Consultor ENS · Las Palmas de Gran Canaria · Archipiélago Canario
Consultor ENS en Las Palmas de Gran Canaria
Soy Ángel Ortega Castro y tengo sede en Las Palmas de Gran Canaria. Desde aquí acompaño a empresas del archipiélago —muchas acogidas al REF o a la ZEC— en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar con el Gobierno de Canarias, el Cabildo de Gran Canaria, el Ayuntamiento de Las Palmas, el Servicio Canario de Salud o la ULPGC sin que el ENS sea el cuello de botella de su oferta.
Las Palmas de Gran Canaria · barrio de Vegueta. Foto: Bengt Nyman from Vaxholm, Sweden · CC BY 2.0 · Wikimedia Commons
Por qué Canarias no es un caso más en el clúster ENS
Insularidad, REF, ZEC y un tejido público con reglas propias.
Las Palmas de Gran Canaria no es una capital más. Es el vértice de un archipiélago con un régimen fiscal propio —el Régimen Económico y Fiscal (REF) de Canarias, reconocido por el Derecho de la Unión Europea— y con una figura de incentivo empresarial sin equivalente en la Península: la Zona Especial Canaria (ZEC). Muchas empresas tecnológicas que operan desde Las Palmas están inscritas en el registro ZEC precisamente para atraer contratación tanto peninsular como europea. Esa singularidad crea un cruce que pocas consultoras ENS de fuera del archipiélago conocen de primera mano: una empresa ZEC que quiere licitar con el Gobierno de Canarias o con administraciones peninsulares está obligada al ENS exactamente igual que cualquier otra, pero su situación fiscal, su estructura contractual y el modo en que coordina equipos entre islas tienen matices que afectan al diseño del alcance y a la facturación del servicio.
El Gobierno de Canarias, a través de la Consejería de Administraciones Públicas, Justicia y Seguridad y de la Consejería de Sanidad, gestiona sistemas de información que procesan datos de más de dos millones de ciudadanos. El Servicio Canario de Salud (SCS) opera el Complejo Insular Materno-Infantil y el Hospital Dr. Negrín —los dos centros de referencia del área metropolitana de Las Palmas— con plataformas clínicas y de gestión de pacientes que obligan a sus proveedores TIC a acreditar conformidad ENS, habitualmente en categoría media por el carácter especialmente sensible de los datos de salud.
El Cabildo de Gran Canaria es la corporación insular con competencias en infraestructura viaria, servicios sociales, promoción económica, turismo y medioambiente. Es el segundo contratante público de referencia de la isla y en los últimos ejercicios ha incorporado el ENS como criterio de solvencia técnica en sus licitaciones de mayor cuantía. El Ayuntamiento de Las Palmas de Gran Canaria, el municipio más poblado del archipiélago, tiene entidades dependientes con licitaciones propias —entre ellas Emalsa (agua y saneamiento) y Guaguas Municipales— y el ENS aparece con creciente frecuencia en sus pliegos de prescripciones técnicas para servicios digitales.
La Universidad de Las Palmas de Gran Canaria (ULPGC), con su sede principal en el campus de San Cristóbal, es institución pública universitaria sujeta al ENS en sus sistemas de administración electrónica, gestión académica e investigación. Sus proveedores de software y plataformas cloud heredan esa obligación a través de los pliegos de contratación. A diferencia de lo que ocurre con la ISO 27001 —que la ULPGC puede valorar positivamente, pero que no sustituye al ENS cuando este es el estándar que exige el pliego—, la conformidad ENS es la única acreditación que satisface el requisito de solvencia técnica en los contratos sujetos al reglamento.
Finalmente, PROEXCA —Promotora del Comercio Exterior de Canarias y de Inversiones— y los organismos vinculados al fomento del ecosistema empresarial canario canalizan contratos de digitalización y de captación de inversión donde la conformidad ENS puede ser un diferencial competitivo frente a empresas que aún no han iniciado el proceso.
Gobierno de Canarias
Consejería de Administraciones Públicas y Consejería de Sanidad como principales demandantes de servicios TIC. Sus proveedores deben acreditar conformidad ENS en los pliegos.
Servicio Canario de Salud
Complejo Insular Materno-Infantil y Hospital Dr. Negrín como centros de referencia. Los ISV que dan servicio al SCS requieren habitualmente categoría media o alta por la sensibilidad de los datos clínicos.
Cabildo de Gran Canaria
Corporación insular con competencias amplias y licitaciones TIC de calado. El ENS ya figura como requisito de solvencia técnica en sus contratos de mayor envergadura.
ULPGC · campus San Cristóbal
Universidad pública sujeta al ENS. Los proveedores de plataformas académicas, administración electrónica e infraestructura cloud deben cumplir el reglamento para acceder a sus licitaciones.
Base legal: Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). Coordinado por el Centro Criptológico Nacional (CCN). Entidades certificadoras acreditadas por ENAC conforme a UNE-EN ISO/IEC 17065:2012. El REF de Canarias tiene reconocimiento en el TFUE como región ultraperiférica; la ZEC está regulada por la Ley 19/1994 de modificación del Régimen Económico y Fiscal de Canarias.
¿Tu empresa canaria entra en el ámbito del ENS?
Los perfiles del archipiélago más frecuentes en la adecuación.
El RD 311/2022 amplió el perímetro del ENS más allá de las administraciones: toda empresa privada que opere sistemas de información al servicio del sector público queda dentro del ámbito. En Canarias, eso incluye desde plataformas que dan soporte a los centros de salud del SCS hasta soluciones de gestión para los cabildos insulares, pasando por proveedores del Servicio Canario de Empleo o de la Agencia Tributaria Canaria. Antes de diseñar el alcance de la adecuación conviene mapear qué relaciones contractuales con la Administración tiene tu empresa y cuáles de tus sistemas participan en ellas.
Los sectores que más solicitan adecuación ENS en el archipiélago canario responden a la estructura económica e institucional de las islas. Estos son los perfiles que aparecen con mayor frecuencia en los pliegos del Gobierno de Canarias, los cabildos insulares y los ayuntamientos capitalinos:
Empresas TIC inscritas en el registro ZEC que dan servicio a organismos del Gobierno de Canarias, el Cabildo de Gran Canaria o el Ayuntamiento de Las Palmas de Gran Canaria, y necesitan acreditar el ENS para mantener o ampliar sus contratos públicos. La inscripción ZEC no exime del ENS: la obligación nace de la relación contractual con el sector público, no del régimen fiscal de la empresa.
Proveedores del Servicio Canario de Salud que desarrollan o mantienen aplicaciones clínicas, sistemas de historia médica, plataformas de telemedicina o infraestructura para el Hospital Dr. Negrín o el Complejo Insular Materno-Infantil. La naturaleza de los datos de salud sitúa habitualmente la dimensión de confidencialidad en nivel medio o alto, lo que exige certificación por entidad acreditada por ENAC.
ISV o consultoras tecnológicas que trabajan con la ULPGC en plataformas de docencia virtual, administración electrónica del campus de San Cristóbal o gestión de la investigación. La universidad traslada la obligación ENS a sus proveedores mediante los pliegos; la categoría depende del tipo de sistema y del nivel de impacto de un posible incidente.
Empresas del sector turístico-tecnológico —cadenas hoteleras que operan sus propias plataformas de gestión de reservas o soluciones digitales y las ofrecen a organismos públicos de promoción turística del archipiélago— que han descubierto que el ENS aparece en sus pliegos de digitalización turística pública.
Consultoras o integradores peninsulares que abren delegación en Las Palmas para captar contratos insulares con el Gobierno de Canarias o el Cabildo. La apertura de sede no genera por sí sola la obligación, pero sí la relación contractual que la apertura tiene como objetivo: hay que dimensionar bien el alcance desde el primer día, antes de presentar oferta a ningún pliego canario.
El plazo transitorio que el RD 311/2022 concedió a los sistemas preexistentes venció el 5 de mayo de 2024. Desde esa fecha, los contratos TIC del Gobierno de Canarias, los cabildos de Gran Canaria y Tenerife y el SCS pueden exigir conformidad EN VIGOR como criterio de solvencia técnica; alegar que "el proceso está en marcha" ya no detiene la descalificación. Si tu empresa no ha iniciado la adecuación, el primer movimiento es una consultoría ENS que mida exactamente dónde estás: la guía completa del ENS orienta el proceso de principio a fin.
El ENS en la contratación pública canaria
Pliegos del Gobierno de Canarias, el Cabildo y el SCS que ya exigen conformidad.
El ENS llega a la empresa en forma de cláusula de solvencia técnica o de prescripción obligatoria en el pliego. En Canarias los encuentras en el perfil del contratante del Gobierno de Canarias, en las plataformas de los cabildos insulares y en la Plataforma de Contratación del Sector Público estatal. Los contratos TIC que superan los umbrales de publicidad europeos —frecuentes en proyectos del SCS o de la Consejería de Educación— suelen incluir ya el ENS como requisito de admisión, no como criterio de valoración.
A modo de referencia —sin ser una lista exhaustiva ni una garantía de contratos activos en este momento—, los tipos de expedientes donde el requisito ENS aparece con regularidad en el ámbito canario incluyen:
Contratos de mantenimiento y evolución de sistemas de información del Gobierno de Canarias (Consejería de Administraciones Públicas, Consejería de Sanidad). Los pliegos de este tipo de contratos establecen que el adjudicatario debe acreditar conformidad con el Anexo II del ENS para los sistemas afectados por la relación contractual. Búscalos en la Plataforma de Contratación del Gobierno de Canarias filtrando por la consejería contratante y la materia "tecnologías de la información".
Expedientes del Cabildo de Gran Canaria para digitalización de servicios insulares, infraestructura de red y sistemas de gestión de servicios sociales y turismo. El Cabildo ha incorporado en sus pliegos más recientes la exigencia de conformidad ENS como criterio de admisión o de solvencia técnica. Consulta el perfil del contratante del Cabildo en la Plataforma de Contratación del Sector Público filtrando por órgano de contratación.
Contratos del Servicio Canario de Salud para historia clínica electrónica, sistemas de imagen médica y plataformas de gestión de pacientes del Hospital Dr. Negrín y el Complejo Insular Materno-Infantil. La naturaleza de los datos de salud implica que los pliegos exigen acreditación de categoría ENS media o alta, lo que requiere certificación por entidad acreditada por ENAC, no simple declaración autoevaluada. Si tu empresa opera en el sector sanitario tecnológico canario, la acreditación ENS no es opcional: es la puerta de entrada a la mayor parte de los contratos del SCS.
Si tu empresa opera —o quiere operar— en alguno de estos sectores en las islas y aún no tiene la adecuación en marcha, lo primero que necesitas es saber cuántas medidas del Anexo II te faltan y cuánto peso tiene cada brecha. Eso es lo que resolvemos en la primera llamada, que no tiene coste: reserva aquí.
De la categorización a la conformidad documentada
Cómo trabajo contigo, desde el diagnóstico hasta el cierre.
Las guías CCN-STIC del Centro Criptológico Nacional son el marco técnico que usan tanto el Gobierno de Canarias como el SCS y los cabildos para evaluar los expedientes de proveedores. El itinerario que aplico está alineado con esas guías, y cada entregable se construye sobre los activos, decisiones y evidencias reales de tu empresa: un auditor del Cabildo de Gran Canaria que revise la declaración de conformidad encontrará los mismos documentos que se describen en el pliego, no un modelo genérico con el nombre de tu empresa pegado encima.
Itinerario de adecuación ENS · fases y entregables · Las Palmas de Gran Canaria
Fase
En qué consiste
Qué obtienes
Fase 01 Análisis GAP
Mapeo los sistemas de información en alcance y contrasto su estado real frente a los controles del Anexo II del RD 311/2022. Priorizo las brechas según su peso sobre la categoría y sobre el tipo de contratante canario al que te quieres presentar.
Informe de brechas que muestra qué falta, qué impacto tiene cada carencia y en qué orden táctico conviene cerrarlas para llegar antes a la conformidad.
Fase 02 Categorización
Aplico las cinco dimensiones CIDAT a cada sistema dentro del alcance. Para los proveedores del SCS, la dimensión de confidencialidad suele marcar la categoría; para los del Cabildo o el Gobierno de Canarias, frecuentemente es la disponibilidad o la integridad.
Acta de categorización elaborada conforme al Anexo I del RD 311/2022, lista para incorporarse al expediente de licitación ante el organismo canario correspondiente.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y vulnerabilidades con metodología MAGERIT v3, calculando el riesgo residual de cada activo crítico. Para empresas con sede o infraestructura en Canarias, incluyo en el análisis los riesgos propios de la conectividad insular y de la distribución de activos entre islas.
Informe MAGERIT con el mapa de riesgos y el plan de tratamiento; las salvaguardas se ordenan por coste-eficacia teniendo en cuenta las particularidades del entorno tecnológico canario.
Fase 04 Política y DdA
Elaboro la política de seguridad ajustada a la realidad operativa de tu empresa y construyo la Declaración de Aplicabilidad (DdA): cada medida del Anexo II queda justificada como aplicable, excluida o diferida, con la argumentación que exige el auditor.
Política de seguridad firmable por la dirección y DdA completa para presentar en la licitación o ante la entidad que certifique en categoría media o alta.
Fase 05 Implantación
Trabajo con tu equipo en la ejecución concreta de las medidas: controles técnicos, procedimientos operativos y protecciones físicas y lógicas. Las sesiones de trabajo pueden ser presenciales en Las Palmas o remotas; cuando el proyecto requiere presencia en otra isla, se planifica para no afectar al calendario.
Evidencias de implantación medida por medida —registros, configuraciones, actas—, reunidas en el expediente de conformidad.
Fase 06 Conformidad final
Revisión final del expediente antes del cierre: en categoría básica verifico que la declaración autoevaluada esté respaldada por todas las evidencias requeridas; en media o alta estructuro el dosier que entregará la entidad acreditada y coordino el calendario de auditoría.
Expediente cerrado listo para su uso: declaración de conformidad con todas sus evidencias en categoría básica, o dosier completo para la auditoría de la entidad acreditada en categoría media o alta. El certificado lo emite y firma únicamente la entidad acreditada.
Qué categoría corresponde a tu empresa en Canarias
Básica, media o alta: cómo se determina en el archipiélago.
La categoría no es una decisión libre: resulta del análisis de impacto sobre los cinco atributos CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) de cada sistema dentro del alcance. En Canarias, el tipo de cliente público y la naturaleza del servicio que prestes determinan casi siempre la categoría antes de abrir el Anexo I del RD 311/2022: un sistema que toca datos sanitarios del SCS raramente queda en básica, mientras que una plataforma de gestión documental para un ayuntamiento mediano suele mantenerse en ese nivel. La tabla siguiente resume lo que se ve con más frecuencia en el archipiélago.
Categoría básica
Impacto limitado
La más frecuente en empresas TIC canarias que dan soporte a trámites administrativos del Cabildo, portales de transparencia del Ayuntamiento de Las Palmas o herramientas de gestión interna del Gobierno de Canarias de baja criticidad.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita con declaración de conformidad autoevaluada
El volumen de medidas es asumible para una pyme de 10-50 personas
Categoría media
Impacto grave
Habitual en plataformas que acceden a datos clínicos del SCS, en sistemas que gestionan subvenciones o expedientes con datos de ciudadanos de la Consejería de Administraciones Públicas, y en las soluciones académicas de la ULPGC con expedientes de alumnos.
Al menos una dimensión llega al nivel medio
La conformidad exige certificación por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Reservada a sistemas cuyo fallo tendría consecuencias irreparables. En Canarias aparece en infraestructuras críticas del SCS de alta disponibilidad —sistemas de urgencias, UCI— o en servicios esenciales de telecomunicaciones con componente público.
Al menos una dimensión alcanza el nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Las dos vías hacia la conformidad
Básica → declaración de conformidad autoevaluada
En categoría básica, tu empresa acredita la conformidad con una declaración propia firmada por el responsable de seguridad, respaldada por la documentación y las evidencias de implantación que preparo según las guías CCN-STIC. La Consejería de Hacienda del Gobierno de Canarias, el Cabildo de Gran Canaria o cualquier ayuntamiento del archipiélago puede requerir esa declaración en cualquier fase de la licitación o durante la ejecución del contrato. El expediente ha de estar en condiciones de superar esa revisión sin que sea necesario añadir ni un solo documento a posteriori.
Media / alta → certificación acreditada por ENAC
Cuando el sistema procesa datos de salud del SCS o gestiona infraestructuras del Gobierno de Canarias clasificadas en categoría media o alta, la declaración propia no es suficiente: la norma exige certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. En esa situación, construyo contigo todo el expediente documental —política de seguridad, análisis de riesgos MAGERIT, plan de adecuación, evidencias por medida— y te acompaño durante el proceso de auditoría. El certificado lo firma siempre la entidad acreditada, que es quien tiene capacidad jurídica para hacerlo; mi función es que llegues a esa auditoría sin fisuras en el expediente.
Lo que te llevas cuando terminamos
Un expediente de conformidad que aguanta la revisión del Gobierno de Canarias.
Lo que entrego no es un paquete de documentos prefabricados: cada análisis, cada política y cada plan de adecuación parte de los activos, los contratos y las decisiones concretas de tu empresa en Canarias. Si el auditor de la entidad acreditada pide las evidencias de implantación de la medida mp.info.3, las encuentra en el expediente. Si la mesa de contratación del SCS revisa la declaración de conformidad, encuentra los sistemas reales incluidos en el alcance, no una descripción genérica.
Informe GAP inicial: estado real de cada control del Anexo II frente a lo que tiene tu empresa hoy, con la brecha ordenada por prioridad y estimación de esfuerzo.
Acta de categorización ENS: evaluación de las cinco dimensiones CIDAT para cada sistema en alcance, con la categoría resultante documentada conforme al Anexo I del RD 311/2022 y lista para adjuntarse a la oferta.
Informe MAGERIT v3: inventario de activos, catálogo de amenazas con adaptaciones al entorno insular canario, cálculo del riesgo residual por activo crítico y plan de tratamiento ordenado por coste-impacto.
Política de seguridad firmada por dirección más toda la normativa de segundo nivel —procedimientos, instrucciones técnicas— que el ENS exige para sustentar el marco organizativo.
Plan de implantación estructurado conforme a la guía CCN-STIC 806: hitos, responsables asignados, fechas y criterios de cierre de cada medida, pensado para que tu equipo en Las Palmas pueda ejecutarlo sin depender del consultor para cada paso.
Declaración de Aplicabilidad (DdA): cada medida del Anexo II justificada individualmente como incluida o excluida del alcance, con el razonamiento que pedirá el auditor o la mesa de contratación canaria.
Paquete de evidencias por medida: registros, configuraciones, actas de sesiones formativas y cualquier prueba de ejecución que demuestre que cada control está implantado y no solo documentado.
Cierre del expediente: declaración de conformidad con todos sus soportes en categoría básica, o dosier preparado para la entidad certificadora acreditada por ENAC en categoría media o alta, con coordinación de fechas de auditoría incluida.
Ángel Ortega Castro consultor ENS · Las Palmas de Gran Canaria
Por qué trabajar conmigo desde Las Palmas
Sede en el archipiélago, conocimiento del REF y sin coste de vuelo.
Me llamo Ángel Ortega Castro y tengo una de mis dos sedes en Las Palmas de Gran Canaria. La otra está en Valladolid, desde donde coordino los proyectos que necesitan interlocución simultánea en la Península y en el archipiélago. Esa doble presencia no es una oficina virtual: es la diferencia entre un consultor que vuela dos veces para reuniones que podría hacer presencialmente desde aquí, y uno que puede arrancar el análisis de riesgos la misma semana en tu sede de Las Palmas sin que el desplazamiento encarezca el proyecto.
Conozco el ecosistema específico del archipiélago: el funcionamiento de la Zona Especial Canaria (ZEC) y su impacto en la facturación del servicio con IGIC en lugar de IVA, las cadencias reales de licitación del Gobierno de Canarias y el Cabildo de Gran Canaria, y los requisitos particulares del Servicio Canario de Salud para sus proveedores de sistemas clínicos. Entiendo también la dificultad de coordinar infraestructuras y equipos distribuidos entre islas cuando el alcance ENS afecta a sistemas en Gran Canaria, Tenerife o ambas capitales a la vez.
Digo desde el primer contacto qué entra dentro de lo que hago y qué no: preparo tu expediente, te acompaño en la implantación y te llevo hasta la puerta de la auditoría; el certificado que firma una entidad acreditada por ENAC es suyo, no mío, y así lo explico desde el primer día. Una empresa tecnológica que licita con el Gobierno de Canarias no necesita que el consultor le infle las expectativas; necesita que el expediente sea sólido y que la auditoría no devuelva no conformidades mayores.
Sede física en Las Palmas de Gran CanariaConocimiento del REF y la ZEC canariaRD 311/2022 · Anexos I-IVMAGERIT v3 · análisis de riesgosGuías CCN-STICCoordinación Canarias · Península sin fricción
Escenarios que acompaño con frecuencia en Las Palmas
Tres perfiles canarios que reconocerás si eres de aquí.
TIC · ZEC/REF · Gobierno de Canarias y administraciones peninsulares
Empresa TIC acogida a ZEC que quiere licitar con la CAM y con el Gobierno de Canarias.
Integradora o desarrolladora inscrita en el registro ZEC que tiene como objetivo ganar contratos tanto con administraciones del archipiélago como con organismos de la Administración General del Estado o comunidades autónomas peninsulares. La inscripción ZEC genera ventajas fiscales, pero no exime del ENS: el alcance debe diseñarse para cubrir ambos entornos de contratación con un único expediente de conformidad que evite duplicar el trabajo documental.
ISV sanitario · Servicio Canario de Salud · Hospital Dr. Negrín
ISV que da servicio al Servicio Canario de Salud o a los cabildos insulares.
Empresa de software clínico, sistemas de historia clínica digital o plataformas de teleconsulta que quiere operar en el Hospital Dr. Negrín, el Complejo Hospitalario Universitario Insular Materno-Infantil o la red de centros de salud del SCS repartida por las ocho islas. El tratamiento de datos de salud desplaza la categoría hacia media o alta, lo que obliga a certificación por entidad acreditada por ENAC. El eje sobre el que el auditor aprieta más es la tríada confidencialidad-disponibilidad-integridad: cualquier interrupción de servicio o filtración en un entorno sanitario tiene impacto directo en la seguridad del paciente, y el expediente debe demostrar que se han cubierto las medidas de ese estrato sin atajos.
Consultora tecnológica peninsular que abre delegación en Las Palmas para captar contratos insulares.
Empresa con sede central en Madrid, Barcelona o Valencia que decide abrir oficina en Las Palmas para acercarse al mercado público canario. La apertura de delegación no genera por sí sola la obligación ENS, pero los contratos que esa apertura persigue sí lo hacen. Diseñamos el alcance desde la estructura real de la empresa —incluyendo los sistemas que ya operan en la Península y los que se van a gestionar desde la nueva sede— para que la adecuación cubra todos los sistemas relevantes sin sobredimensionar el expediente.
Inversión, sin sorpresas
¿Cuánto cuesta adecuarse al ENS desde Las Palmas?
Cuatro variables determinan lo que cuesta la adecuación: cuántos sistemas de información entran en el alcance, qué categoría ENS les corresponde, cuánta distancia hay entre tu situación actual y las medidas obligatorias del Anexo II, y si el contrato exige declaración de conformidad o certificación por entidad acreditada. Una empresa tecnológica de Las Palmas con un único sistema en categoría básica y una base de seguridad razonable tiene un proyecto muy distinto al de un proveedor del SCS con tres aplicaciones en categoría media. Sin esas cuatro variables sobre la mesa, cualquier cifra que te ofrezcan carece de fundamento técnico.
Presupuesto cerrado tras el diagnóstico GAPSin sorpresas · sin ampliaciones de alcance no previstas
Al contratar los servicios en Canarias se aplica IGIC (Impuesto General Indirecto Canario) en lugar del IVA peninsular —uno de los beneficios prácticos del Régimen Económico y Fiscal canario que reduce el coste fiscal de la consultoría—. En proyectos de categoría media o alta hay que contemplar dos partidas separadas: los honorarios de la consultoría y el coste de la auditoría de conformidad que factura la entidad acreditada por ENAC que realizará la certificación; esa segunda partida la emite un tercero independiente y su importe varía según el número de días de auditoría y la complejidad del alcance.
La primera llamada —o reunión presencial en Las Palmas si lo prefieres— es gratuita. En ella revisamos el alcance de tus sistemas, la categoría probable y el tipo de contratación pública que tienes en el horizonte. Si encajamos, te preparo una propuesta cerrada; si no, te llevas igualmente orientación clara para arrancar por tu cuenta.
Dudas concretas sobre el ENS en el contexto canario.
¿Cómo aplica el ENS a una empresa acogida a ZEC que opera desde Las Palmas con clientes públicos peninsulares?+
La inscripción en el registro de la Zona Especial Canaria (ZEC) no exime del Esquema Nacional de Seguridad. La obligación ENS nace de la relación contractual con el sector público —ya sea el Gobierno de Canarias, un ministerio o cualquier administración peninsular—, no del régimen fiscal de la empresa. Una ZEC que da servicio a, por ejemplo, la Agencia Estatal de Administración Tributaria o a una comunidad autónoma peninsular está alcanzada por el RD 311/2022 exactamente igual que una empresa no acogida a la ZEC.
Lo que sí cambia es la facturación del servicio de consultoría: al estar la empresa constituida en Canarias bajo el régimen ZEC, la factura se emite con IGIC en lugar de IVA. El diseño del alcance ENS debe cubrir los sistemas que soportan tanto los contratos insulares como los peninsulares, y conviene hacerlo desde el principio para evitar que la empresa necesite dos expedientes de conformidad paralelos. En la primera llamada revisamos tu estructura contractual y diseñamos el alcance más eficiente.
¿Hay auditores ENAC físicos en Canarias o hay que traer al auditor desde la Península?+
Las entidades de certificación acreditadas por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012 para el ENS operan mayoritariamente desde la Península —Madrid, Barcelona, Valencia—. Eso significa que, en la práctica, la mayor parte de las auditorías de conformidad ENS que se realizan en Canarias implican el desplazamiento del auditor desde la Península o, cada vez más, una combinación de revisión documental en remoto y visita presencial puntual para verificar controles de infraestructura física que no pueden auditarse a distancia.
Mi trabajo consiste en preparar el expediente con tal nivel de detalle y organización que la jornada presencial del auditor sea lo más corta y eficiente posible: menos días de viaje para el auditor equivalen a un coste menor de la auditoría para tu empresa. La metodología de adecuación que aplico está diseñada para que el expediente hable por sí solo antes de que el auditor aterrice en Las Palmas.
¿Cómo se coordina el ENS entre Las Palmas y Tenerife si mi empresa tiene sede en ambas capitales?+
Cuando una empresa tiene infraestructura o equipos distribuidos entre Las Palmas de Gran Canaria y Santa Cruz de Tenerife, el diseño del alcance ENS debe cubrir los sistemas de ambas sedes que estén dentro del perímetro contractual afectado. En la práctica, esto significa inventariar los activos de información en cada sede, identificar si hay interdependencias entre los sistemas de ambas capitales y categorizar el conjunto con coherencia.
Lo habitual en estos casos es que el análisis de riesgos incluya la conectividad entre sedes —especialmente si hay datos que viajan entre islas a través de redes no controladas— y que el plan de adecuación contemple medidas aplicables a ambas ubicaciones. Al tener sede en Las Palmas, puedo hacer la fase de inventario de activos presencialmente en Gran Canaria, y para la sede de Tenerife trabajamos en remoto o coordinamos una visita puntual. Si tienes necesidades ENS también en Tenerife, te recomiendo leer la página de consultor ENS en Tenerife como complemento.
¿El Gobierno de Canarias acepta declaración de conformidad para servicios TIC del ámbito insular?+
Sí, en categoría básica. La Consejería de Administraciones Públicas del Gobierno de Canarias y el resto de los organismos autonómicos aceptan la declaración de conformidad autoevaluada cuando el sistema de información afectado está categorizado como básico conforme al Anexo I del RD 311/2022. La empresa proveedora debe aportar la documentación —análisis GAP, categorización, análisis de riesgos, política de seguridad, DdA y evidencias de implantación— para respaldar esa declaración. El órgano contratante puede revisar esa documentación en cualquier momento del proceso de licitación o durante la ejecución del contrato.
En categoría media o alta —que es la habitual para proveedores del Servicio Canario de Salud o de sistemas con datos especialmente sensibles del Gobierno de Canarias— la declaración autoevaluada no es suficiente: se exige certificación por entidad acreditada por ENAC. Si desconoces tu categoría, el análisis de categorización del diagnóstico inicial lo determina con precisión. La primera llamada es gratuita.
¿La ULPGC exige ENS a los proveedores SaaS o basta con ISO 27001?+
Cuando la Universidad de Las Palmas de Gran Canaria incluye el ENS como requisito de solvencia técnica en un pliego, la certificación ISO 27001 no lo sustituye. Son marcos diferentes: la ISO 27001 es un estándar internacional de gestión de seguridad de la información, voluntario y de alcance amplio; el ENS es un reglamento de obligado cumplimiento para quien opera sistemas de información del sector público español, con controles específicos recogidos en el Anexo II del RD 311/2022. Tener la ISO 27001 implantada acelera significativamente la adecuación al ENS —la política de seguridad, el análisis de riesgos y muchas evidencias se reutilizan con adaptaciones—, pero el pliego de la ULPGC que exija ENS no puede satisfacerse solo con el certificado ISO.
Dicho esto, no todos los contratos de la ULPGC exigen ENS: depende del tipo de sistema y del nivel de impacto. Si tienes dudas sobre si el pliego concreto al que vas a concurrir exige ENS, ISO 27001 o ambos, la forma más rápida de resolverlo es leer el pliego de prescripciones técnicas con atención y, si hay ambigüedad, consultar directamente a la unidad de contratación de la universidad antes de presentar oferta.
¿En cuánto tiempo puede una pyme canaria obtener la declaración de conformidad ENS en categoría básica?+
Para una empresa tecnológica de Las Palmas con uno o dos sistemas dentro del alcance y categoría básica, el proceso completo —desde el diagnóstico inicial de brechas hasta la declaración de conformidad firmada y lista para presentar— suele completarse en diez a catorce semanas en el contexto canario. El ritmo lo marca sobre todo la disponibilidad del equipo técnico y de dirección para las sesiones de trabajo y la validación de evidencias; el tiempo de viaje del consultor entre isla e isla, cuando el proyecto requiere presencia física en Tenerife o en otra isla, se planifica de antemano para no introducir esperas innecesarias. Los proyectos en categoría media o alta añaden la agenda de la entidad certificadora, que puede extender el plazo total en cuatro a seis semanas adicionales.
Empresas que parten con cierta madurez en seguridad —copias de seguridad documentadas, registro de usuarios y accesos, algún procedimiento de incidentes formalizado— pueden completar el proceso en menos tiempo. Las que parten de cero en documentación deben contar con al menos tres meses como margen realista. Al tener sede en Las Palmas, puedo hacer sesiones de trabajo presenciales que aceleran las fases de inventario y de revisión de evidencias sin los tiempos muertos de la coordinación remota. En la primera llamada estimamos el plazo concreto para tu situación.
Agenda una primera llamada gratuita —o, si lo prefieres, una reunión en tu oficina de Las Palmas sin coste de desplazamiento— para analizar qué contratos con el sector público canario tienes en el horizonte, qué sistemas de información participan en ellos y qué categoría ENS les corresponde. En treinta minutos sabrás si tu empresa necesita un proyecto de adecuación ahora, en cuánto tiempo puede estar lista y qué te va a costar aproximadamente. Si tras esa conversación tiene sentido trabajar juntos, te envío una propuesta con alcance, precio y plazo cerrados. Si no encajamos, te marchas con una visión clara de los pasos que tienes que dar y en qué orden.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Canarias: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
