Soy Ángel Ortega Castro, consultor independiente del Esquema Nacional de Seguridad. Ayudo a empresas de Madrid y su entorno que venden tecnología o servicios a la Administración General del Estado, a la Comunidad de Madrid o a los ayuntamientos a adecuar sus sistemas al ENS y a reunir el expediente de conformidad que piden los pliegos.
Si vendes a la Administración General del Estado, a la Comunidad de Madrid o a un ayuntamiento, el pliego puede pedirte acreditar el ENS (Real Decreto 311/2022) para presentar oferta o para ejecutar el contrato. Me ocupo de que llegues a ese punto con los sistemas ajustados a la norma y con la documentación que respalda tu respuesta.
El trabajo se ordena en cuatro tareas. Fijar qué sistemas de información quedan dentro del alcance. Asignar a cada uno su categoría con las cinco dimensiones del Anexo I. Cubrir las diferencias con los controles del Anexo II mediante análisis de riesgos, Declaración de Aplicabilidad, política y procedimientos. Y llevarte hasta la conformidad, que según la categoría se acredita con una declaración propia o con la certificación de un tercero.
La certificación no la concedo yo: depende de una entidad certificadora independiente. Mi parte es que el expediente que le presentes esté completo, alineado con cómo funcionan de verdad tus sistemas y sin atajos que un auditor descartaría en la primera revisión.
El Real Decreto 311/2022 se aplica igual en Madrid que en el resto de España. Afecta a todo el sector público (Administración General del Estado, comunidades autónomas y entidades locales) y alcanza a los sistemas de las empresas privadas que, en virtud de un contrato, les prestan servicios o les proveen soluciones para el ejercicio de sus competencias. Su artículo 2 exige que los pliegos contemplen los requisitos necesarios para asegurar la conformidad con el ENS, por ejemplo mediante declaraciones o certificaciones de conformidad.
En la Comunidad de Madrid, la Agencia para la Administración Digital de la Comunidad de Madrid (Madrid Digital) declara en su web que dispone de certificaciones de conformidad con el ENS en categoría media. Lo que se te exige a ti, con todo, lo fijan la norma y el pliego concreto.
Fuentes oficiales consultadas el 29 de octubre de 2026: Real Decreto 311/2022 (BOE-A-2022-7191) · Madrid Digital, Comunidad de Madrid.
Trabajo con empresas privadas, sobre todo tecnológicas y de servicios, que se encuentran en alguna de estas situaciones. Si la tuya es otra, lo vemos en la primera llamada, sin compromiso.
Trabajo desde Valladolid y Las Palmas de Gran Canaria con empresas de cualquier punto de España, también de Madrid. Casi todo se resuelve en remoto: videollamadas, documentación compartida y acceso a lo imprescindible. Si una fase lo requiere, como formar al equipo técnico o preparar la visita del auditor, me desplazo a Madrid.
El análisis técnico lo hago yo, sin subcontratarlo. Tendrás una sola persona de contacto y un calendario fijado desde el diagnóstico.
| Fase | En qué consiste | Entregable |
|---|---|---|
| Fase 01 Diagnóstico | Reviso los sistemas implicados y los contrasto con los controles del Anexo II. Acoto el alcance para que no crezca a mitad de proyecto. | Informe de brechas por control, que sustenta el presupuesto. |
| Fase 02 Categorización | Aplico las cinco dimensiones del Anexo I (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) a cada sistema del alcance. | Categoría de cada sistema: básica, media o alta. |
| Fase 03 Análisis de riesgos y Declaración de Aplicabilidad | Identifico amenazas y activos con una metodología reconocida y decido qué medidas del Anexo II se aplican y por qué. | Análisis de riesgos y Declaración de Aplicabilidad. |
| Fase 04 Documentación y medidas | Redacto la política de seguridad y los procedimientos, y acompaño al equipo técnico en la implantación de las medidas pendientes. | Política, procedimientos y registro de evidencias. |
| Fase 05 Auditoría y conformidad | Preparo el expediente para la revisión. En categoría básica, declaración de conformidad; en media y alta, en una empresa privada, la auditoría la hace una entidad acreditada por ENAC. | Expediente listo para la declaración o la certificación. |
Según la categoría se aplican más o menos medidas del Anexo II y cambia la forma de acreditar la conformidad. En categoría básica vale una declaración de conformidad basada en autoevaluación. En media y alta, en una empresa privada, se exige certificación por una entidad acreditada por ENAC, cuyos honorarios van aparte de los míos. Por eso categorizo en la segunda fase: de ese resultado depende el presupuesto. ¿Dudas entre ENS e ISO 27001? Prueba la herramienta ISO 27001 o ENS: ¿cuál me toca?.
Una compañía de software o de servicios gestionados que prepara su oferta para la AGE, la Comunidad o un ayuntamiento y descubre que el pliego exige acreditar el ENS. El primer paso suele ser decidir qué sistemas forman parte del alcance y qué categoría tiene cada uno.
Una empresa que ya presta servicio a una administración y a la que se pide acreditar el ENS cuando toque renovar. Se mide cuánto falta para cumplir los controles del Anexo II y se cierra esa distancia empezando por lo que más riesgo supone.
Una compañía que piensa vender al sector público y prefiere llegar con el expediente ya construido, antes de que un plazo de licitación la apriete. Así puede elegir el alcance con calma y repartir el esfuerzo en el tiempo.
De 3.000 a 25.000 € en función del tamaño de la empresa (los importes cercanos a 25.000 € son para grandes empresas), con un plazo de 2 a 6 meses, según el número de sistemas de información, la categoría y la madurez de partida. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.
El coste depende del número de sistemas dentro del alcance, de la categoría que resulte y de la madurez con la que partas. En categoría media o alta se suman, aparte, los honorarios de la entidad certificadora. Tienes el desglose completo en cuánto cuesta adecuarse y certificarse en el ENS.
No. El trabajo se hace a distancia en la mayor parte de las fases: reuniones por videollamada, revisión de documentación y acceso remoto a lo que haga falta. Si el proyecto lo pide, por ejemplo para una sesión de formación o para preparar la visita del auditor, me desplazo. Mi base está en Valladolid y en Las Palmas de Gran Canaria.
Es el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022. Se aplica a todo el sector público y a los sistemas de las empresas privadas que, en virtud de un contrato, les prestan servicios o les proveen soluciones para el ejercicio de sus competencias. Cuando una empresa vende a la administración, los pliegos pueden exigirle declaración o certificación de conformidad.
De 3.000 a 25.000 € en función del tamaño de la empresa (los importes cercanos a 25.000 € son para grandes empresas), con un plazo de 2 a 6 meses, según el número de sistemas de información, la categoría y la madurez de partida. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente. En categoría media o alta se suma, aparte, el coste de la entidad de certificación acreditada por ENAC.
Depende de la categoría del sistema. En categoría básica basta con una declaración de conformidad basada en autoevaluación; en media y alta, en una empresa privada, se exige certificación por una entidad acreditada. La categoría sale del análisis de las cinco dimensiones de seguridad del Anexo I, y por eso es lo primero que se determina.
No. Construyo y adecuo el expediente hasta que está listo, pero la certificación en categoría media o alta la emite una entidad acreditada por ENAC, independiente de mí. Desconfía de quien prometa el certificado sin serlo.
La obligación de fondo es la misma, porque la fija el Real Decreto 311/2022. Lo que cambia es lo que cada pliego pida: algunos aceptan declaración de conformidad en categoría básica y otros exigen certificación. Por eso conviene leer el pliego antes de elegir el alcance.
Repasamos el alcance de tus sistemas, la categoría que probablemente te corresponde y el tipo de contrato al que aspiras. Si decidimos trabajar juntos, sales de esa llamada con una propuesta cerrada y un calendario realista.