tipo de contrato que persigues con la Administración andaluza, y de ahí sale una propuesta cerrada. Sin compromiso, con orientación honesta desde el primer minuto.
Preguntas frecuentes
Dudas habituales sobre el ENS en Granada.
¿Necesito el ENS para trabajar con la Junta de Andalucía en Granada?+
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, también a través de su Delegación del Gobierno en Granada, de las delegaciones territoriales de sus consejerías y del Servicio Andaluz de Salud (SAS). Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
¿La Universidad de Granada (UGR) exige el ENS a sus proveedores TIC?+
Sí. La Universidad de Granada es una institución pública universitaria sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, administración electrónica, plataformas de investigación— en sus campus de Fuentenueva, Cartuja, Ciencias de la Salud y Aynadamar. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
¿El Ayuntamiento de Granada o la Diputación Provincial pueden exigir el ENS en sus contratos?+
Sí. Tanto el Ayuntamiento de Granada como la Diputación Provincial de Granada son entidades locales sujetas al ENS por el RD 311/2022. Pueden incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC, especialmente en los proyectos de administración electrónica que impulsa la Diputación dentro de su Plan «Granada Provincia Territorio Inteligente» (GPTI), y lo hacen con creciente frecuencia.
¿Las empresas del PTS Granada que trabajan con centros públicos de investigación necesitan el ENS?+
Depende de con quién contraten. Centros como GENyO o el Instituto de Parasitología y Biomedicina «López-Neyra» del CSIC están participados por administraciones públicas y, en la medida en que gestionan sistemas de información del sector público, pueden trasladar la exigencia del ENS a las empresas que les prestan servicios TIC, de análisis de datos o de infraestructura. Conviene revisar caso por caso el contrato y el sistema afectado antes de asumir automáticamente el requisito.
¿Puedo empezar la adecuación al ENS aunque aún no tenga contrato con la Administración?+
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija. El proceso tiene un recorrido mínimo de varias semanas, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
¿Es compatible el ENS con la ISO 27001?+
Son marcos compatibles que comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS. Para licitar con la Junta de Andalucía, el Ayuntamiento de Granada o la Diputación Provincial, lo que el pliego exige es la conformidad con el ENS.
Otras ciudades · Guías ENS
Consultoría ENS en otras provincias y recursos clave.
Demos el primer paso hacia tu conformidad ENS en Granada.
Cuéntame en qué punto está tu empresa granadina y qué sistemas necesitas poner en regla. En una primera conversación, sin coste ni compromiso, repasamos juntos tu alcance y la categoría más probable de tus sistemas; si tiene sentido seguir, te preparo una propuesta a medida y, si no encajamos, sales igualmente con una hoja de ruta clara para empezar por tu cuenta.
