Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente. Acompaño a empresas de Guadalajara y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Guadalajara, la Diputación Provincial o el Hospital Universitario de Guadalajara (SESCAM) sin quedar excluidas de los pliegos.
Guadalajara no es la sede de la Junta de Comunidades de Castilla-La Mancha —esa capitalidad administrativa corresponde a Toledo—, pero la obligación de cumplir el ENS no depende de dónde se ubique físicamente el Gobierno regional. Alcanza por igual a cualquier empresa guadalajareña que preste servicios TIC a una consejería o a un organismo autonómico. La propia Junta reguló su política de seguridad de la información mediante el Decreto 57/2012, y desde entonces sus pliegos de contratación exigen a los proveedores acreditar conformidad con el marco estatal, con independencia de dónde tengan su sede.
A esa obligación autonómica se suma la de las administraciones propias de la ciudad. El Ayuntamiento de Guadalajara gestiona su propia sede electrónica y, a través del servicio municipal Guadalajara Empresarial, impulsa la digitalización del tejido productivo local. La Diputación Provincial de Guadalajara, con sede en el Palacio Provincial de la Plaza de Moreno, coordina servicios digitales para los municipios más pequeños de la provincia. Ambas entidades locales están sujetas al ENS y trasladan esa exigencia a sus proveedores TIC en los pliegos de prescripciones técnicas.
El campus universitario de Guadalajara, dependiente de la Universidad de Alcalá (UAH), reúne la Facultad de Educación y titulaciones como Turismo, Administración y Dirección de Empresas, Ciencia y Tecnología de la Edificación, Enfermería y Comunicación Audiovisual, además de una sede de la Escuela Politécnica Superior. Como institución pública universitaria, sus sistemas de información —expedientes académicos, plataformas de administración electrónica— están sujetos al mismo RD 311/2022 que cualquier otro organismo del sector público.
El Hospital Universitario de Guadalajara, integrado en el Servicio de Salud de Castilla-La Mancha (SESCAM), gestiona la historia clínica electrónica de sus pacientes a través del sistema Mambrino XXI, dentro del proyecto autonómico de historia clínica electrónica (HES-CLM). Los sistemas de información sanitaria manejan datos especialmente sensibles y suelen situarse en categorías media o alta del ENS, una exigencia que el hospital traslada a sus proveedores de tecnología.
Alrededor de la ciudad, el Corredor del Henares concentra una de las mayores densidades logísticas de España: la plataforma Puerta Centro-Ciudad del Transporte, con 2,2 millones de metros cuadrados entre la R-2 y la A-2, es la mayor superficie logística de la Península Ibérica; el puerto seco de Marchamalo, con su terminal intermodal impulsada por la Autoridad Portuaria de Tarragona, conecta la provincia con los grandes puertos españoles; y polígonos como los de Cabanillas del Campo —con operadores como Luis Simões, XPO o Logista— o El Ruiseñor, donde FM Logistic pondrá en marcha su nueva plataforma en 2026, digitalizan cada vez más su gestión de tráfico, aduanas y transporte. Cuando alguna de estas plataformas presta servicio bajo contrato a un organismo público —gestión de tráfico, aduanas o infraestructura intermodal—, la conformidad con el ENS se convierte también en requisito.
Para todas las empresas que trabajan o aspiran a trabajar con alguno de estos organismos —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados—, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Aunque su sede esté en Toledo, los contratos TIC de las consejerías y organismos dependientes de la Junta de Comunidades de Castilla-La Mancha exigen conformidad con el ENS también a los proveedores de Guadalajara.
El Ayuntamiento de Guadalajara y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
El Hospital Universitario de Guadalajara gestiona historia clínica electrónica (Mambrino XXI) sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las plataformas logísticas de Cabanillas, Marchamalo o El Ruiseñor digitalizan su gestión de tráfico y aduanas, y arrastran la obligación del ENS cuando trabajan bajo contrato público.
Antes de dar el paso, conviene tener claro el marco completo: en la guía ENS completa explico el RD 311/2022 de principio a fin, y en la página de consultoría ENS para empresas detallo cómo planteo el acompañamiento paso a paso.
El sector público no es el único obligado por esta norma: arrastra también, a través del contrato, a las empresas privadas que le dan servicio. Y en Guadalajara esa obligación llega más lejos de lo que muchas pymes tecnológicas locales imaginan.
En la práctica, estos son los perfiles que más veces acaban necesitando adecuarse:
La disposición transitoria única del RD 311/2022 dio 24 meses para poner al día los sistemas que ya existían: ese plazo terminó el 5 de mayo de 2024. Los sistemas nuevos, o los que hayan cambiado de forma sustancial, tienen que cumplir desde el arranque. Y si tu empresa aún no se ha puesto con ello, cada licitación nueva en el perfil del contratante recuerda que queda cada vez menos margen.
Voy fase a fase siguiendo las guías CCN-STIC, pero el punto de llegada no es el mismo para todos: una empresa de categoría básica cierra el proceso con una declaración autoevaluada, mientras que una de categoría media o alta termina preparándose para una auditoría externa. Aquí tienes el recorrido completo, aplicado a lo que te vas a encontrar trabajando con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Guadalajara, la Diputación Provincial o el Hospital Universitario de Guadalajara.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto tu punto de partida con lo que pide el ENS y acoto qué sistemas de información entran en el proyecto. | Un documento que retrata dónde estás hoy frente al ENS, con las brechas más urgentes señaladas para empezar por ahí. |
| Fase 02 Categorización | Aquí se decide casi todo: valoro tus sistemas en las cinco dimensiones CIDAT y determino si su categoría es básica, media o alta, porque cada una exige un camino distinto de aquí en adelante. | Anexo I del ENS: aquí se decide si te tocará la vía rápida de la autoevaluación o el camino más exigente de la certificación externa. |
| Fase 03 Análisis de riesgos | Catalogo activos, amenazas y salvaguardas con la metodología MAGERIT como referencia. | El informe de análisis de riesgos y el plan de tratamiento que se deriva de él. |
| Fase 04 Plan de adecuación + DdA | Escribo la política de seguridad, elijo qué medidas aplican a tu caso y justifico, control por control, la Declaración de Aplicabilidad (DdA). | La guía CCN-STIC 806 marca la pauta: de aquí salen el plan de adecuación y el borrador de la declaración de conformidad. |
| Fase 05 Implantación | Pongo en marcha contigo las medidas del Anexo II —el marco organizativo, el operacional y el de protección— sin dejarte solo en ningún tramo del despliegue. | Las evidencias de cada medida implantada, ordenadas y listas para que las revise un auditor. |
| Fase 06 Conformidad final | El cierre depende de tu categoría: en básica te ayudo a redactar y sostener la declaración autoevaluada; en media o alta te acompaño durante toda la auditoría que hace la entidad acreditada. | Anexo III. Dejo tu expediente listo para la conformidad; la firma de la certificación en media o alta corresponde siempre a un tercero acreditado por ENAC. |
Nadie asigna la categoría al azar: resulta de medir el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión que llegue más alta es la que decide, aunque las otras cuatro se queden muy por debajo.
Un incidente aquí dejaría un perjuicio limitado en las funciones, los activos o las personas de la organización. Es el escalón donde suele situarse buena parte de los proveedores auxiliares que trabajan con administraciones de Guadalajara.
El salto llega cuando alguna dimensión sube a nivel medio: el perjuicio de un incidente sería grave. Es el terreno habitual de la gestión administrativa y de los tratamientos con datos algo más sensibles.
El nivel más exigente entra en juego cuando alguna dimensión llega a alto: el perjuicio sería muy grave, a veces irreparable. Es el escalón típico de los sistemas de historia clínica electrónica del ámbito SESCAM.
Si te quedas en básica, con una declaración de conformidad autoevaluada es suficiente: eres tú mismo quien verifica el cumplimiento, apoyándote en las guías CCN-STIC. Mi papel es dejarte esa documentación tan bien armada que aguante cualquier revisión posterior.
Si subes a media o alta, cambia la exigencia: hace falta certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te preparo para llegar con garantías a ese examen, pero quien certifica es siempre la entidad acreditada, no el consultor.
Nada de un PDF que se guarda y no se vuelve a mirar. Te entrego el cuerpo documental y técnico completo que sostiene tu conformidad, el mismo que va a querer ver el auditor, la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Guadalajara o cualquier otro organismo dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información, con base en Valladolid y en Las Palmas de Gran Canaria. Trabajo en remoto con empresas de toda España, y me desplazo cuando el proyecto lo requiere —también a Guadalajara y al resto de Castilla-La Mancha—. Manejo con soltura la contratación pública castellanomanchega: sus plazos, la forma en que redactan los pliegos y lo que suelen exigir organismos como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Guadalajara, la Diputación Provincial, el Hospital Universitario de Guadalajara (SESCAM) o el campus de la UAH.
Superviso el proyecto de principio a fin, sin dejarte una carpeta de PDF y un mensaje de despedida: recorro contigo cada fase, convierto la norma en decisiones que puedas aplicar mañana mismo, y al cerrar el proyecto tu equipo queda capacitado para sostener solo la conformidad.
Dejo claro, desde el principio, qué hago yo y qué no: preparo y adecúo tu organización, pero la certificación en categorías media o alta la firma una entidad acreditada por ENAC, nunca el consultor. Esa franqueza, sumada al rigor con la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me separa de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con la Junta de Comunidades de Castilla-La Mancha y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos, aunque su sede esté en Guadalajara y no en la capital regional. Suelen estar en categoría básica o media.
Empresas de ciberseguridad gestionada o soporte de infraestructura que trabajan con el Hospital Universitario de Guadalajara, gestionando sistemas de historia clínica electrónica (Mambrino XXI) sujetos a categorías media o alta del ENS por la sensibilidad de los datos que manejan.
Empresas de base tecnológica que dan soporte a plataformas logísticas de Cabanillas del Campo, Marchamalo o El Ruiseñor y quieren ampliar su cartera hacia el Ayuntamiento de Guadalajara, la Diputación Provincial o infraestructuras impulsadas por organismos públicos, como el puerto seco de Marchamalo. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Cualquiera que te dé un precio sin haber mirado antes tu caso está inventando: aquí no hay tarifa de catálogo. Lo que de verdad decide el presupuesto es el alcance (cuántos sistemas entran), la categoría resultante —básica, media o alta—, tu punto de partida en materia de seguridad, y si te basta la declaración de conformidad o necesitas certificación acreditada.
Cuando la categoría es media o alta hay que sumar, aparte de mis honorarios, el coste de la certificación que emite la entidad acreditada por ENAC: esa factura la pasa el propio certificador, no yo.
Sí. La obligación de conformidad con el ENS no depende de dónde esté la sede física de tu empresa ni de dónde se ubique la capitalidad autonómica. La Junta de Comunidades de Castilla-La Mancha, que reguló su propia política de seguridad de la información mediante el Decreto 57/2012, traslada la exigencia de conformidad con el RD 311/2022 a todos sus proveedores y contratistas de servicios TIC, estén donde estén. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El Hospital Universitario de Guadalajara, integrado en el Servicio de Salud de Castilla-La Mancha (SESCAM), gestiona la historia clínica electrónica de sus pacientes a través del sistema Mambrino XXI. Como centro del sector público que trata datos sanitarios especialmente sensibles, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el ENS, habitualmente en categorías media o alta.
Sí. Tanto el Ayuntamiento de Guadalajara como la Diputación Provincial de Guadalajara son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende de si prestan servicio bajo contrato a organismos públicos. El Corredor del Henares, con plataformas como Puerta Centro-Ciudad del Transporte, el puerto seco de Marchamalo o los polígonos de Cabanillas del Campo, es un ecosistema mayoritariamente privado, pero cuando una empresa logística o tecnológica presta servicios de gestión de tráfico, aduanas o conectividad a una administración pública o a una infraestructura impulsada por un organismo estatal —como la terminal intermodal de la Autoridad Portuaria de Tarragona en Marchamalo—, la conformidad con el ENS pasa a ser un requisito.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación; los proveedores con acceso a datos clínicos del Hospital Universitario de Guadalajara suelen situarse en categorías media o alta.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Comunidades de Castilla-La Mancha o el Ayuntamiento de Guadalajara, lo que el pliego exige es el ENS.
La primera conversación es gratuita y no supone ningún compromiso. En ella repasamos el alcance de tus sistemas, qué categoría del ENS les corresponde previsiblemente y bajo qué figura de contratación vas a trabajar. Si veo que puedo ayudarte, te envío una propuesta cerrada; si no encajamos, te quedas igualmente con una hoja de ruta clara para arrancar por tu cuenta.