Soy Ángel Ortega Castro, consultor ENS independiente, con base en Valladolid y Las Palmas: trabajo en remoto con empresas de toda España y me desplazo de forma presencial cuando el proyecto lo requiere. Acompaño a empresas de Huelva y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Huelva, la Diputación Provincial o la Universidad de Huelva (UHU) sin quedar excluidas de los pliegos.
Huelva no es la sede del Gobierno de la Junta de Andalucía —esa capitalidad corresponde a Sevilla—, pero es una capital de provincia con actividad administrativa propia y creciente. En la ciudad opera la Delegación del Gobierno de la Junta de Andalucía en Huelva, junto a varias delegaciones territoriales —Agricultura, Pesca, Agua y Desarrollo Rural; Fomento, Articulación del Territorio y Vivienda; Justicia, Administración Local y Función Pública; Economía, Hacienda y Fondos Europeos, entre otras— que gestionan sistemas de información sujetos al Esquema Nacional de Seguridad por el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo).
A esa administración autonómica se suman el Ayuntamiento de Huelva; la Diputación Provincial de Huelva, que pone a disposición de los ayuntamientos de la provincia la plataforma de licitación y contratación electrónica Licyt@l; la Universidad de Huelva (UHU), con campus en la capital y en La Rábida (Palos de la Frontera); y el Hospital Universitario Juan Ramón Jiménez, centro de referencia del Servicio Andaluz de Salud en la provincia desde 1993. Todos ellos gestionan sistemas de información —expedientes, historia clínica electrónica, sede electrónica, plataformas académicas— sujetos al ENS, y trasladan esa obligación a la cadena de proveedores que les presta servicios TIC.
Lo distintivo de Huelva es que, alrededor de esa administración, conviven dos motores económicos de primer orden que generan una demanda tecnológica propia. El Puerto de Huelva, gestionado por su Autoridad Portuaria —organismo público estatal integrado en la Red Transeuropea de Transporte—, tiene en marcha un plan de inversión de 255 millones de euros hasta 2029 que incluye la Zona de Actividades Logísticas (ZAL) y el «Hub del Frío» para mercancía refrigerada. Y el Polo Químico de Huelva, el segundo mayor complejo industrial de España por volumen de negocio (cerca de 16.000 millones de euros y más de 15.000 empleos, según datos de la patronal sectorial), agrupado en buena parte en torno a la Asociación de Industrias Químicas, Básicas y Energéticas de Huelva (AIQBE), está inmerso en un proceso de descarbonización con proyectos de hidrógeno verde y economía circular. Ambos ecosistemas —logístico e industrial— tiran de un tejido creciente de empresas TIC e integradoras que trabajan o aspiran a trabajar con organismos públicos de la provincia.
Para todas ellas, el ENS ya no es una opción: el RD 311/2022 extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de la Delegación del Gobierno en Huelva y de sus delegaciones territoriales exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Huelva y la Diputación Provincial —a través de su plataforma Licyt@l— incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Huelva y el Hospital Universitario Juan Ramón Jiménez, como entidades del sector público, están sujetas al ENS y trasladan ese requisito a sus proveedores TIC.
El plan de inversión del Puerto de Huelva y la descarbonización del Polo Químico están generando contratos tecnológicos que, cuando implican al sector público, exigen proveedores conformes con el ENS.
Antes de arrancar conviene tener claro el marco completo: lo explico con detalle en la guía ENS completa, y en la página de consultoría ENS para empresas encontrarás cómo trabajo el servicio paso a paso.
La obligación del ENS recae sobre el sector público y también sobre las empresas privadas que trabajan para él mediante contrato. En Huelva y su provincia ese círculo es amplio: incluye desde proveedores TIC de la Administración hasta integradoras que sostienen infraestructuras vinculadas al puerto, a la industria química o al sector agroalimentario.
Estos son algunos perfiles concretos que suelen entrar en el alcance:
La disposición transitoria única del RD 311/2022 concedió 24 meses para adecuar los sistemas ya existentes, un plazo que se cerró el 5 de mayo de 2024. Los sistemas de nueva creación, o los que incorporan cambios sustanciales, deben cumplir desde su puesta en marcha. Si tu empresa aún no ha empezado el proceso, cada licitación publicada en el perfil del contratante es un recordatorio de que el margen sigue estrechándose.
Trabajo siguiendo la secuencia que marcan las guías CCN-STIC: arranca en el diagnóstico y termina en la preparación de la auditoría o de la declaración de conformidad. La meta es que la documentación resultante tenga el rigor necesario para presentarla ante la Junta de Andalucía, el Ayuntamiento de Huelva, la Autoridad Portuaria de Huelva o cualquier otro organismo que la exija en sus pliegos.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con las exigencias del ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Recibes un informe de diagnóstico que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y le asigno su categoría: básica, media o alta. | Documento conforme al Anexo I del ENS, que fija el nivel de exigencia y qué vía de conformidad corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Entrego el informe de análisis de riesgos junto con el plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas pertinentes y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo en cada paso del despliegue. | Quedan las evidencias de implantación de cada medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre: en categoría básica, apoyo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III: preparo el expediente de conformidad, aunque la certificación en categoría media o alta la emite siempre un tercero acreditado por ENAC. |
La categoría de un sistema no la decide quien lo gestiona: resulta de valorar el impacto que tendría un incidente en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la fija la dimensión que alcance el nivel más exigente.
Se aplica cuando un incidente tendría un efecto limitado sobre las funciones, los activos o las personas de la organización. Es la categoría en la que se sitúan, con más frecuencia, los proveedores de servicios auxiliares.
Corresponde a los casos en que un incidente causaría un perjuicio grave, porque al menos una dimensión alcanza el nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Se reserva para los sistemas en los que un incidente provocaría un perjuicio muy grave, incluso irreparable, porque alguna dimensión llega al nivel alto. Es propia de sistemas críticos o con información especialmente sensible.
En categoría básica, basta con una declaración de conformidad autoevaluada: es la propia organización la que verifica su cumplimiento siguiendo las guías CCN-STIC. Yo preparo la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo contratante, sea la Junta de Andalucía, el Ayuntamiento de Huelva o la Autoridad Portuaria.
En categoría media o alta, la conformidad solo se acredita con certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es prepararte para superarla con garantías; quien emite la certificación es siempre la entidad acreditada, nunca el consultor.
Aquí no hay un PDF que se archive y no se vuelva a mirar. Lo que recibes es el cuerpo documental y técnico que sostiene la conformidad, el mismo que pedirá ver el auditor, la Junta de Andalucía, el Ayuntamiento de Huelva, la Autoridad Portuaria o cualquier otro organismo contratante dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo desde mis bases en Valladolid y Las Palmas de Gran Canaria, atiendo en remoto a clientes de toda España y viajo a Huelva cuando el proyecto lo pide: reuniones de arranque, sesiones con tu equipo técnico o acompañamiento en la auditoría. Conozco cómo funciona la contratación pública de la provincia: la plataforma Licyt@l que gestiona la Diputación Provincial, la actividad de la Delegación del Gobierno de la Junta de Andalucía en Huelva, la sede electrónica de la Universidad de Huelva y las nuevas exigencias de seguridad TIC que trae consigo la modernización del Puerto de Huelva y del Polo Químico.
Entiendo el acompañamiento como algo cercano, persona a persona: no te entrego un manual y desaparezco. Estoy a tu lado en cada fase, traduzco la norma en decisiones concretas y me aseguro de que tu equipo pueda sostener la conformidad por sí solo una vez terminado el proyecto, sea cual sea la ubicación de tu sede.
Soy claro sobre los límites de mi trabajo: yo preparo y adecúo tu organización de cara a la conformidad, pero la certificación en categoría media o alta siempre la emite una entidad acreditada por ENAC. Esa transparencia, sumada al rigor con la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me separa de las consultoras que venden promesas genéricas.
Proveedores de ciberseguridad gestionada, redes o sistemas de control que acompañan a la Autoridad Portuaria de Huelva en su plan de inversión (ZAL, Hub del Frío) o a empresas del Polo Químico —agrupadas en torno a AIQBE— en su proceso de digitalización. Cuando ese soporte alcanza a sistemas del organismo público, la conformidad con el ENS pasa a ser requisito de contrato.
Huelva produce cerca del 98% de los berries de España y casi el 30% de la Unión Europea, un sector representado por Freshuelva que exporta por encima de los 2.000 millones de euros al año. Las empresas de software de trazabilidad, certificación fitosanitaria o logística que trabajan con cooperativas del sector y colaboran con la Delegación Territorial de Agricultura necesitan acreditar conformidad ENS en los proyectos que tocan sistemas públicos.
Organizaciones TIC de Huelva capital o provincia que hasta ahora han trabajado en el sector privado —incluidas empresas del Parque Científico y Tecnológico de Huelva en Aljaraque— y quieren ampliar su cartera hacia el Ayuntamiento, la Diputación o la Universidad de Huelva. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra estándar, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que determina la inversión es el alcance (cuántos sistemas entran en juego), la categoría resultante (básica, media o alta), tu punto de madurez de partida y si el proceso requiere certificación acreditada o le basta con la declaración de conformidad.
En categoría media o alta hay que sumar, además de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: es un importe independiente, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, también a través de la Delegación del Gobierno en Huelva y de las delegaciones territoriales de sus distintas consejerías. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de estos organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Huelva es una institución pública universitaria, con campus en la capital y en La Rábida, que gestiona sistemas de información sujetos al ENS —expedientes académicos, sede electrónica, plataformas de investigación—. Como entidad del sector público, debe cumplir el RD 311/2022 y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Tanto el Ayuntamiento de Huelva como la Diputación Provincial son entidades locales sujetas al ENS por el RD 311/2022. La Diputación, además, gestiona la plataforma de licitación y contratación electrónica Licyt@l para los municipios de la provincia, un entorno que refuerza la exigencia de seguridad de la información en toda la cadena de proveedores TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Sí. La Autoridad Portuaria de Huelva es un organismo público estatal integrado en la Red Transeuropea de Transporte y, como tal, sus sistemas de información están sujetos al ENS. Con un plan de inversión de 255 millones de euros hasta 2029 que incluye la Zona de Actividades Logísticas y el Hub del Frío, los proveedores TIC que participan en esos proyectos o en el mantenimiento de sus sistemas deben acreditar conformidad con el RD 311/2022.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Son marcos compatibles que comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001 —algo habitual entre las grandes industrias del Polo Químico y sus proveedores—, ese trabajo se aprovecha en la adecuación al ENS. Para licitar con la Junta de Andalucía, el Ayuntamiento de Huelva o la Diputación Provincial, lo que el pliego exige es la conformidad con el ENS.
Cuéntame en qué fase está tu empresa y qué licitación tienes en el punto de mira. En una primera conversación, sin coste ni compromiso, repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y la vía de conformidad que mejor encaja con tu caso. Si veo que puedo ayudarte, te envío una propuesta cerrada; si no es el momento, te llevas una orientación clara para seguir avanzando por tu cuenta.