Me llamo Ángel Ortega Castro y ejerzo como consultor ENS por cuenta propia, con sede en Valladolid y en Las Palmas de Gran Canaria; atiendo en remoto a empresas de cualquier punto de España y me desplazo cuando el proyecto lo exige. Acompaño a empresas de Huesca y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de Aragón, el Ayuntamiento de Huesca, la Diputación Provincial o la Universidad de Zaragoza sin quedar fuera de los pliegos por incumplimiento.
Huesca no alberga la sede central del Gobierno de Aragón —eso corresponde a Zaragoza—, pero eso no la deja al margen del Esquema Nacional de Seguridad. La ciudad es sede de la Delegación Territorial del Gobierno de Aragón en Huesca, con oficina en la Plaza Cervantes, y de varios Servicios Provinciales que dependen directamente de departamentos autonómicos: Agricultura, Ganadería y Alimentación; Educación, Cultura y Deporte; Vertebración del Territorio, Movilidad y Vivienda; Presidencia, Economía y Justicia; y el sector sanitario adscrito al Servicio Aragonés de Salud. Cada uno gestiona sus propios sistemas de información y está tan sujeto al ENS como cualquier consejería con sede en la capital autonómica.
A ese entramado autonómico se suma la Diputación Provincial de Huesca, que a través de su plataforma de administración electrónica SEDIPUALBA presta servicio a más de doscientas entidades de la provincia —152 ayuntamientos, mancomunidades y entidades locales menores incluidos—, de modo que su conformidad con el ENS condiciona, en la práctica, la de buena parte de los municipios oscenses. El Ayuntamiento de Huesca tiene además una agenda de transformación digital activa financiada con fondos Next Generation EU, con proyectos explícitamente centrados en seguridad TIC —"Seguridad TIC en el Ayuntamiento de Huesca", "Movilidad en el puesto de trabajo del empleado público y securización del CPD"— y licitaciones tecnológicas recientes, como la implantación digital de la Zona de Bajas Emisiones.
A esto se añaden dos instituciones públicas con sistemas sensibles propios: el Campus de Huesca de la Universidad de Zaragoza —que integra la Escuela Politécnica Superior, la Facultad de Empresa y Gestión Pública, la Facultad de Ciencias de la Salud y del Deporte y la Facultad de Ciencias Humanas y de la Educación— y el Hospital Universitario San Jorge, cabecera del sector sanitario de Huesca dentro del Servicio Aragonés de Salud. Ambos gestionan expedientes académicos, historiales clínicos o plataformas de administración electrónica que quedan bajo el paraguas del ENS. Alrededor de todo este ecosistema institucional trabaja un tejido TIC local nada desdeñable, con el Parque Tecnológico Walqa —a las afueras de la capital, cerca de ochenta y cinco empresas y unos ochocientos cincuenta empleos en tecnologías de la información, biotecnología y energías renovables— como referencia. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen cada vez con más frecuencia como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
La Delegación Territorial y los Servicios Provinciales del Gobierno de Aragón en Huesca gestionan contratos TIC que exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
La Diputación Provincial de Huesca presta administración electrónica a más de 200 entidades de la provincia a través de SEDIPUALBA. Su conformidad ENS se traslada a esa red de municipios.
El Campus de Huesca de la Universidad de Zaragoza y el Hospital Universitario San Jorge gestionan sistemas sensibles sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de dar el paso, conviene tener claro el marco completo: en la guía ENS completa explico el reglamento paso a paso, y en la página de consultoría ENS para empresas detallo cómo trabajo el acompañamiento.
El Esquema Nacional de Seguridad obliga por ley a todas las administraciones públicas, pero también arrastra —vía contrato— a las empresas privadas que trabajan a su servicio. En Huesca, esa segunda categoría tiene nombre y apellidos concretos: un grupo bien delimitado de proveedores de la capital y de la provincia.
Repaso a continuación los perfiles empresariales que, con los datos que manejo, deberían tener ya su adecuación resuelta o en marcha:
La disposición transitoria única del RD 311/2022 dio un margen de 24 meses para poner al día los sistemas que ya existían; ese plazo venció el 5 de mayo de 2024. Todo sistema nuevo, o cualquiera que sufra una modificación sustancial, tiene que nacer ya conforme al Esquema. Si tu empresa aún no se ha puesto con ello, cada licitación que sale publicada en el perfil del contratante del Ayuntamiento o de la Diputación recorta un poco más el margen que queda.
Sigo el orden de trabajo que marcan las guías CCN-STIC, desde el primer diagnóstico hasta dejar cerrada la declaración de conformidad o la auditoría, según toque en cada caso. El objetivo no cambia: llegar a la conformidad con una documentación que aguante cualquier revisión, ya venga del Gobierno de Aragón, del Ayuntamiento de Huesca, de la Diputación Provincial o de cualquier otro organismo que te la pida.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto tu punto de partida con lo que exige el ENS y cierro el alcance: decido, sistema por sistema, qué entra dentro del perímetro. | Informe de diagnóstico que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Paso cada sistema por las cinco dimensiones que exige el Esquema —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y de ese análisis sale la categoría que le corresponde: básica, media o alta. | Se plasma en el Anexo I del ENS, que fija cuánta exigencia y qué camino de conformidad aplican a partir de aquí. |
| Fase 03 Análisis de riesgos | Mapeo activos, amenazas y salvaguardas con la metodología MAGERIT como referencia. | Informe de análisis de riesgos acompañado del plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | La Declaración de Aplicabilidad (DdA) nace de un trabajo previo: fijar la política de seguridad y decidir, control por control, qué medidas del Anexo II te tocan y por qué. | Sigue el guion de la guía CCN-STIC 806: de ahí salen el plan de adecuación y la declaración de conformidad. |
| Fase 05 Implantación | Pongo en marcha, contigo, las medidas del Anexo II —organizativas, operacionales y de protección— sin dejarte solo en ningún paso. | Evidencias de implantación ordenadas medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Hago una última pasada de revisión antes de cerrar. Si tu categoría es básica, te ayudo con la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Dejo el expediente listo para la conformidad; la certificación de las categorías media y alta la firma un tercero acreditado por ENAC, nunca yo. |
La categoría de un sistema no la decides tú a ojo ni yo por costumbre: se deriva de valorar, dimensión por dimensión —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, qué ocurriría si ese sistema fallara. Se queda con el nivel más alto que alcance cualquiera de las cinco.
Es la categoría que le toca a un sistema cuando, si algo va mal, el daño sobre las funciones de la organización, sus activos o las personas se queda corto. La más frecuente entre quienes prestan servicios auxiliares.
Entra en juego cuando el daño previsible ya es grave: como mínimo una dimensión sube al nivel medio. Suele darse en sistemas de gestión administrativa o que tratan datos sensibles.
Aparece cuando el perjuicio sería muy grave, a veces irreparable: alguna dimensión toca el nivel alto. Es el terreno de los sistemas críticos o de los datos más sensibles.
Con categoría básica, la conformidad se acredita con una declaración autoevaluada: la propia organización comprueba, siguiendo las guías CCN-STIC, que cumple. Yo me encargo de dejarte la documentación y las evidencias en condiciones de resistir cualquier revisión del organismo que te contrata.
Con categoría media o alta, la conformidad exige que una entidad acreditada por ENAC te certifique, siguiendo la norma UNE-EN ISO/IEC 17065:2012. Mi papel se limita a dejarte preparado para superarla con garantías; quien certifica es siempre la entidad acreditada, nunca yo como consultor.
No te dejo un informe criando polvo en un cajón. Te llevas el mismo cuerpo documental y técnico que sostiene tu conformidad y que va a revisar el auditor —o el Gobierno de Aragón, el Ayuntamiento de Huesca, la Diputación Provincial o el organismo que corresponda dentro del expediente de licitación—.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Trabajo desde Valladolid y Las Palmas de Gran Canaria con empresas de toda España —en remoto, y de forma presencial en Huesca cuando el proyecto lo pide—. Conozco de cerca el circuito de licitación pública aragonés: sus plazos, sus pliegos y lo que exigen habitualmente organismos como el Gobierno de Aragón, la Diputación Provincial de Huesca, el Ayuntamiento y la Universidad de Zaragoza.
Mi forma de trabajar es de acompañamiento real, persona a persona: no entrego un manual y desaparezco. Estoy contigo en cada fase, convierto la norma en decisiones concretas, y dejo a tu equipo capacitado para sostener la conformidad una vez cerrado el proyecto.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización de cara a la conformidad; la certificación en categorías media o alta la emite una entidad acreditada por ENAC, no yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me separa de las consultoras genéricas.
Empresas de desarrollo de software o soporte de sistemas que trabajan con la Delegación Territorial del Gobierno de Aragón en Huesca o con alguno de sus Servicios Provinciales —Agricultura, Educación, Vertebración del Territorio, Presidencia y Justicia— y necesitan acreditar conformidad con el ENS para renovar o ampliar el contrato. Suelen estar en categoría básica o media.
Empresas tecnológicas instaladas en el Parque Tecnológico Walqa que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Diputación Provincial de Huesca (incluida la red SEDIPUALBA de más de 200 entidades), al Ayuntamiento de Huesca o al Hospital Universitario San Jorge, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas de Huesca y su provincia que hasta ahora han trabajado en sectores privados —agroalimentario, turismo del Pirineo, enoturismo del Somontano— y quieren ampliar su cartera hacia contratos con el Ayuntamiento de Huesca o el Gobierno de Aragón. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos TIC.
No existe una tarifa estándar, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso primero. Lo que pagues depende del alcance (número de sistemas), de la categoría (básica, media o alta), de tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
A mis honorarios hay que sumar, en categoría media o alta, el coste de la entidad certificadora acreditada por ENAC: es un gasto independiente que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. Aunque la sede central del Gobierno de Aragón está en Zaragoza, la Delegación Territorial y los Servicios Provinciales con oficina en Huesca están plenamente sujetos al ENS y trasladan esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de estos organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí, o cada vez más. La Diputación Provincial de Huesca opera la plataforma de administración electrónica SEDIPUALBA, que da servicio a más de 200 entidades de la provincia —ayuntamientos, mancomunidades y entidades locales menores—. Como entidad del sector público sujeta al RD 311/2022, puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de los sistemas que sostienen esa red de municipios.
Sí. El Ayuntamiento de Huesca es una entidad local sujeta al ENS por el RD 311/2022 y tiene en marcha proyectos de transformación digital financiados con fondos europeos —carpeta ciudadana, seguridad TIC, securización del CPD— que incorporan la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones. Si tu empresa trabaja o quiere trabajar con el Ayuntamiento, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvises. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de Aragón, el Ayuntamiento de Huesca o la Diputación Provincial, lo que el pliego exige es el ENS.
Reservamos una primera conversación sin coste ni compromiso para revisar el alcance de tus sistemas, estimar la categoría que les corresponde y el tipo de contratos que persigues. Si veo que puedo ayudarte, te entrego una propuesta cerrada; si no encajamos, sales igualmente con una hoja de ruta clara para arrancar por tu cuenta.