Soy Ángel Ortega Castro, consultor ENS independiente con presencia en Canarias. Acompaño a empresas de Las Palmas de Gran Canaria en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y prestar servicios al Gobierno de Canarias, al Cabildo de Gran Canaria y al Ayuntamiento capitalino con plenas garantías normativas.
Las Palmas de Gran Canaria concentra una densidad administrativa singular en el archipiélago. Aquí tienen sede o delegación organismos de los tres niveles de gobierno, y todos están obligados a adecuarse al Esquema Nacional de Seguridad en virtud del RD 311/2022 (BOE-A-2022-7191, de 3 de mayo). Esa obligación se extiende, de forma expresa, a la cadena de suministro: cualquier empresa privada que les preste servicios o soluciones con componente TIC debe demostrar conformidad con el ENS.
El Gobierno de Canarias tiene en Las Palmas de Gran Canaria numerosas consejerías, organismos autónomos y agencias dependientes, entre ellos el Servicio Canario de Salud, el Servicio Canario de Empleo y la Agencia Tributaria Canaria. Todos gestionan sistemas de información que procesan datos de millones de ciudadanos y que caen dentro del ámbito de aplicación del ENS. Cuando contratan servicios digitales —desarrollo de software, gestión de infraestructura, computación en la nube, soporte técnico o consultoría tecnológica—, los pliegos exigen a los proveedores acreditar su conformidad con el reglamento.
El Cabildo de Gran Canaria, corporación insular con competencias en carreteras, servicios sociales, turismo, medioambiente y promoción económica, es uno de los mayores contratantes públicos de la isla. Sus licitaciones TIC recogen con creciente frecuencia requisitos de conformidad ENS como condición de solvencia técnica. Lo mismo ocurre con el Ayuntamiento de Las Palmas de Gran Canaria, el municipio más poblado de Canarias, con entidades dependientes como EMALSA (agua y saneamiento) o Guaguas Municipales: cualquier proveedor que trate datos o gestione sistemas para estos organismos entra en el ámbito de obligatoriedad del ENS.
La Universidad de Las Palmas de Gran Canaria (ULPGC), institución pública con varios campus repartidos por la isla, también está sujeta al ENS en sus sistemas de información académicos, administrativos y de investigación. Las empresas de software o servicios tecnológicos que trabajan con la ULPGC deben, por tanto, considerar los requisitos ENS desde el inicio de cualquier proceso de contratación.
Consejerías, organismos autónomos y agencias con sede en Las Palmas. Sus proveedores TIC deben acreditar conformidad ENS.
Corporación insular con amplias competencias. Las licitaciones TIC incorporan requisitos ENS como criterio de solvencia técnica.
El municipio más poblado de Canarias, con empresas municipales propias. Sus proveedores están alcanzados por la cadena de suministro ENS.
Universidad pública sujeta al ENS. Las empresas de software y servicios que colaboran con la ULPGC entran en el ámbito de obligatoriedad.
Canarias no forma parte del territorio de aplicación del IVA de la Unión Europea. El impuesto indirecto vigente en el archipiélago es el IGIC (Impuesto General Indirecto Canario), regulado por la Ley 20/1991, con tipos generalmente inferiores a los del IVA peninsular. Esta singularidad del Régimen Económico y Fiscal (REF) de Canarias afecta a la facturación del servicio, pero en ningún caso a la obligación normativa.
El RD 311/2022 rige en todo el territorio nacional, incluidas las Islas Canarias, con idénticos requisitos técnicos y documentales. La categoría del sistema, las medidas del Anexo II y el proceso de conformidad son los mismos independientemente de dónde esté constituida la empresa. Lo que cambia es que, cuando trabajo con una empresa canaria, la factura de consultoría se emite con IGIC y no con IVA. Es un aspecto práctico y contable, no una diferencia de alcance normativo. También conviene tener en cuenta que algunas empresas acogidas a la Zona Especial Canaria (ZEC) que prestan servicios al sector público están igualmente obligadas al ENS en los sistemas afectados por esa relación contractual.
Mi consultoría ENS es exactamente la misma para empresas canarias que para las peninsulares: diagnóstico, categorización, análisis de riesgos (MAGERIT), plan de adecuación, declaración de aplicabilidad e implantación de medidas. La guía ENS completa recoge todos los pasos del proceso.
El proceso de adecuación sigue las fases del marco ENS y las guías CCN-STIC del Centro Criptológico Nacional. Cada fase produce un entregable que se apoya en el anterior. Trabajo contigo de principio a fin: no te entrego documentos y desaparezco.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Análisis diferencial entre tu situación actual y los requisitos del ENS. Definición del alcance y de los sistemas de información afectados, incluyendo los que prestan servicio a organismos canarios. | Informe de diagnóstico / análisis GAP con la distancia real al cumplimiento. |
| Fase 02 Categorización | Valoración de los sistemas en las cinco dimensiones de seguridad (CIDAT) y asignación de la categoría: básica, media o alta. | Anexo I del ENS. Determina la categoría aplicable en función del impacto potencial de un incidente. |
| Fase 03 Análisis de riesgos | Identificación de activos, amenazas y salvaguardas con metodología MAGERIT. | Informe de análisis de riesgos MAGERIT y plan de tratamiento del riesgo. |
| Fase 04 Plan de adecuación + DdA | Política de seguridad, selección de medidas y redacción de la Declaración de Aplicabilidad (DdA), justificando cada control aplicable. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Despliegue de las medidas del Anexo II: marco organizativo, operacional y de protección. Acompañamiento directo a tu equipo en Las Palmas. | Implantación de medidas del Anexo II con evidencias auditables. |
| Fase 06 Preparación para la conformidad | Revisión previa y acompañamiento durante el proceso de conformidad. En categoría media o alta, preparación para la auditoría de la entidad acreditada. | Anexo III. Yo preparo; la certificación la emite la entidad acreditada por ENAC. |
La categoría de un sistema se obtiene valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). La dimensión con mayor nivel determina la categoría del sistema. No es una estimación subjetiva: es el resultado del análisis técnico de cada sistema.
Cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización o las personas. Habitual en servicios digitales de menor criticidad.
Cuando un incidente supondría un perjuicio grave. Alguna dimensión alcanza el nivel medio.
Cuando un incidente causaría un perjuicio muy grave o irreparable. Alguna dimensión llega al nivel alto.
En categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada: la propia organización verifica el cumplimiento conforme a las guías CCN-STIC. Te preparo toda la documentación y las evidencias para que la declaración sea sólida y resistente a la revisión de cualquier organismo canario contratante.
En categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma ISO/IEC 17065:2012. Yo preparo tu organización para superarla; la certificación la emite la entidad acreditada, nunca el consultor. Esa es la honestidad que me caracteriza.
No te entrego un PDF que nadie vuelve a abrir. Te entrego el cuerpo documental y técnico que sostiene la conformidad y que el Cabildo, el Gobierno de Canarias o cualquier organismo del sector público canario necesita ver en los pliegos.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información, con presencia activa en Canarias. Acompaño a empresas de Las Palmas de Gran Canaria y Gran Canaria en su adecuación al Esquema Nacional de Seguridad para que puedan operar con plenas garantías en la contratación pública del archipiélago.
Entiendo el ecosistema administrativo canario: el Gobierno de Canarias, los Cabildos insulares y los grandes ayuntamientos tienen sus propias cadencias de licitación y sus propios requisitos de solvencia técnica. Mi trabajo consiste en traducir el RD 311/2022 a decisiones concretas para tu equipo y dejar la organización autónoma para mantener la conformidad cuando el proyecto termina.
Soy transparente con lo que puedo hacer y lo que no: preparo y adecúo tu organización para la conformidad; la certificación en categoría media o alta la emite una entidad acreditada por ENAC. Esa claridad desde el primer día es lo que distingue un acompañamiento honesto de una promesa sin respaldo.
Desarrolladores, integradores y proveedores SaaS que dan servicio a consejerías o agencias del Gobierno de Canarias y necesitan acreditar conformidad ENS para renovar o ampliar sus contratos públicos.
Organizaciones de Las Palmas que presentan ofertas al Cabildo de Gran Canaria, al Ayuntamiento capitalino o a sus entidades dependientes, y encuentran el ENS como requisito de solvencia técnica en los pliegos.
Compañías que desarrollan aplicaciones, gestionan infraestructura o prestan servicios de datos a la Universidad de Las Palmas de Gran Canaria y deben acreditar el cumplimiento ENS en los contratos vigentes o futuros.
No hay una cifra única, y desconfía de quien te la dé sin conocer tu caso. La inversión depende del alcance (cuántos sistemas), de la categoría (básica, media o alta), de tu madurez de partida y de si necesitas certificación acreditada o basta con la declaración de conformidad autoevaluada.
Recuerda que la factura de consultoría en Canarias se emite con IGIC (no IVA). En categoría media o alta, al honorario de consultoría hay que sumar el coste de la entidad certificadora acreditada por ENAC, que es independiente y lo factura el tercero que realiza la auditoría.
Sí, cuando los servicios o soluciones que ofrecen tienen componente TIC y forman parte de la cadena de suministro de esos organismos. El RD 311/2022 extiende la obligación ENS a los proveedores privados del sector público, con independencia de si el cliente es el Estado central, una comunidad autónoma, un cabildo insular o un ayuntamiento. El Cabildo de Gran Canaria y el Ayuntamiento de Las Palmas de Gran Canaria son sujetos obligados; sus proveedores heredan la obligación en los sistemas afectados.
Sí. La Universidad de Las Palmas de Gran Canaria es una entidad del sector público universitario y, como tal, está obligada al ENS en sus sistemas de información. Esa obligación se traslada a sus proveedores mediante los pliegos de contratación. Una empresa de software o servicios cloud que quiera trabajar con la ULPGC debe contemplar la adecuación al ENS como parte de su propuesta técnica.
Solo en la facturación. Canarias aplica el IGIC (Impuesto General Indirecto Canario) en lugar del IVA; cuando trabajo con una empresa radicada en el archipiélago, la factura del servicio se emite con IGIC. El proceso de adecuación al ENS —diagnóstico, categorización, análisis de riesgos, plan, implantación y conformidad— es idéntico al de cualquier empresa peninsular. El RD 311/2022 no hace distinción territorial.
Depende de la categoría del sistema. En categoría básica, la conformidad se acredita mediante una declaración autoevaluada que suscribe la propia organización. En categoría media o alta, la norma exige certificación emitida por una entidad acreditada por ENAC bajo la norma ISO/IEC 17065. Como consultor, te preparo para la conformidad en cualquiera de las dos vías; en categoría media/alta, la certificación la emite el tercero acreditado, no el consultor.
No existe una categoría fija: se determina valorando el impacto real de un incidente de seguridad sobre las cinco dimensiones CIDAT del sistema específico. Dicho esto, muchas empresas proveedoras de servicios digitales de menor criticidad (gestión documental, portales web, herramientas de productividad) encajan en categoría básica. Los sistemas que procesan datos sensibles de ciudadanos, gestionan infraestructura crítica o soportan funciones esenciales pueden llegar a media o alta. El diagnóstico inicial es el único modo riguroso de determinarlo.
Sí. La obligación ENS deriva de la relación contractual con el sector público, no de la ubicación geográfica del proveedor. Una empresa con sede en fuera de Canarias que preste servicios TIC al Gobierno de Canarias está igualmente alcanzada por el RD 311/2022. Lo que varía es solo la fiscalidad de la factura: si el cliente es canario y el servicio se entiende prestado en Canarias, pueden aplicarse las reglas del IGIC, que conviene revisar con tu asesor fiscal.
Primera llamada sin coste y sin compromiso. Valoramos tu alcance, tu categoría y los organismos canarios con los que trabajas o quieres trabajar, y te paso una propuesta cerrada. Si no encajamos, te llevas un diagnóstico inicial útil para empezar a cumplir el ENS.