Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con sede en Valladolid y en Las Palmas de Gran Canaria. Llevo proyectos en remoto en cualquier punto de España y me desplazo a Logroño cuando el proyecto lo requiere, acompañando a empresas de la ciudad y de toda La Rioja en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de La Rioja, el Ayuntamiento de Logroño o la Universidad de La Rioja sin quedar excluidas de los pliegos.
Logroño no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es la capital de La Rioja y la sede del Gobierno de La Rioja, organizado en consejerías con su propia política de seguridad para los servicios telemáticos que prestan. Eso significa que en la ciudad se concentra una parte muy significativa de la demanda de servicios digitales del sector público riojano: desde el mantenimiento de los sistemas de información de las distintas consejerías hasta el soporte de las plataformas de administración electrónica que usan sus organismos dependientes. Además, La Rioja es una comunidad autónoma uniprovincial —como Asturias, Cantabria, Madrid o Murcia— que no tiene Diputación Provincial: sus funciones las asume directamente el propio Gobierno de La Rioja.
Al Gobierno de La Rioja se suman tres grandes organismos contratantes de base local: el Ayuntamiento de Logroño, con una agenda de transformación digital activa —licitaciones recientes para un nuevo sistema de gestión tributaria, un sistema contable, financiero y presupuestario por 1.156.641,42 € para el periodo 2025-2030, y un proyecto de gemelo digital municipal dentro del programa RETECH— que se plasma en contratos de software, conectividad y ciberseguridad; la Agencia de Desarrollo Económico de La Rioja (ADER), organismo público adscrito a la Consejería de Industria, Innovación y Empleo del Gobierno de La Rioja que impulsa la digitalización de las pymes riojanas y lidera el Hub de Innovación Digital RIOHUB; y la Universidad de La Rioja (UR), la única universidad pública de la comunidad, integrada en el Campus de Excelencia Iberus y en el Grupo 9 de Universidades, que como institución pública opera sistemas sensibles —expedientes académicos, sede electrónica, plataformas de investigación— y tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público.
Alrededor de este ecosistema de administraciones se ha desarrollado un tejido de empresas TIC —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías del Gobierno de La Rioja y de sus organismos dependientes, como ADER, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Logroño incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas, especialmente en los contratos de gestión tributaria, sistemas contables y administración electrónica.
La Universidad de La Rioja, única universidad pública de la comunidad e integrada en el Campus Iberus, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto conviene tener claro el marco completo: te dejo la guía ENS completa por si quieres profundizar, y el detalle del servicio de consultoría ENS para empresas con todo lo que incluye el acompañamiento.
El Esquema Nacional de Seguridad no se detiene en la puerta de la Administración: alcanza también a cualquier empresa privada que le presta servicio por contrato. En Logroño y en el resto de La Rioja esa red incluye a bastantes proveedores TIC que hoy trabajan —o aspiran a trabajar— para el sector público riojano.
Estos son los perfiles con los que más me cruzo en la zona:
El RD 311/2022 concedió 24 meses de transición para poner al día los sistemas que ya existían; ese plazo se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que hayan cambiado de forma sustancial, tienen que cumplir desde que arrancan. Si tu empresa aún no ha movido ficha, conviene no perder de vista que cada licitación que se publica en el perfil del contratante reduce un poco más el margen disponible.
Ordeno el proyecto siguiendo las guías CCN-STIC: arranca con el diagnóstico y termina con la declaración de conformidad o la auditoría, según toque según el nivel de tu sistema. Busco que la documentación final aguante sin fisuras ante el Gobierno de La Rioja, el Ayuntamiento de Logroño, la Universidad de La Rioja o cualquier otro organismo contratante de la comunidad.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto dónde estás hoy con lo que pide el ENS y acoto el perímetro: qué sistemas entran en el proyecto y cuáles se quedan fuera. | Informe de diagnóstico con la distancia real hasta el cumplimiento y las brechas ordenadas por prioridad. |
| Fase 02 Categorización | Mido el efecto de un posible incidente en las cinco variables CIDAT y, con ese resultado, asigno la categoría: básica, media o alta. | Anexo I del ENS. De aquí sale el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Localizo activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. | Informe de análisis de riesgos y el plan de tratamiento derivado. |
| Fase 04 Plan de adecuación + DdA | Aquí queda escrita la política de seguridad, se eligen las medidas que aplican y se cierra la Declaración de Aplicabilidad (DdA), con la justificación de cada control. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad listos para su revisión. |
| Fase 05 Implantación | Ponemos en marcha, junto a tu equipo y medida a medida, lo que pide el Anexo II en su triple vertiente organizativa, operacional y de protección. | Evidencias de implantación, medida a medida, listas para la fase de auditoría. |
| Fase 06 Conformidad final | Reviso el expediente entero antes de darlo por cerrado. En básica, respaldo la declaración autoevaluada; en media o alta, te acompaño en la auditoría de la entidad acreditada, la solicite el Gobierno de La Rioja, el Ayuntamiento de Logroño o la Universidad de La Rioja. | Anexo III. Dejo lista la conformidad; en media/alta, quien certifica es siempre un organismo acreditado por ENAC. |
Nadie asigna la categoría a ojo: sale de valorar qué pasaría si un incidente golpeara las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que llegue más alto.
Si un incidente solo dejaría un perjuicio limitado en funciones, activos o personas de la organización, estamos aquí. Suele darse en proveedores de servicios auxiliares para organismos como ADER o el Ayuntamiento de Logroño.
Cuando alguna dimensión sube al nivel medio, el perjuicio pasa a ser grave. Aparece a menudo en sistemas de gestión administrativa —los que licita el Ayuntamiento de Logroño, por ejemplo— o allí donde se tratan datos sensibles.
Si alguna dimensión llega al nivel alto, el perjuicio puede ser muy grave y, en ocasiones, irreversible. Es el terreno de los sistemas críticos o con información especialmente sensible, como los que puede manejar la Universidad de La Rioja.
En básica no hace falta más que una declaración de conformidad autoevaluada: la propia organización comprueba que cumple, siguiendo las guías CCN-STIC. Yo me encargo de dejar la documentación y las evidencias a prueba de cualquier revisión posterior, venga de quien venga —el Gobierno de La Rioja, el Ayuntamiento de Logroño o cualquier otro organismo contratante.
En media o alta toca pasar por la certificación de una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi papel es dejarte a punto para superarla con margen; el certificado en sí lo firma siempre la entidad acreditada, nunca yo.
No terminas con un justificante de trámite. Sales con el conjunto documental y técnico que sostiene tu conformidad, el mismo que un auditor —o la propia Universidad de La Rioja, ADER, el Gobierno de La Rioja o el Ayuntamiento de Logroño— revisará en tu expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo en remoto desde Valladolid y Las Palmas de Gran Canaria para clientes de toda España, y me desplazo a Logroño cuando el proyecto lo pide. He seguido de cerca cómo licita el sector público riojano: los plazos, los pliegos y lo que exigen habitualmente organismos como el Gobierno de La Rioja, el Ayuntamiento de Logroño, la Universidad de La Rioja (UR) y la Agencia de Desarrollo Económico de La Rioja (ADER).
No trabajo entregando un manual y desapareciendo. Mi forma de trabajar es de acompañamiento directo, persona a persona: estoy contigo en cada fase, convierto la norma en decisiones prácticas y me aseguro de que tu equipo quede capacitado para sostener la conformidad una vez termine el proyecto.
Prefiero ser claro sobre los límites de mi papel: yo preparo y adecúo tu organización de cara a la conformidad; la certificación en categorías media o alta la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras que prometen certificados que no pueden emitir.
Integradoras o desarrolladoras de software que tienen contratos con el Gobierno de La Rioja o con organismos dependientes como ADER y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas instaladas en el Centro Tecnológico de La Rioja o asociadas al clúster empresarial AERTIC que prestan servicios de desarrollo, ciberseguridad o soporte TIC a la Universidad de La Rioja, al Ayuntamiento de Logroño o a ADER, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Logroño o de La Rioja, ligadas tradicionalmente a sectores como el vino, el agroalimentario o el calzado, que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera de servicios TIC hacia la Administración. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra estándar, y yo desconfiaría de cualquiera que te la dé sin conocer antes tu caso. Lo que pagues depende del alcance del proyecto (cuántos sistemas entran), de la categoría que te corresponda (básica, media o alta), de tu punto de partida en materia de seguridad y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
Además de mis honorarios, si tu sistema queda en categoría media o alta hay que contar con el coste de la entidad certificadora acreditada por ENAC: es un gasto aparte que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. El Gobierno de La Rioja, organizado en consejerías, está sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes, como la Agencia de Desarrollo Económico de La Rioja (ADER), la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de La Rioja (UR), única universidad pública de la comunidad e integrada en el Campus de Excelencia Iberus, es una institución pública sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, sede electrónica, plataformas de investigación—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. El Ayuntamiento de Logroño es una entidad local sujeta al ENS por el RD 311/2022. Su agenda de transformación digital —la modernización de su sistema de gestión tributaria, un nuevo sistema contable, financiero y presupuestario, y un proyecto de gemelo digital municipal dentro del programa RETECH— incluye cada vez con más frecuencia la conformidad con el ENS como requisito de solvencia técnica. Si tu empresa trabaja o quiere trabajar con el Ayuntamiento, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de La Rioja o el Ayuntamiento de Logroño, lo que el pliego exige es el ENS.
La primera conversación no tiene coste ni compromiso: repasamos el alcance de tus sistemas, la categoría que previsiblemente te corresponde y el tipo de contratación pública al que aspiras en Logroño. Si el proyecto encaja, te llevas una propuesta cerrada; si no es el momento, sales con orientación que te sirve igualmente.