Soy Ángel Ortega Castro, consultor ENS independiente. Acompaño a empresas que quieren trabajar con la Diputación de León, el Ayuntamiento de León y la Universidad de León (ULE) en su adecuación al Esquema Nacional de Seguridad. Sin atajos, sin jerga vacía: del diagnóstico al cumplimiento.
León cuenta con tres grandes instituciones públicas que generan un volumen relevante de contratación tecnológica: la Diputación Provincial de León, que presta servicios digitales y de gestión a más de 200 municipios de la provincia y promueve el turismo y el desarrollo rural desde su infraestructura TIC; el Ayuntamiento de León, que opera su Sede Electrónica, tramita procedimientos administrativos en línea y ha avanzado en su agenda de ciudad digital; y la Universidad de León (ULE), institución pública con más de 10.000 estudiantes que gestiona datos académicos, de investigación y de personal de alto valor, y que contrata servicios de software, alojamiento y soporte técnico de forma periódica. Los tres organismos actúan como administraciones públicas a todos los efectos del Real Decreto 311/2022 (BOE-A-2022-7191), de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
La clave para las empresas no es solo cumplir la norma directamente: es entender que el ENS alcanza a la cadena de suministro. El RD 311/2022 extiende la obligación de adecuación al ENS a las organizaciones privadas que prestan servicios o soluciones al sector público por vía contractual. Una empresa de desarrollo de software que sirve a la Diputación de León, un proveedor de servicios gestionados de ciberseguridad para el Ayuntamiento o un integrador de sistemas para la ULE son tan destinatarios de esta norma como las propias administraciones.
La Diputación de León publica contratos de servicios TIC, gestión documental y transformación digital. La conformidad ENS es cada vez más un requisito de solvencia técnica en sus pliegos.
El Ayuntamiento de León gestiona trámites sensibles de ciudadanos a través de su administración electrónica. Sus proveedores de plataforma y soporte deben acreditar medidas de seguridad proporcionales al riesgo.
La Universidad de León (ULE) trata datos de investigación, expedientes académicos y contratos de personal protegidos por el RGPD. Las empresas que le ofrecen servicios tecnológicos deben demostrar una base de seguridad equivalente a la exigida por el ENS.
El plazo transitorio del RD 311/2022 para los sistemas preexistentes finalizó el 5 de mayo de 2024. No hay margen de espera: la obligación es exigible hoy en cualquier licitación pública en León.
Las empresas leonesas o aquellas que operan en la provincia y aspiran a contratar con la administración local se enfrentan a un escenario en el que la seguridad de la información ha dejado de ser un criterio optativo. Los pliegos de la Diputación de León, del Ayuntamiento de León y de la ULE incorporan con creciente frecuencia la conformidad con el ENS como condición de acceso o como criterio de valoración técnica. No acreditar esa conformidad equivale a quedar fuera del proceso de selección antes de que se abra ningún sobre.
La adecuación, además, no solo sirve para licitar. Demuestra a cualquier cliente —público o privado— que tu organización gestiona la información con rigor y que los datos que te confían están bajo un marco de seguridad reconocido. Eso es un argumento diferenciador que va más allá del cumplimiento estricto. La consultoría ENS que ofrezco cubre todo el proceso: del diagnóstico inicial a la entrega de evidencias listas para el auditor. Si quieres una visión panorámica del marco normativo, la guía ENS es el mejor punto de partida.
La categoría del sistema no se elige: se calcula valorando el impacto que tendría un incidente de seguridad sobre las cinco dimensiones CIDAT —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—. La dimensión con mayor nivel marca la categoría del conjunto. Para los proveedores de las administraciones leonesas, la categoría básica es la más habitual cuando los datos gestionados son de impacto limitado; los sistemas que tratan información más sensible pueden alcanzar el nivel medio.
Un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas.
Alguna dimensión alcanza el nivel medio: el impacto de un incidente sería grave para la organización o las personas.
Un incidente causaría un perjuicio muy grave o irreparable: alguna dimensión alcanza el nivel alto.
En categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada. La organización verifica el cumplimiento conforme a las guías CCN-STIC y formaliza la declaración. Preparo toda la documentación y las evidencias para que esa declaración sea sólida y supere el escrutinio del comprador público leonés.
En categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo preparo tu organización para superarla; la certificación la emite la entidad acreditada, que es independiente del consultor.
El trabajo no termina con un informe genérico. Cada entregable responde a un requisito concreto del RD 311/2022 y sus Anexos, y está diseñado para resistir la revisión del comprador público o de la entidad certificadora.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Acompaño a empresas que quieren prestar servicios a la administración pública —incluyendo la Diputación de León, el Ayuntamiento de León y la Universidad de León— en su adecuación al Esquema Nacional de Seguridad (RD 311/2022).
Mi trabajo es de acompañamiento real: entiendo tu negocio antes de abrir ningún Anexo, traduzco la norma en decisiones concretas y dejo a tu equipo preparado para mantener la conformidad de forma autónoma cuando el proyecto termina. No desaparezco tras la primera entrega.
Soy transparente con lo que puedo y no puedo prometer: preparo y adecúo tu organización; la certificación la emite una entidad acreditada por ENAC. Esa franqueza, combinada con el rigor en la aplicación del RD 311/2022 y las guías CCN-STIC, es lo que distingue este servicio de las consultoras que venden sello sin acompañar el proceso.
Integradores y consultoras TIC que prestan servicios de administración electrónica, gestión documental o infraestructura a la Diputación Provincial de León y a los municipios a los que esta da cobertura. La conformidad ENS es la llave que abre estos contratos.
Compañías que ofrecen plataformas de tramitación, soluciones de identidad digital o servicios de seguridad gestionada al Consistorio leonés. El Ayuntamiento exige garantías de seguridad a quienes acceden a sus sistemas y a los datos de sus ciudadanos.
Firmas de software, alojamiento o analítica de datos contratadas por la Universidad de León (ULE). La ULE trata información sensible de estudiantes, investigadores y personal, y traslada sus obligaciones de seguridad a los proveedores con los que colabora.
No hay una cifra única ni válida sin conocer tu caso. La inversión depende del alcance del sistema, de la categoría resultante (básica, media o alta), de tu madurez de partida en seguridad y de si la conformidad requiere únicamente declaración o también certificación acreditada.
En categoría media o alta, al coste de la consultoría se suma el coste de la entidad certificadora acreditada por ENAC, que es independiente de mis honorarios y lo factura el tercero que realiza la auditoría de conformidad.
Los organismos que actúan como administración pública —entre ellos la Diputación Provincial de León, el Ayuntamiento de León y la Universidad de León (ULE)— están obligados a aplicar el ENS y, por extensión, a exigir conformidad con el ENS a las empresas privadas que les prestan servicios o soluciones tecnológicas. Esta extensión a la cadena de suministro es expresa en el RD 311/2022 y afecta a todos los contratos que impliquen tratamiento de información o acceso a sistemas de la administración.
Sí, si la prestación implica acceso o tratamiento de información de los sistemas del Ayuntamiento. El Ayuntamiento de León opera su Sede Electrónica y múltiples servicios digitales bajo el paraguas del RD 311/2022; sus pliegos de contratación tecnológica incorporan cada vez con mayor frecuencia la conformidad con el ENS como requisito de solvencia técnica. Si presentas oferta sin poder acreditar esa conformidad, puedes quedar excluido antes de la valoración. Te ayudo en toda la consultoría ENS necesaria para estar listo.
La ULE es una institución pública y, como tal, está sujeta al ENS en sus propios sistemas. Esa obligación se traslada contractualmente a sus proveedores tecnológicos cuando el servicio implica acceso a sistemas o tratamiento de datos universitarios. Proveedores de plataformas de e-learning, software de gestión académica, alojamiento en la nube o soporte técnico de infraestructura entran en el ámbito de esta exigencia. La conformidad con el ENS —y la documentación que la respalda— es el modo de demostrar que cumples con ese requisito.
Depende de los datos y servicios concretos que gestione tu empresa. Para la mayoría de los proveedores de la administración local leonesa —servicios de soporte, gestión documental o plataformas de tramitación de impacto limitado—, la categoría básica es la más habitual. La categoría media aplica cuando el impacto de un incidente sería grave, por ejemplo en sistemas que tratan datos personales sensibles o que soportan servicios esenciales. La categoría alta es menos frecuente en el ámbito de los proveedores de la administración local. El primer paso es siempre el diagnóstico, que determina la categoría con criterios objetivos.
En categoría básica, sí: la conformidad se acredita mediante una declaración de conformidad autoevaluada, sin necesidad de auditoría de tercero. En categoría media o alta, la declaración no es suficiente; se requiere certificación emitida por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. La categoría la determina la valoración de los sistemas, no el proveedor a su criterio. Preparo la declaración de conformidad con toda la documentación de soporte, de modo que sea defendible ante cualquier revisor.
El plazo depende de la categoría del sistema y de la madurez de partida de la organización. Un proceso de categoría básica con una empresa que ya tiene controles documentados puede completarse en pocas semanas. Un proyecto de categoría media con varios sistemas y certificación acreditada puede requerir varios meses. Lo valoro en el diagnóstico inicial, que es el primer paso de cualquier proyecto y del que obtendrás ya información útil aunque decidas no continuar.
Primera llamada sin coste y sin compromiso. Valoramos tu alcance, determinamos la categoría que te corresponde y, si encajamos, te paso una propuesta cerrada. Si no, te llevas al menos un diagnóstico inicial que ya es útil para empezar a cumplir.