Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo con empresas madrileñas que necesitan acreditar el Esquema Nacional de Seguridad (RD 311/2022) para licitar con la Administración General del Estado, la Comunidad de Madrid y sus hospitales, universidades y organismos dependientes. Madrid no tiene un único órgano contratante: tiene tres capas administrativas superpuestas en el mismo territorio, y cada una con sus propios pliegos y ritmos de certificación.
Madrid. Foto: Dmitry Dzhus from London · CC BY 2.0 · Wikimedia Commons
Por qué Madrid exige una estrategia ENS propia
Tres capas administrativas, un solo territorio donde licitar.
Ninguna otra ciudad de España concentra en un mismo perímetro geográfico la sede de todos los ministerios de la Administración General del Estado, el gobierno y las consejerías de una comunidad autónoma de siete millones de habitantes —la Comunidad de Madrid— y el propio ayuntamiento de una de las diez ciudades más grandes de Europa. Para una empresa TIC que licita en Madrid, eso significa navegar simultáneamente por tres regímenes de contratación y tres catálogos de pliegos, todos con el RD 311/2022 como denominador común.
La Comunidad de Madrid centraliza la gestión tecnológica de sus nueve consejerías a través de la Agencia para la Administración Digital de la Comunidad de Madrid, conocida como Madrid Digital. Esta agencia publica sus propias licitaciones de sistemas de información y actúa como plataforma de servicios compartidos para organismos como el Servicio Madrileño de Salud (SERMAS), el Instituto Madrileño de Administración Pública (IMAP) y la Agencia Tributaria de la Comunidad de Madrid. Sus pliegos exigen conformidad con el ENS con creciente sistematicidad desde la entrada en vigor del RD 311/2022.
A ese marco se añade la red sanitaria pública madrileña, la más extensa de España: el Hospital Universitario 12 de Octubre, el Hospital Universitario La Paz, el Hospital Universitario Ramón y Cajal y el Hospital General Universitario Gregorio Marañón son apenas cuatro de los más de veinte hospitales del SERMAS que contratan servicios TIC. Cualquier ISV o integradora que trabaje con historia clínica electrónica, sistemas de imagen médica o plataformas de gestión hospitalaria en este entorno opera con datos de salud especialmente sensibles: la categoría ENS resultante raramente baja de media.
El ecosistema universitario madrileño añade otra capa de demanda: la Universidad Complutense de Madrid (UCM), la Universidad Autónoma de Madrid (UAM), la Universidad Politécnica de Madrid (UPM), la Universidad Carlos III de Madrid, la Universidad Rey Juan Carlos (URJC) y la Universidad de Alcalá —junto con la UNED, cuya sede central está en la capital— son entidades del sector público sujetas al ENS que trasladan ese requisito a sus proveedores TIC mediante contratos de mantenimiento, infraestructura cloud y plataformas de administración electrónica universitaria.
Y más allá del perímetro propio de Madrid ciudad, el corredor tecnológico del norte de la Comunidad —con los parques empresariales de Alcobendas, Tres Cantos y Las Rozas— concentra decenas de empresas TIC cuyos principales clientes son precisamente estos organismos públicos madrileños. Para ellas, el ENS no es una amenaza en el horizonte: es el requisito que ya separa a las empresas que entran en el siguiente concurso de las que no pueden presentar oferta.
Si quieres entender el marco completo antes de empezar, te recomiendo la guía ENS completa, y si prefieres ir directo al servicio, en la página de consultoría ENS para empresas explico el proceso de principio a fin.
Ministerios y AGE
Madrid alberga la sede de todos los ministerios y la mayor parte de sus organismos dependientes. Sus licitaciones TIC exigen ENS de forma sistemática, con frecuencia en categorías media o alta por la sensibilidad de los sistemas gestionados.
Comunidad de Madrid
Madrid Digital y las consejerías —incluida la Consejería de Digitalización— publican contratos TIC con exigencia explícita de conformidad ENS. El SERMAS y los grandes hospitales de la red pública añaden contratos de categoría media o alta.
Universidades y hospitales públicos
UCM, UAM, UPM, Carlos III, URJC, Alcalá, UNED y los hospitales del SERMAS —12 de Octubre, La Paz, Ramón y Cajal, Gregorio Marañón— contratan servicios TIC con requisito ENS en sus pliegos.
Corredor Alcobendas-Tres Cantos-Las Rozas
El polo tecnológico del norte de la Comunidad de Madrid concentra empresas TIC cuyos clientes principales son precisamente las administraciones madrileñas. Las que acrediten el ENS ahora se adelantan a la oleada de concursos de los próximos meses.
¿Tu empresa madrileña entra en el alcance del ENS?
Quién tiene obligación real de cumplir en Madrid.
El RD 311/2022 no limita su radio de acción a la Administración: la disposición adicional primera extiende la obligación a las entidades privadas que prestan servicios o soluciones a las administraciones públicas. En Madrid, ese radio es especialmente amplio porque la densidad de organismos públicos contratantes —AGE, Comunidad y Ayuntamiento en el mismo territorio— no tiene parangón en ninguna otra provincia del país.
Los perfiles que encuentro con más frecuencia cuando inicio un proyecto en la capital:
Empresas que desarrollan o mantienen software de gestión para consejerías de la Comunidad de Madrid, para Madrid Digital o para organismos dependientes como el IMAP, la Agencia Tributaria autonómica o la Consejería de Sanidad (Educación, Digitalización).
Integradoras o ISV que prestan servicios TIC a los grandes hospitales del SERMAS: el Hospital 12 de Octubre, el Hospital La Paz, el Ramón y Cajal o el Gregorio Marañón, con tratamiento de datos de salud de nivel sensible.
Proveedores de infraestructura cloud, conectividad o ciberseguridad gestionada para ministerios de la AGE y organismos autónomos estatales con sede en Madrid, donde los requisitos alcanzan categoría media o alta con asiduidad.
Empresas del corredor tecnológico Alcobendas-Tres Cantos-Las Rozas que facturan al sector público madrileño y necesitan cerrar la adecuación antes del siguiente concurso público.
ISV y consultoras que mantienen plataformas de administración electrónica, sistemas de investigación o infraestructura de red para UCM, UAM, UPM, Carlos III, URJC o Alcalá, cuyos pliegos incorporan la conformidad con el ENS entre los requisitos exigidos para contratar.
Operadores de Metro de Madrid o EMT Madrid en su cadena de suministro TIC, y empresas que prestan servicios digitales a IFEMA u otros organismos consorciados con el Ayuntamiento de Madrid.
El plazo transitorio del RD 311/2022 para poner al día los sistemas preexistentes expiró el 5 de mayo de 2024. A partir de esa fecha, los sistemas nuevos o con cambios significativos deben cumplir desde el primer día, y los pliegos publicados pueden exigir conformidad vigente sin aceptar "estamos en proceso" como respaldo suficiente.
Base legal: Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). Coordinación técnica: Centro Criptológico Nacional (CCN). Certificación en categorías media y alta: entidades acreditadas por ENAC conforme a UNE-EN ISO/IEC 17065:2012.
El ENS en la contratación pública madrileña
Pliegos de la AGE, la Comunidad de Madrid y los hospitales del SERMAS.
El Esquema Nacional de Seguridad se hace visible en los pliegos de prescripciones técnicas que publican los órganos contratantes en la Plataforma de Contratación del Sector Público y en los portales propios de la Comunidad de Madrid. En Madrid, el volumen de licitaciones TIC con exigencia ENS es el mayor de España: basta con filtrar por categoría "TIC y telecomunicaciones" en cualquiera de los tres niveles administrativos para encontrar referencias explícitas a la conformidad con el RD 311/2022.
A modo de referencia no exhaustiva, estos son los tipos de expediente donde el requisito ENS aparece con regularidad en el ámbito madrileño:
Contratos de mantenimiento de sistemas de información de la Administración General del Estado. Los ministerios y sus organismos autónomos publican contratos de soporte a plataformas de gestión, administración electrónica e infraestructura de red con cláusulas de seguridad alineadas con el ENS, con exigencia frecuente en categoría media o alta. Puedes consultarlos en la Plataforma de Contratación del Sector Público filtrando por el órgano de contratación de cada ministerio y la materia "sistemas de información o seguridad TIC".
Licitaciones del SERMAS y los grandes hospitales públicos madrileños. El Servicio Madrileño de Salud publica contratos de historia clínica electrónica, sistemas de imagen médica y plataformas de citación para hospitales como el 12 de Octubre, La Paz, Ramón y Cajal y Gregorio Marañón. El tratamiento de datos de salud sitúa habitualmente la dimensión de confidencialidad en nivel medio, lo que exige certificación por entidad acreditada. Los pliegos del SERMAS están disponibles en el perfil del contratante de la Comunidad de Madrid en la misma plataforma estatal.
Contratos de la Agencia para la Administración Digital de la Comunidad de Madrid (Madrid Digital) para servicios en la nube y plataformas de administración electrónica compartida. Madrid Digital presta los servicios TIC a las consejerías y figura como órgano de contratación en buena parte de los expedientes tecnológicos autonómicos. Sus pliegos pueden consultarse en el perfil del contratante de la Comunidad de Madrid.
Si tu empresa compite o quiere competir en alguno de estos ámbitos y aún no ha iniciado la adecuación, el primer paso práctico es un diagnóstico GAP que mida exactamente la distancia hasta la conformidad. La primera llamada es sin coste y sin compromiso.
Quién manda en ciberseguridad en la Comunidad de Madrid
Dos organismos distintos, y conviene no confundirlos porque no piden lo mismo. La Agencia para la Administración Digital de la Comunidad de Madrid, conocida como Madrid Digital, es la que presta los servicios TIC a las consejerías y la que aparece como órgano de contratación en buena parte de los expedientes tecnológicos. La Agencia de Ciberseguridad de la Comunidad de Madrid, creada por la Ley 14/2023, de 20 de diciembre, es la que dirige y coordina la ciberseguridad de la administración autonómica.
Para una empresa que licita, la diferencia se nota en quién revisa qué. El expediente de contratación y los requisitos del pliego salen del órgano de contratación. Las exigencias de seguridad que ese pliego incorpora, y quien las interpreta cuando hay dudas, cada vez más vienen del lado de la agencia de ciberseguridad.
Cómo se pide el ENS en un pliego
Solvencia, criterio de adjudicación o condición de ejecución: no es lo mismo.
Cuando un pliego «pide el ENS» puede estar haciendo tres cosas distintas, y de cuál sea depende si puedes presentarte, si puntúas más o si te obligas a algo durante la ejecución. La Ley 9/2017 de Contratos del Sector Público es la que da esos tres instrumentos, y conviene saber leerlos.
Solvencia técnica o profesional (artículo 90). Es un requisito de admisión: si no lo acreditas por alguno de los medios que el artículo enumera, no compites. Aquí el pliego suele pedir experiencia previa en proyectos equivalentes.
Criterio de adjudicación (artículo 145). No excluye: puntúa. El criterio tiene que estar vinculado al objeto del contrato, así que un pliego no puede dar puntos por una certificación que no tenga que ver con lo que contrata.
Condición especial de ejecución (artículo 202). No se exige para entrar, se exige para cumplir. Y tiene un detalle que casi nadie mira: cuando el contrato implica cesión de datos del sector público al contratista, el artículo 202.1 obliga a incluir el sometimiento a la normativa de protección de datos como condición especial, con carácter de obligación contractual esencial. Además, el artículo 202.4 extiende las condiciones especiales a los subcontratistas.
Y por debajo de los tres, la obligación de origen: el artículo 2.3 del Real Decreto 311/2022 dice que los pliegos «contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS», y menciona expresamente la presentación de Declaraciones o Certificaciones de Conformidad. El ENS no elige el instrumento; obliga a que el instrumento exista.
La consecuencia práctica para una empresa que licita: antes de decidir si necesitas declaración o certificación, mira dónde aparece el ENS en el pliego. Si está en la solvencia, es un filtro de entrada y llegas tarde si empiezas al publicarse el anuncio. Si está en la adjudicación, es una decisión de puntos. Si está en las condiciones de ejecución, puedes ganar sin tenerlo y estar obligado a tenerlo después, y entonces lo que te queda es la preparación de la auditoría contra reloj.
El proceso, paso a paso
De la categorización de tus sistemas a la conformidad que pide el pliego.
El itinerario sigue las guías CCN-STIC del Centro Criptológico Nacional, que son el baremo que tomarán los técnicos de Madrid Digital, del SERMAS o de cualquier ministerio de la AGE cuando revisen tu expediente de licitación. Cada fase produce entregables específicos para tus sistemas y tu alcance: sin plantillas genéricas de otro cliente ni documentación reutilizada que un auditor ENAC detecta a los cinco minutos.
Itinerario de adecuación ENS · fases y entregables · Madrid
Fase
En qué consiste
Qué obtienes
Fase 01 Diagnóstico GAP
Mapeo el inventario de sistemas de información afectados y los contrasto con los requisitos del Anexo II del ENS. Identifico los controles no implantados y los ordeno por el riesgo que representan para el expediente de licitación.
Informe GAP con la distancia real hasta la conformidad, las brechas priorizadas y una estimación inicial del esfuerzo necesario para cada una.
Fase 02 Categorización
Aplico las cinco dimensiones de seguridad (CIDAT) a cada sistema de información del alcance. En Madrid, la presencia de datos de salud, datos tributarios o acceso a sistemas críticos de la AGE hace que la categoría media aparezca con más frecuencia que en otras provincias.
Documento de categorización conforme al Anexo I del RD 311/2022, firmado y reproducible ante el auditor o el órgano contratante.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y vulnerabilidades aplicando la metodología MAGERIT v3 y calculo el riesgo residual de cada activo crítico dentro del alcance.
Informe de análisis de riesgos con el mapa de amenazas y el plan de tratamiento, priorizado según el perfil de exposición de tu organización en el entorno madrileño.
Fase 04 Política y DdA
Redacto la política de seguridad de la información adaptada a tu organización —con el vocabulario y los procesos que reconocerán los auditores ENAC activos en Madrid— y construyo la Declaración de Aplicabilidad (DdA) justificando control por control cada medida del Anexo II.
Política de seguridad aprobable por tu dirección y DdA lista para presentar junto con la declaración de conformidad o someter a auditoría externa.
Fase 05 Implantación
Acompaño a tu equipo en la puesta en marcha de las medidas organizativas, operacionales y de protección establecidas en el plan de adecuación, resolviendo las dudas de interpretación normativa que aparecen en esta fase.
Evidencias de implantación medida por medida —registros de configuración, actas de formación, registros de incidentes—, reunidas en el expediente de conformidad.
Fase 06 Conformidad final
Reviso el expediente completo antes del cierre. En categoría básica, respaldo la declaración autoevaluada; en media o alta, te preparo para la auditoría de la entidad acreditada por ENAC y te acompaño durante el proceso hasta la emisión del certificado.
Declaración de conformidad lista para presentar (básica) o expediente completo para la entidad certificadora ENAC (media/alta). La firma del certificado corresponde siempre al tercero acreditado, nunca al consultor.
¿Qué categoría ENS corresponde a tu empresa en Madrid?
La categoría no se elige: se calcula. La dimensión de seguridad —confidencialidad, integridad, disponibilidad, autenticidad o trazabilidad— que alcanza el nivel más alto en los sistemas de información del alcance determina la categoría final. En Madrid, la combinación de datos de salud del SERMAS, datos tributarios de la Agencia Tributaria autonómica y sistemas de la AGE hace que la categoría media sea más frecuente que en la media del resto del país.
Categoría básica
Impacto limitado
La más habitual entre proveedores de software de gestión auxiliar para el Ayuntamiento de Madrid, para las universidades madrileñas en contratos de soporte o para organismos menores de la Comunidad. El paquete de medidas es proporcionado y manejable para una pyme TIC.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita con declaración de conformidad autoevaluada
Sin necesidad de auditoría externa obligatoria
Categoría media
Impacto grave
La más frecuente en contratos con el SERMAS —hospitales 12 de Octubre, La Paz, Ramón y Cajal, Gregorio Marañón—, con ministerios de la AGE que gestionan datos sensibles y con Madrid Digital en proyectos de administración electrónica crítica.
Al menos una dimensión alcanza el nivel medio
Exige certificación por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Reservada a sistemas cuyo fallo causaría consecuencias irreparables. En el entorno madrileño aparece en sistemas de defensa, infraestructuras críticas y servicios esenciales gestionados por la AGE o por la Comunidad de Madrid para toda la población.
Al menos una dimensión llega al nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Dos caminos para acreditar la conformidad ante los órganos contratantes madrileños
Básica → declaración de conformidad autoevaluada
Si tus sistemas quedan en categoría básica, la acreditación se realiza mediante una declaración de conformidad propia, apoyada en las guías CCN-STIC y en el expediente documental que yo preparo. Madrid Digital, el Ayuntamiento de Madrid o la UCM pueden pedir esa declaración en cualquier momento del proceso de adjudicación; mi trabajo es dejártela tan robusta que aguante cualquier revisión sin necesidad de explicaciones adicionales.
Media o alta → certificación acreditada por ENAC
Cuando la categoría es media o alta —habitual en contratos con el SERMAS o con la AGE—, la conformidad exige certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo el expediente completo y te acompaño durante la auditoría; la firma del certificado corresponde siempre a la entidad certificadora, nunca al consultor. Quien garantice la certificación sin ser entidad ENAC está mintiendo.
Lo que recibes al terminar
Un expediente construido para aguantar la revisión del auditor ENAC.
Lo que te entrego no es un dossier genérico. Es el cuerpo documental y técnico que sostiene tu conformidad con el ENS: el mismo que pedirá el auditor acreditado, el técnico de Madrid Digital que revise tu oferta o el responsable de contratación del ministerio que evalúe tu propuesta. Cada documento refleja tus sistemas reales, tus decisiones concretas y las evidencias que respaldan cada medida implantada.
El informe de diagnóstico (análisis GAP) con la distancia cuantificada entre tu situación de partida y los requisitos del ENS en Madrid, fase a fase.
El documento de categorización: valoración de las cinco dimensiones CIDAT para cada sistema de información dentro del alcance, con la categoría resultante referenciada al Anexo I del RD 311/2022.
El análisis de riesgos MAGERIT v3 con inventario de activos, mapa de amenazas, valoración del riesgo residual y plan de tratamiento priorizado.
La política de seguridad de la información —aprobada por tu dirección— y la normativa derivada que el ENS exige como marco organizativo.
El plan de adecuación conforme a la guía CCN-STIC 806, con calendario, responsables y criterios de aceptación para cada hito.
La Declaración de Aplicabilidad (DdA) con la justificación individualizada de cada medida del Anexo II: aplicable o excluida, y por qué.
Las evidencias de implantación de las medidas organizativas, operacionales y de protección, ordenadas y referenciadas para presentar en auditoría.
La declaración de conformidad o el expediente para la auditoría ENAC según tu categoría, con revisión previa y acompañamiento hasta cerrar el proceso.
Ángel Ortega Castro consultor ENS · Madrid
Por qué trabajar conmigo en Madrid
Un consultor que conoce los tres regímenes de contratación madrileños.
Me llamo Ángel Ortega Castro. Tengo base en Valladolid y en Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y me desplazo a Madrid cuando el proyecto lo necesita. He aprendido a moverme en el ecosistema de licitación pública de la capital, que superpone en el mismo territorio la exigencia de la Administración General del Estado, la de la Comunidad de Madrid y la del Ayuntamiento de Madrid. Esa superposición no es una complicación menor: significa que una misma empresa puede necesitar acreditar conformidad ENS ante tres órganos contratantes con criterios, ritmos y formatos de revisión distintos.
He acompañado procesos de adecuación al ENS a empresas con contratos en los hospitales del SERMAS, con las consejerías de la Comunidad de Madrid, con la UCM y con ministerios de la AGE. Conozco los puntos donde los expedientes mal construidos se rompen ante un auditor ENAC y los argumentos que funcionan cuando el técnico de una mesa de contratación madrileña pone en duda la categorización.
Soy preciso sobre el límite de mi trabajo: preparo y adecúo a tu organización hasta la conformidad, pero quien firma la certificación en categoría media o alta es siempre la entidad acreditada por ENAC. Trabajo sin subcontratar el análisis técnico a terceros y sin fabricar atajos que un auditor rechazaría en el primer control.
Consultor ENS independienteRD 311/2022 · Anexos I-IVGuías CCN-STICMAGERIT v3 · análisis de riesgosAGE · Comunidad de Madrid · SERMASAuditores ENAC en Madrid
Escenarios que acompaño con frecuencia en Madrid
Tres perfiles con los que me encuentro cada semana en la capital.
Empresa TIC · CAM y ministerios · Consejería de Digitalización
Integradora o desarrolladora con contratos en la Comunidad de Madrid o en la AGE.
Empresas que mantienen aplicaciones de gestión para las consejerías de la Comunidad de Madrid —incluida la Consejería de Digitalización— o para Madrid Digital, y que también atienden ministerios o sus organismos dependientes. Necesitan una adecuación ENS que cubra el perímetro completo sin duplicar expedientes cuando el mismo sistema da servicio a más de un organismo. La categoría oscila entre básica y media en el entorno autonómico, y sube a media o alta con frecuencia cuando el cliente es la AGE.
ISV sanitario · SERMAS · 12 de Octubre · La Paz · Ramón y Cajal · Gregorio Marañón
Proveedor de gestión hospitalaria para la red pública madrileña del SERMAS.
Empresas que venden o mantienen soluciones de historia clínica electrónica, sistemas de imagen médica, plataformas de citación o software de gestión quirúrgica para hospitales de la red del SERMAS. El 12 de Octubre, La Paz, Ramón y Cajal y Gregorio Marañón son los hospitales de referencia del sistema madrileño. El tratamiento de datos de salud sitúa la dimensión de confidencialidad en nivel medio o alto casi sin excepción, lo que implica certificación por entidad acreditada y un expediente documental especialmente robusto.
ISV universitario · UCM · UPM · Carlos III · Corredor Alcobendas-Tres Cantos
Empresa del corredor tecnológico norte que licita con UCM, UPM o Carlos III.
Empresas del parque tecnológico de Tres Cantos o de los polos empresariales de Alcobendas y Las Rozas que mantienen plataformas de administración electrónica, infraestructura de red o sistemas de investigación para la UCM, la UPM, la Universidad Carlos III de Madrid o la UAM. Las universidades madrileñas incorporan el ENS en sus contratos TIC con creciente rigor; las empresas del corredor que acrediten conformidad antes del siguiente pliego se adelantan a sus competidores directos.
La inversión, sin rodeos
¿Cuánto cuesta un ENS categoría media en Madrid con auditoría ENAC?
El presupuesto final depende de cuatro variables: el número de sistemas de información dentro del alcance, la categoría ENS resultante —básica, media o alta—, el nivel de madurez actual de tu organización en seguridad de la información, y si el contrato que persigues exige declaración de conformidad autoevaluada o certificación acreditada por ENAC. En el entorno madrileño, la categoría media es más frecuente que en otras provincias —especialmente en contratos con el SERMAS o con la AGE—, lo que implica sumar al presupuesto de consultoría el coste separado de la entidad certificadora.
Presupuesto cerrado tras el diagnóstico GAPSin sorpresas ni ampliaciones de alcance no previstas · adaptado al perfil madrileño
En categorías media o alta hay que añadir, con total separación de mis honorarios, el coste de la entidad certificadora acreditada por ENAC. Ese importe lo factura directamente el tercero que realiza la auditoría de conformidad; yo no lo intermedie ni percibo comisión sobre él. En Madrid hay auditores ENAC activos que realizan las visitas presenciales dentro del propio municipio o en el área metropolitana.
La primera videollamada es gratuita y sin compromiso. En ella reviso contigo el alcance de tus sistemas, la categoría probable en función de los organismos con los que licitáis, y el tipo de acreditación que te exige el pliego. Si encajamos, te envío una propuesta cerrada; si no, te quedas igualmente con una hoja de ruta clara para arrancar.
Dudas concretas sobre el ENS en el contexto madrileño.
¿Los pliegos de la Comunidad de Madrid piden Certificado ENS o basta la Declaración de Conformidad?+
Depende de la categoría ENS que resulte de la categorización de tus sistemas de información. Si la categoría es básica, la Comunidad de Madrid —a través de Madrid Digital o de cualquier consejería— acepta la declaración de conformidad autoevaluada emitida por la propia empresa, siempre que el expediente documental y las evidencias de implantación estén en regla conforme a las guías CCN-STIC. El órgano contratante puede solicitar esa documentación en cualquier fase del proceso de adjudicación o durante la ejecución del contrato.
Si la categoría es media o alta —habitual en contratos con el SERMAS, con Madrid Digital para sistemas críticos o con la Consejería de Sanidad—, la declaración de conformidad autoevaluada no es suficiente: el pliego exigirá certificación emitida por una entidad acreditada por ENAC. Si no conoces tu categoría, el primer paso es el análisis de categorización, que realizo en la fase de diagnóstico. Puedes iniciar el proceso desde la página de reservas o explorar el servicio completo en consultoría ENS para empresas.
¿Hay auditores ENAC en Madrid? ¿Cuántas visitas presenciales suele exigir la auditoría?+
Sí, hay entidades acreditadas por ENAC que operan en Madrid y realizan las auditorías de conformidad ENS en categorías media y alta. ENAC publica en su web el listado actualizado de entidades acreditadas conforme a UNE-EN ISO/IEC 17065:2012; algunas de ellas tienen sede propia en la ciudad o en el área metropolitana, lo que facilita la coordinación de las visitas presenciales.
En cuanto al número de visitas, no existe un estándar fijo: la entidad certificadora determina el alcance de la auditoría en función del tamaño del sistema de información, el número de sedes y la complejidad del expediente. Lo habitual en un proyecto de categoría media de alcance moderado es una o dos visitas de revisión documental y una visita de verificación in situ. Mi trabajo como consultor previo incluye dejar el expediente en un estado en que esas visitas no generen hallazgos significativos.
¿Trabajas con empresas del corredor de Alcobendas, Tres Cantos y Las Rozas?+
Sí. El corredor tecnológico del norte de la Comunidad de Madrid —Alcobendas, Tres Cantos, Las Rozas— concentra empresas TIC cuyos principales clientes son exactamente los organismos con los que trabajo: ministerios de la AGE, Comunidad de Madrid, universidades públicas madrileñas y hospitales del SERMAS. Muchas de ellas necesitan una adecuación ENS que cubra varios clientes públicos simultáneamente bajo un mismo expediente.
Trabajo en remoto con plena eficiencia en este tipo de proyectos —no cobra desplazamiento ni condiciona el calendario a la disponibilidad presencial—, y me desplazo a las instalaciones del cliente cuando el proceso de auditoría o la naturaleza del sistema lo requiere. La primera llamada de diagnóstico se hace siempre por videoconferencia, sin coste ni compromiso.
¿Cómo se coordina el ENS entre Madrid y el resto de sedes de una TIC nacional?+
Para empresas con sede en Madrid y sedes o delegaciones en otras provincias o comunidades autónomas, la clave es definir con precisión el alcance del sistema de información que entra en el proyecto ENS. El alcance no tiene por qué ser geográfico: puede definirse por el sistema o servicio que se presta al organismo contratante, con independencia de dónde estén los servidores o el personal que lo mantiene.
En la práctica, muchas empresas TIC nacionales tienen la sede corporativa en Madrid pero prestan servicios a administraciones de varias comunidades autónomas. Lo más eficiente es construir un único expediente ENS con un alcance bien delimitado que cubra los sistemas afectados en todas las sedes, evitando duplicidades documentales. La coordinación con los equipos de otras localidades —Valladolid, Toledo, Guadalajara, etc.— la gestiono directamente durante el proceso de adecuación. También puedes revisar cómo atiendo otras ciudades del territorio en Valladolid, Toledo o Guadalajara.
¿Cuánto cuesta un ENS categoría media en Madrid con auditoría acreditada?+
El coste de un proyecto ENS en categoría media tiene dos componentes separados: los honorarios de consultoría para la preparación del expediente completo —diagnóstico, categorización, análisis de riesgos MAGERIT, política de seguridad, DdA, implantación de medidas y preparación de la auditoría— y el coste de la entidad certificadora acreditada por ENAC, que factura directamente al cliente y que yo no intermedie.
No doy cifras cerradas sin conocer el alcance real, porque el coste depende del número de sistemas de información afectados, del nivel de madurez de partida y de la complejidad del entorno técnico. En la primera llamada gratuita reviso esas variables contigo y, si encajamos, te preparo una propuesta con presupuesto cerrado y sin sorpresas. Lo que sí puedo decirte es que el coste de no estar adecuado —quedar excluido de un pliego con el SERMAS o con un ministerio de la AGE— es siempre mayor que el de la adecuación.
¿Es compatible el ENS con la ISO 27001 si ya tenemos esa certificación?+
Son marcos compatibles que comparten una parte significativa de controles. Si tu empresa ya tiene ISO 27001 certificada o está en proceso de certificación, ese trabajo se aprovecha directamente en la adecuación al ENS: la política de seguridad, el análisis de riesgos y gran parte del marco organizativo y operacional son reutilizables. El ENS añade requisitos específicos del contexto de la Administración pública española que ISO 27001 no cubre, pero el esfuerzo incremental se reduce considerablemente.
Para licitar con la Comunidad de Madrid, los hospitales del SERMAS o cualquier ministerio de la AGE, lo que el pliego exige es la conformidad con el ENS, no ISO 27001. Tener ISO 27001 es un activo que acelera el proceso; no sustituye la acreditación ENS. En la guía ENS explico en detalle las diferencias entre ambos marcos.
¿Quién es Madrid Digital y por qué mi pliego lo nombra?+
Es la Agencia para la Administración Digital de la Comunidad de Madrid, el organismo que presta los servicios TIC a las consejerías y que figura como órgano de contratación en muchos expedientes tecnológicos autonómicos. Durante años se la conoció como ICM, Agencia de Informática y Comunicaciones de la Comunidad de Madrid; ese es su nombre anterior, no el vigente.
Si el pliego pide el ENS, ¿es un requisito para entrar o algo que puntúa?+
Depende de dónde lo ponga, y hay que leerlo. La Ley 9/2017 permite tres sitios distintos: la solvencia técnica del artículo 90, que es un filtro de admisión; los criterios de adjudicación del artículo 145, que puntúan; y las condiciones especiales de ejecución del artículo 202, que obligan durante el contrato pero no impiden presentarse. El Real Decreto 311/2022 obliga a que el pliego contemple los requisitos de conformidad, pero no elige por el órgano de contratación cuál de los tres usa.
¿El ENS es un requisito de solvencia técnica?+
No por sí mismo. El Real Decreto 311/2022 no emplea la palabra «solvencia» en ningún artículo. Lo que dice su artículo 2.3 es que los pliegos contemplarán los requisitos necesarios para asegurar la conformidad con el ENS, mencionando la presentación de Declaraciones o Certificaciones de Conformidad. Que eso se articule como solvencia, como criterio de adjudicación o como condición de ejecución lo decide cada pliego al amparo de la Ley de Contratos del Sector Público.
¿Hay una agencia de ciberseguridad autonómica en Madrid?+
Sí. La Agencia de Ciberseguridad de la Comunidad de Madrid, creada por la Ley 14/2023, de 20 de diciembre, dirige y coordina la ciberseguridad de la administración autonómica. No es lo mismo que Madrid Digital, que es quien presta los servicios TIC y contrata.
Otras ciudades · Guías ENS · Servicios relacionados
Consultoría ENS en otras provincias y recursos clave.
Te propongo una primera llamada gratuita, sin compromiso y sin presentaciones de venta. En ella reviso contigo el alcance de tus sistemas, qué categoría ENS corresponde probablemente según el organismo con el que licitáis —AGE, Comunidad de Madrid, hospitales del SERMAS o universidades públicas madrileñas— y si la vía que necesitas es declaración de conformidad o certificación acreditada. Si encajamos, te envío una propuesta cerrada; si no, te quedas con una orientación útil para arrancar.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Comunidad de Madrid: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
