Soy Ángel Ortega Castro, consultor ENS independiente. Resido entre Valladolid y Las Palmas, desde donde presto servicio en remoto a empresas de cualquier punto de España, y me desplazo in situ cuando el proyecto así lo pide. Acompaño a empresas de Jaén y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Andalucía, el Ayuntamiento de Jaén, la Diputación Provincial o la Universidad de Jaén (UJA) sin quedar excluidas de los pliegos.
Jaén no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es sede de la Universidad de Jaén (UJA), con su campus principal de Las Lagunillas en la propia capital y el Campus Científico-Tecnológico de Linares, y es el centro de gravedad de un ecosistema tecnológico único en Europa ligado al olivar: el Parque Científico y Tecnológico GEOLIT, situado en Mengíbar a unos quince kilómetros de la capital, especializado en olivar y aceite de oliva, agroalimentación y agroindustria, energías renovables y desarrollos TIC, bioeconomía y salud, que reúne ya 67 empresas y más de 1.500 empleados. Junto a GEOLIT opera la Fundación CITOLIVA (Centro de Innovación y Tecnología del Olivar y del Aceite de Oliva), constituida en 2002 con GEOLIT como patrono fundador, y el propio parque agrega la superficie experimental del CIFA «Venta del Llano», del IFAPA (Instituto de Investigación y Formación Agraria y Pesquera de Andalucía), sede de la Estación de Olivicultura y Elaiotecnia. Alrededor de ese núcleo tecnológico, la provincia concentra la mayor densidad de olivar del planeta —más de 60 millones de olivos, en torno al 20% de los olivos del mundo— y una producción anual que ronda las 600.000 toneladas de aceite, cerca del 25% de la producción española y hasta el 46% de la andaluza en las mejores campañas. Ese tejido agroindustrial y tecnológico ligado al aceite de oliva trabaja o aspira a trabajar con el sector público, y ahí el Esquema Nacional de Seguridad se convierte en un requisito ineludible.
Aunque la sede central de la Junta de Andalucía está en Sevilla, en Jaén la Junta mantiene actividad administrativa intensa a través de su Delegación del Gobierno en Jaén y de las delegaciones territoriales de sus distintas consejerías —Educación, Universidad, Investigación e Innovación; Agricultura, Pesca, Agua y Desarrollo Rural; Salud y Consumo; Fomento, Articulación del Territorio y Vivienda—, así como del Servicio Andaluz de Salud (SAS), que gestiona el Hospital Universitario de Jaén, centro de referencia provincial vinculado a la UJA para la formación de estudiantes de Ciencias de la Salud. La coordinación técnica del ENS dentro de la Junta corresponde a la Agencia Digital de Andalucía (ADA), que elabora los pliegos tipo de contratación TIC y gestiona sistemas con certificación de conformidad ENS. Todos ellos son organismos que gestionan sistemas de información sujetos al ENS y trasladan esa obligación a sus proveedores tecnológicos.
A ello se suman dos grandes organismos contratantes de base local: el Ayuntamiento de Jaén, con su propia agenda de administración electrónica y licitaciones de software, conectividad y ciberseguridad; y la Diputación Provincial de Jaén, que da soporte tecnológico a los 97 municipios de la provincia. La Universidad de Jaén (UJA) opera sistemas sensibles —expedientes académicos, plataformas de investigación, administración electrónica propia— y tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público. Alrededor de este ecosistema de administraciones, centros de investigación agroalimentaria y organismos sanitarios se ha desarrollado un tejido de empresas TIC y agrotech que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías, la Delegación del Gobierno en Jaén y el Servicio Andaluz de Salud exigen conformidad con el ENS, coordinada por la Agencia Digital de Andalucía. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Jaén y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Jaén y las empresas del Parque Científico y Tecnológico GEOLIT que colaboran con centros públicos de investigación del olivar están sujetas al ENS o lo trasladan a sus proveedores.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración andaluza.
Antes de arrancar el proyecto en Jaén conviene tener claro el marco completo: repasa la guía ENS completa y consulta el alcance del servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad alcanza a todo el sector público y, por relación contractual, a las empresas privadas que le prestan servicios. En Jaén y su provincia ese círculo incluye a bastantes más empresas de las que uno pensaría a primera vista.
Estos son algunos de los perfiles con los que más me cruzo en la zona:
El reloj de la disposición transitoria única del RD 311/2022 —24 meses para poner al día los sistemas preexistentes— ya paró el 5 de mayo de 2024, y cualquier sistema nuevo o con cambios significativos debe cumplir desde su primer día en producción. Si tu empresa jienense todavía no ha arrancado la adecuación, cada pliego que sale ahora en el perfil del contratante recorta un poco más la ventana para llegar a tiempo a la próxima licitación.
Sigo el orden que marcan las guías CCN-STIC: arranco por el diagnóstico y termino dejando lista la declaración de conformidad o la auditoría. La meta es que llegues a la conformidad sin atajos, con una documentación que resista la revisión de la Junta de Andalucía, el Ayuntamiento de Jaén, la Diputación Provincial o cualquier otro organismo que te esté contratando, y a tiempo del calendario de licitaciones que va marcando la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo la situación real de tu empresa con las exigencias del ENS y acoto qué sistemas de información entran en el alcance del proyecto. | Te entrego un informe de diagnóstico con la distancia que te separa del cumplimiento y las brechas que conviene resolver primero. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— para fijar la categoría: básica, media o alta. | Queda recogido en el Anexo I del ENS, que determina el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Recibes el informe de análisis de riesgos junto con el plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806, obtienes el plan de adecuación y la base de tu declaración de conformidad. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo paso a paso. | Quedan las evidencias de implantación, medida a medida, ya listas para la auditoría. |
| Fase 06 Conformidad final | Hago la revisión previa y la preparación final. En básica te apoyo con la declaración autoevaluada; en media o alta te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III, dejo preparada la conformidad; la certificación en media o alta la firma un tercero acreditado por ENAC, nunca yo. |
Nadie asigna la categoría de un sistema a ojo: sale de valorar qué ocurriría si un incidente afectase a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que alcance el nivel más alto.
Se aplica cuando un incidente causaría un perjuicio limitado a las funciones, activos o personas de la organización. Es la categoría más habitual entre los proveedores de servicios auxiliares en Jaén y su provincia.
Se activa cuando un incidente supondría un perjuicio grave: alguna dimensión llega al nivel medio. Es habitual en sistemas de gestión administrativa o en el tratamiento de datos sensibles.
Corresponde a los casos en los que un incidente causaría un perjuicio muy grave, incluso irreparable: alguna dimensión llega al nivel alto. Es propia de sistemas críticos o con datos especialmente sensibles.
Si tu sistema queda en básica, es tu propia empresa la que declara su conformidad, autoevaluándose frente a las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que esa declaración aguante cualquier revisión posterior de la Junta de Andalucía, el Ayuntamiento de Jaén o el organismo que te contrate.
Si tu categoría es media o alta, necesitas certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te dejo preparado para superarla con garantías; quien la emite es la entidad acreditada, nunca yo como consultor.
No te quedas con un PDF que nadie vuelve a abrir. Al cerrar el proyecto tienes en tus manos el cuerpo documental y técnico completo: el que pedirán el auditor, la Junta de Andalucía, el Ayuntamiento de Jaén, la Diputación Provincial o cualquier otro organismo contratante dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Opero desde mis bases en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y viajo hasta Jaén y el resto de Andalucía cuando el proyecto lo pide. He seguido de cerca cómo se mueve la licitación pública andaluza en la provincia: los tiempos, los pliegos y las exigencias habituales de organismos como la Junta de Andalucía, el Ayuntamiento de Jaén, la Diputación Provincial de Jaén, la Universidad de Jaén (UJA) o el Hospital Universitario de Jaén.
Entiendo el acompañamiento como algo personal, de tú a tú: no te entrego un manual y desaparezco. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, cuando cierro el proyecto, tu equipo ya sabe mantener la conformidad por sí mismo.
Soy claro sobre dónde llega mi trabajo: preparo y adecúo tu organización hasta dejarla lista para la conformidad; la certificación en categorías media o alta la firma una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Pymes tecnológicas instaladas en el Parque Científico y Tecnológico GEOLIT (Mengíbar) que prestan servicios de software, trazabilidad o análisis de datos a centros como la Fundación CITOLIVA o la Estación de Olivicultura y Elaiotecnia del IFAPA, y necesitan acreditar conformidad con el ENS para mantener o ampliar esos convenios. Suelen estar en categoría básica o media.
Integradoras y consultoras de Jaén o la provincia que prestan servicios de mantenimiento, ciberseguridad o soporte TIC al Ayuntamiento de Jaén, la Diputación Provincial de Jaén o la Universidad de Jaén (UJA), y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Proveedores TIC que dan soporte a sistemas de gestión clínica, cita previa o ciberseguridad del Hospital Universitario de Jaén (Servicio Andaluz de Salud), o que prestan servicios de gestión documental y sistemas a la Delegación del Gobierno de la Junta de Andalucía en Jaén y sus delegaciones territoriales.
No existe una tarifa única, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que inviertas depende del alcance del proyecto (cuántos sistemas entran), de la categoría que te corresponda —básica, media o alta—, de tu madurez de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Ten en cuenta que, en categoría media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC: es una factura aparte que emite directamente ese tercero al realizar la auditoría de conformidad.
Sí. La Junta de Andalucía, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, también a través de su Delegación del Gobierno en Jaén, de las delegaciones territoriales de sus consejerías y del Servicio Andaluz de Salud (SAS). La coordinación técnica corresponde a la Agencia Digital de Andalucía (ADA). Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Jaén (UJA), con su campus de Las Lagunillas en la capital y el Campus Científico-Tecnológico de Linares, es una institución pública universitaria que gestiona sistemas de información sujetos al ENS —expedientes académicos, plataformas de administración electrónica, sistemas de investigación—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Tanto el Ayuntamiento de Jaén como la Diputación Provincial de Jaén son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende de con quién contraten. Centros como la Fundación CITOLIVA (Centro de Innovación y Tecnología del Olivar y del Aceite de Oliva) o la Estación de Olivicultura y Elaiotecnia del IFAPA (Instituto de Investigación y Formación Agraria y Pesquera de Andalucía), integrada en el propio Parque Científico y Tecnológico GEOLIT, están vinculados a administraciones públicas y, en la medida en que gestionan sistemas de información del sector público, pueden trasladar la exigencia del ENS a las empresas que les prestan servicios TIC, de trazabilidad o de análisis de datos. Conviene revisar caso por caso el contrato y el sistema afectado antes de asumir automáticamente el requisito.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Andalucía, el Ayuntamiento de Jaén o la Diputación Provincial, lo que el pliego exige es el ENS.
Una primera conversación, sin coste ni compromiso, para repasar el alcance de tus sistemas, la categoría que previsiblemente te corresponde y la vía de contratación que persigues. Si el encaje es bueno, te llevas una propuesta cerrada; si no encajamos, sales igualmente con una orientación clara de por dónde empezar.