Me llamo Ángel Ortega Castro y soy consultor ENS independiente, con sede en Valladolid y Las Palmas de Gran Canaria. Trabajo en remoto con empresas de cualquier punto de España y me desplazo en persona a Lugo cuando el proyecto lo pide. Acompaño a empresas de la ciudad y la provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Xunta de Galicia, el Concello de Lugo, la Deputación de Lugo o el Sergas sin quedar excluidas de los pliegos.
Lugo no alberga la sede central de la Xunta de Galicia —esa está en Santiago de Compostela—, pero es capital de su propia provincia, con administración local propia: el Concello de Lugo y la Deputación de Lugo. A eso se suma la presencia de organismos autonómicos y sanitarios con sistemas de información sujetos al ENS igual que en cualquier otra ciudad gallega: el Hospital Universitario Lucus Augusti (HULA), dependiente del Servizo Galego de Saúde (Sergas), y el Campus Terra de la Universidade de Santiago de Compostela (USC), con cinco facultades y una escuela politécnica superior instaladas en la ciudad. El resultado es una demanda de servicios digitales del sector público más repartida que en una capital autonómica, pero no menos obligatoria para quien quiere contratar con ella.
La coordinación de la ciberseguridad y del ENS en toda la administración autonómica gallega corresponde a AMTEGA (Axencia para a Modernización Tecnolóxica de Galicia), adscrita a la Presidencia de la Xunta. Su marco de seguridad se traslada también a las delegaciones territoriales, centros sanitarios y organismos con presencia en Lugo, y por tanto a las empresas que les prestan servicios TIC.
El Concello de Lugo tramita buena parte de su actividad a través de la sede electrónica y ha impulsado el proyecto Lugo Smart de ciudad inteligente, con plataformas de gestión municipal integradas que exigen proveedores conformes con el ENS. La Deputación de Lugo, por su parte, presta asistencia en contratación administrativa a los concellos de la provincia y aplica el mismo marco normativo en su propia sede electrónica y perfil del contratante.
Alrededor de esta administración se ha desarrollado un tejido TIC local, con el polígono industrial O Ceao —el mayor parque empresarial de la provincia, con cerca de un millón de metros cuadrados— como principal enclave de empresas de servicios, incluidas consultoras informáticas que trabajan o aspiran a trabajar con organismos públicos. A eso se añade el peso de sectores productivos propios de Lugo, como el clúster forestal-madera agrupado en torno a la asociación LugoMadera (cerca de la mitad de las empresas del sector en Galicia) y el sector lácteo y ganadero, que en su relación digital con la Administración —trámites, ayudas, licitaciones vinculadas al medio rural— también puede quedar sujeta a los requisitos del ENS cuando presta servicios TIC conectados a plataformas públicas.
La Axencia para a Modernización Tecnolóxica de Galicia (AMTEGA) coordina la ciberseguridad autonómica y traslada la exigencia del ENS a los contratos TIC de todos los organismos vinculados a la Xunta con presencia en Lugo.
El Concello de Lugo y la Deputación de Lugo incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
El Campus Terra de la USC en Lugo y el Hospital Universitario Lucus Augusti, del Sergas, están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar, conviene tener claro el marco completo: puedes repasarlo con calma en la guía ENS completa, y si quieres ver cómo planteo el acompañamiento con empresas de todo el país, ahí están los detalles del servicio de consultoría ENS para empresas.
El ENS no distingue entre empresa grande y pequeña, sino entre quién es Administración y quién le presta servicios por contrato. En Lugo y su provincia, esa segunda categoría —las empresas privadas obligadas por relación contractual— tiene un perfil bastante concreto y reconocible.
Estos son algunos de los perfiles con los que me encuentro más a menudo:
El plazo que fijó la disposición transitoria única del RD 311/2022 para poner al día los sistemas ya existentes —24 meses— se agotó el 5 de mayo de 2024. Los sistemas de nueva creación, o los que sufran cambios sustanciales, deben cumplir desde su puesta en marcha. Si tu adecuación sigue pendiente, cada concurso nuevo que aparece en el perfil del contratante es un recordatorio de que el margen se estrecha.
Da igual si el expediente es del Concello de Lugo, de la Deputación o del Sergas: al final piden lo mismo, un proceso ordenado y bien documentado. Sigo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría, para que llegues con papeles sólidos ante la Xunta de Galicia, el Concello de Lugo, la Deputación de Lugo o cualquier otro organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito qué sistemas de información quedan dentro del alcance. | Un informe que fija la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y asigno su categoría: básica, media o alta. | Aplicando el Anexo I del ENS. De aquí sale el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. | Informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806, queda cerrado el plan de adecuación con su declaración de conformidad. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo acompañado paso a paso. | Evidencia documentada de cada medida implantada, lista para cuando llegue la auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre: en categoría básica, apoyo la declaración autoevaluada; en media o alta, acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III. Dejo la conformidad preparada; la certificación en media o alta la firma un tercero acreditado por ENAC, no yo. |
En los pliegos que publican el Concello de Lugo, la Deputación o el Sergas no basta con decir que cumples el ENS: hay que precisar en qué categoría. Esa categoría no se elige a ojo, se calcula valorando el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión con el nivel más alto es la que decide.
Se aplica cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas — el escalón más frecuente entre quienes prestan servicios auxiliares a la Administración.
Se da cuando un incidente supondría un perjuicio grave, con alguna dimensión en nivel medio — habitual en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a un perjuicio muy grave, en ocasiones irreparable, con alguna dimensión en nivel alto: sistemas críticos o con datos especialmente sensibles.
En categoría básica basta una declaración de conformidad autoevaluada: la propia empresa verifica su cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte documentación y evidencias tan sólidas que aguanten cualquier revisión del organismo contratante.
En categoría media o alta hace falta certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Te dejo preparado para superarla con garantías; quien la emite es siempre la entidad acreditada, nunca el consultor.
Cuando el Concello de Lugo, la Deputación o el Sergas piden acreditar el ENS en un expediente de licitación, lo que revisan es papel: informes, declaraciones, evidencias. No te dejo un PDF que nadie vuelve a abrir — te entrego el cuerpo documental y técnico completo, el mismo que el auditor o el organismo contratante necesita encontrar.
Los pliegos que publican el Concello de Lugo, la Deputación de Lugo, la Xunta de Galicia o el Sergas no se parecen entre sí, y haberlos visto de cerca ayuda tanto como conocer la norma al dedillo. Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información, y combino el acompañamiento en remoto desde Valladolid y Las Palmas con desplazamientos presenciales a Lugo cuando el proyecto lo pide. Conozco los tiempos, los pliegos y las exigencias habituales de organismos como la Xunta de Galicia (coordinada a través de AMTEGA), el Concello de Lugo, la Deputación de Lugo y el Servizo Galego de Saúde (Sergas).
Mi manera de trabajar es de acompañamiento real, persona a persona, no a distancia de un manual: te acompaño en cada fase, traduzco la norma en decisiones que puedas tomar, y cuando cierro el proyecto dejo a tu equipo capacitado para sostener la conformidad por su cuenta.
Soy claro sobre dónde termina mi trabajo: preparo y adecúo tu organización hasta dejarla lista para la conformidad, pero la certificación en categoría media o alta la firma siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras de software que dan servicio al Hospital Universitario Lucus Augusti (HULA) u otros centros del Servizo Galego de Saúde (Sergas) en la provincia de Lugo, y necesitan acreditar conformidad con el ENS para mantener o renovar sus contratos. Suelen estar en categoría media, por la sensibilidad de los datos clínicos.
Empresas tecnológicas con sede en el polígono industrial O Ceao que prestan servicios de mantenimiento, ciberseguridad o soporte TIC al Concello de Lugo, la Deputación de Lugo o el Campus Terra de la USC, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas de base tecnológica vinculadas al clúster forestal-madera (LugoMadera) o al sector lácteo que prestan servicios de gestión documental, trazabilidad o soporte técnico a organismos de la Xunta de Galicia relacionados con el medio rural, y que necesitan acreditar conformidad ENS en los sistemas que conectan con plataformas de la Administración.
Cada licitación que sale del Concello de Lugo, la Deputación o el Sergas tiene un alcance distinto, y lo que cuesta adecuarte al ENS varía con él. No hay una cifra única y yo desconfiaría de quien te la diera sin conocer tu caso: la inversión depende del alcance (cuántos sistemas entran), de la categoría (básica, media o alta), de tu madurez de partida y de si necesitas certificación acreditada o te basta la declaración de conformidad.
En categoría media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC — una factura aparte que emite directamente el tercero que realiza la auditoría de conformidad.
Sí. La Xunta de Galicia, como administración autonómica, está plenamente sujeta al ENS. Su coordinación de ciberseguridad corresponde a AMTEGA (Axencia para a Modernización Tecnolóxica de Galicia), que traslada esa obligación a los proveedores y contratistas de servicios TIC de todos los organismos vinculados, incluidos los que operan en Lugo. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de estos organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El HULA, dependiente del Servizo Galego de Saúde (Sergas), gestiona sistemas de historia clínica, digitalización documental y administración electrónica sujetos al ENS. Como centro del sector público sanitario, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de datos clínicos.
Sí. Tanto el Concello de Lugo como la Deputación de Lugo son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC, especialmente en proyectos de sede electrónica y administración digital como Lugo Smart. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Sí. El Campus Terra, sede en Lugo de la Universidade de Santiago de Compostela (USC), es una institución pública universitaria sujeta al ENS que gestiona expedientes académicos, plataformas de investigación y administración electrónica propia. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión para el Concello de Lugo o la Deputación se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación; los que tratan datos clínicos del HULA suelen subir a categoría media.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
La primera conversación no tiene coste ni compromiso. En ella repasamos el alcance de tus sistemas, una estimación de la categoría que les correspondería y la vía de contratación que te interesa. Si el proyecto encaja, recibes una propuesta cerrada; si no encaja, sales igualmente con orientación clara para arrancar por tu cuenta.