Soy Ángel Ortega Castro, consultor ENS independiente. Trabajo en remoto para toda España y me desplazo a Murcia cuando el proyecto lo requiere. Ayudo a empresas de la Región de Murcia —TIC que licitan con la CARM, proveedores del SMS, del Ayuntamiento de Cartagena, de la UMU, UPCT o UCAM, y empresas del sector hortofrutícola y turismo Costa Cálida— a adecuarse al RD 311/2022 para no quedar fuera de los pliegos.
Murcia. Foto: Bertobarc90 · CC BY-SA 4.0 · Wikimedia Commons
ENS en Murcia · singularidades que importan
La Región de Murcia tiene una arquitectura institucional diferente al resto de España.
La Región de Murcia es uniprovincial: no existe Diputación Provincial. La Comunidad Autónoma de la Región de Murcia (CARM), con sede en Murcia capital, absorbe las competencias que en otras comunidades se reparten entre el gobierno regional y las diputaciones. Esto significa que la Presidencia de la CARM y la Asamblea Regional de Murcia concentran una masa de contratos TIC muy superior a la que tendría una comunidad con estructura de diputaciones. Para una empresa tecnológica murciana, trabajar con la Administración casi siempre significa trabajar con la CARM, el Ayuntamiento de Murcia o el Ayuntamiento de Cartagena, las dos ciudades con mayor volumen de contratación pública digital de la región.
A este ecosistema se suman tres organismos que generan demanda permanente de servicios TIC: el Servicio Murciano de Salud (SMS), que gestiona la red hospitalaria pública regional con el Hospital Virgen de la Arrixaca en Murcia capital, el Hospital Reina Sofía en Murcia y el Hospital Santa Lucía en Cartagena como referencias; las tres universidades públicas y privadas de la región —UMU (Universidad de Murcia), UPCT (Universidad Politécnica de Cartagena) y UCAM (Universidad Católica San Antonio de Murcia)—; y el IMIDA (Instituto Murciano de Investigación y Desarrollo Agrario y Medioambiental), que desarrolla sistemas de información para la trazabilidad y la gestión agroalimentaria.
Fuera del sector público, Murcia tiene dos motores económicos privados con creciente exposición normativa: el sector hortofrutícola de exportación —con Proexport como asociación de referencia y empresas que trabajan con compradores europeos que exigen certificaciones de seguridad de la información— y el complejo industrial de Cartagena, donde Repsol opera una de sus refinerías más grandes de España junto a empresas auxiliares que acceden a sistemas de información críticos. El turismo de la Costa Cálida suma un tercer vector: los operadores y plataformas digitales de hostelería que trabajan con las administraciones turísticas regionales.
CARM y Presidencia: la contratación central
La Presidencia de la CARM y la Asamblea Regional de Murcia publican contratos TIC de forma continua en el perfil del contratante. Sin conformidad con el ENS, quedar fuera del pliego es la norma, no la excepción.
SMS: tres hospitales, una plataforma
El Hospital Virgen de la Arrixaca, el Hospital Reina Sofía y el Hospital Santa Lucía de Cartagena comparten la plataforma TIC del SMS. Los proveedores que acceden a esos sistemas heredan la obligación ENS del organismo.
UMU, UPCT y UCAM: tres modelos distintos
La UMU y la UPCT son universidades públicas sujetas directamente al ENS. La UCAM, privada, trabaja con financiación pública en investigación y puede trasladar el requisito a sus proveedores tecnológicos en proyectos de esa naturaleza.
Hortofrutícola, Repsol y Costa Cálida
Proexport y las grandes cooperativas exportadoras trabajan con compradores europeos que exigen trazabilidad digital. El complejo Repsol en Cartagena y los operadores turísticos de la Costa Cálida añaden contratos con sistemas de información críticos.
Perfiles que encuentro habitualmente en la Región de Murcia.
La Región de Murcia concentra la obligación del ENS en cuatro círculos que se solapan con frecuencia: administración regional y local, sanidad pública, universidad y sector agroalimentario exportador. Estos son los perfiles con los que trabajo:
Desarrollas o mantienes software para la CARM. Las consejerías de la Comunidad Autónoma de la Región de Murcia, la Presidencia de la CARM y la Asamblea Regional de Murcia publican licitaciones TIC de forma constante. Sin conformidad con el RD 311/2022, tu empresa no pasa el filtro de solvencia técnica.
Provees servicios TIC al SMS o a sus hospitales. El Servicio Murciano de Salud gestiona datos sanitarios de máxima sensibilidad en el Hospital Virgen de la Arrixaca, el Hospital Reina Sofía y el Hospital Santa Lucía de Cartagena. Los proveedores de software clínico, conectividad o ciberseguridad de estos centros están obligados a acreditar conformidad con el ENS, normalmente en categoría media.
Trabajas con la UMU, la UPCT o la UCAM. La Universidad de Murcia y la Universidad Politécnica de Cartagena son instituciones públicas directamente sujetas al ENS. Contratos de desarrollo de plataformas educativas, gestión de expedientes académicos o infraestructura de red incluyen el requisito de forma habitual.
Prestas servicios al Ayuntamiento de Murcia o al Ayuntamiento de Cartagena. Los dos municipios más grandes de la región tienen agendas de transformación digital activas. El Ayuntamiento de Cartagena, con su complejidad industrial y portuaria a través de la Autoridad Portuaria de Cartagena, genera contratos TIC propios de categoría media.
Tu empresa exporta soluciones digitales al sector hortofrutícola. Proexport agrupa a más de 170 empresas exportadoras de frutas y hortalizas murcianas. Las grandes cooperativas que trabajan con compradores alemanes, británicos y escandinavos reciben cada vez más auditorías de seguridad de la información que requieren acreditación formal.
Eres proveedor TIC del IMIDA o de la Autoridad Portuaria de Cartagena. El Instituto Murciano de Investigación y Desarrollo Agrario y Medioambiental y la Autoridad Portuaria son organismos públicos con sistemas de información propios. Sus proveedores de soporte, análisis de datos o infraestructura digital arrastran la obligación ENS.
El plazo transitorio del RD 311/2022 terminó el 5 de mayo de 2024. Todo sistema nuevo o que reciba cambios relevantes debe cumplir desde el primer día. Si tu empresa aún no ha iniciado la adecuación, cada licitación publicada en contratacion.carm.es es un recordatorio de que el margen se agota.
Licitaciones donde el ENS ya es requisito en la Región de Murcia.
El perfil del contratante de la CARM recoge de forma permanente contratos en los que la conformidad con el ENS aparece como criterio de solvencia técnica o condición de ejecución. Estos tres tipos de licitaciones son los que encuentro con más frecuencia en los pliegos murcianos:
Tipos de licitación TIC con requisito ENS en la CARM y sus organismos
Organismo / ámbito
Tipo de contrato habitual
Categoría ENS frecuente · fuente
CARM · Presidencia y consejerías
Desarrollo y mantenimiento de aplicaciones de administración electrónica, sede electrónica y servicios telemáticos al ciudadano.
Avanzo siguiendo la secuencia que marcan las guías CCN-STIC, desde el primer diagnóstico hasta la declaración de conformidad o la auditoría final. Terminas con un expediente documental sólido, preparado para presentarlo ante la CARM, el SMS, la UMU, la UPCT, el Ayuntamiento de Murcia o el Ayuntamiento de Cartagena.
Recorrido y entregables del proceso de adecuación al ENS
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Contrasto dónde estás hoy frente a lo que pide el ENS y delimitamos el alcance: qué sistemas de información entran en el proyecto y cuáles quedan fuera.
Informe de diagnóstico que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad.
Fase 02 Categorización
Someto cada sistema a las cinco dimensiones de seguridad —CIDAT— y de ahí sale la categoría: básica, media o alta.
Documento conforme al Anexo I del ENS: fija el nivel de exigencia y la vía de conformidad que aplica.
Fase 03 Análisis de riesgos
Recorro activos, amenazas y salvaguardas con la metodología MAGERIT como hilo conductor.
Informe de riesgos y plan de tratamiento.
Fase 04 Plan de adecuación + DdA
Construyo la política de seguridad de la información, escojo las medidas pertinentes y cierro la Declaración de Aplicabilidad (DdA).
Plan de adecuación y declaración de conformidad, elaborados siguiendo la guía CCN-STIC 806.
Fase 05 Implantación
Pongo en marcha, junto a tu equipo, las medidas del Anexo II —marco organizativo, operacional y de protección.
Registro de evidencias por cada medida implantada, preparado para la auditoría.
Fase 06 Conformidad final
Última revisión antes de cerrar el expediente. En básica, respaldo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría acreditada.
Expediente conforme al Anexo III. La certificación media o alta la firma una entidad acreditada por ENAC, nunca yo.
La categoría no se elige: sale de valorar qué ocurriría si un sistema sufriera un incidente en las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad). En Murcia, los proveedores TIC de la CARM suelen situarse en básica o media; los del SMS, en media; los de infraestructuras críticas como la Autoridad Portuaria de Cartagena, en media o alta.
Categoría básica
Perjuicio limitado
La más habitual entre proveedores de software de gestión y servicios auxiliares de la CARM. Un incidente causaría un daño limitado sobre las funciones de la organización.
Las cinco dimensiones se quedan en nivel bajo
Basta una declaración autoevaluada
El paquete de medidas es manejable y proporcionado
Categoría media
Perjuicio grave
Frecuente en los contratos del SMS (Arrixaca, Reina Sofía, Santa Lucía) y en sistemas de administración electrónica con datos sensibles de ciudadanos.
Al menos una dimensión sube a nivel medio
Conformidad mediante certificación acreditada
Auditoría de conformidad obligatoria cada dos años
Categoría alta
Perjuicio muy grave
Reservada para sistemas críticos: infraestructuras de la Autoridad Portuaria de Cartagena, sistemas de control industrial en el complejo de Repsol o plataformas de emergencias.
Alguna dimensión escala hasta nivel alto
Certificación acreditada obligatoria
Auditoría de conformidad cada dos años
Dos vías para acreditar la conformidad
Básica: declaración de conformidad
Si estás en básica, la conformidad se acredita con una declaración de conformidad autoevaluada. Mi trabajo es dejar la documentación y las evidencias tan sólidas que esa declaración resista cualquier revisión del organismo contratante de la CARM, del SMS o de los ayuntamientos.
Media o alta: certificación acreditada
En media o alta, la conformidad exige certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te preparo para superar esa certificación; quien la emite es siempre la entidad acreditada, nunca yo.
Lo que te llevas
El expediente que acredita tu conformidad.
Sales del proyecto con el cuerpo documental y técnico completo que sostiene tu conformidad: exactamente lo que un auditor, la CARM, el SMS, la UMU, la UPCT, el Ayuntamiento de Murcia o el Ayuntamiento de Cartagena te van a reclamar dentro del expediente de licitación.
Informe de diagnóstico y análisis GAP, con la distancia real entre dónde partes y lo que exige el ENS.
Categorización del sistema en las cinco dimensiones CIDAT y el nivel resultante: básica, media o alta.
Análisis de riesgos con metodología MAGERIT, junto con su plan de tratamiento.
Política de seguridad de la información, con la normativa interna que se desprende de ella.
Plan de adecuación conforme a la guía CCN-STIC 806, con responsables, plazos y prioridades definidas.
Declaración de Aplicabilidad (DdA) que justifica cada medida escogida del Anexo II.
Evidencias de implantación de las medidas organizativas, operacionales y de protección aplicadas.
Preparación de la auditoría o de la declaración: revisión previa, checklist y acompañamiento durante todo el proceso.
Ángel Ortega Castro Consultor ENS en Murcia
Por qué contar conmigo
Un consultor ENS que conoce la arquitectura institucional de la Región de Murcia.
Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo en remoto desde Valladolid y Las Palmas de Gran Canaria, para toda España, y me desplazo a Murcia cuando el proyecto lo requiere. Conozco los tiempos, los pliegos y las exigencias habituales de la CARM, la Presidencia de la CARM, la Asamblea Regional de Murcia, el SMS, el Ayuntamiento de Murcia, el Ayuntamiento de Cartagena, la UMU, la UPCT y la Autoridad Portuaria de Cartagena.
El hecho de que Murcia sea uniprovincial —sin Diputación Provincial— tiene implicaciones directas sobre el alcance de los contratos que gestiona directamente la CARM. Eso significa que muchas empresas TIC murcianas tienen una exposición a la obligación del ENS mayor de lo que imaginan: un contrato con cualquier consejería arrastra el Esquema de forma directa.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización para la conformidad; la certificación en categoría media o alta la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, junto al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de consultoras que prometen lo que no pueden garantizar.
Tres escenarios habituales en la Región de Murcia.
TIC · universidades y CARM
Empresa de software que trabaja con UMU, UPCT y UCAM y aspira a contratos de la CARM.
Una empresa tecnológica murciana tiene contratos de mantenimiento de plataformas educativas con la UMU y la UPCT, y quiere presentarse a un pliego de la Presidencia de la CARM para digitalizar un proceso administrativo. Necesita categorizar sus sistemas —probablemente básica en las universidades, media en la CARM— y unificar el expediente documental para no duplicar el trabajo. El proyecto arranca con un diagnóstico único que cubre todos los ámbitos y produce la documentación compartida con los ajustes específicos por organismo.
ISV · hospitales SMS
Proveedor de software clínico para el Hospital Virgen de la Arrixaca, el Reina Sofía y el Santa Lucía.
Un fabricante de software de historia clínica electrónica tiene contratos activos con los tres hospitales del SMS. El pliego de renovación exige conformidad ENS en categoría media. La adecuación pasa por categorizar correctamente los sistemas de información sanitaria, construir el análisis de riesgos MAGERIT con los activos reales —datos de pacientes, integración con sistemas de imagen médica— y preparar el expediente para la certificación de una entidad acreditada por ENAC. El proyecto incluye la coordinación con los responsables de seguridad del SMS.
Agroalimentario · Proexport y exportación
Consultora tecnológica que digitaliza procesos de trazabilidad para cooperativas de la red Proexport.
Una empresa de servicios digitales trabaja con varias cooperativas hortofrutícolas de la red Proexport. Sus plataformas de trazabilidad gestionan datos de producción, certificación y cadena de suministro que los compradores europeos auditan cada vez con más exigencia. Además, parte de los proyectos recibe cofinanciación del IMIDA, lo que arrastra la obligación del ENS. La adecuación se plantea en categoría básica para el núcleo de trazabilidad y media para los módulos con datos de entidades públicas.
Sobre la inversión
¿Cuánto cuesta el ENS en Murcia?
No existe una cifra fija, y quien te la dé sin conocer tu caso no lo conoce bien. Lo que pagas depende del alcance (número de sistemas), de la categoría (básica, media o alta), de tu punto de partida y de si hace falta certificación acreditada o basta con la declaración de conformidad.
Presupuesto cerrado, tras el diagnósticoAjustado a tu alcance y tu categoría, sin sorpresas
A mis honorarios se suma, en categoría media o alta, el coste de la entidad certificadora acreditada por ENAC. Ese coste es independiente y lo factura directamente el tercero que audita la conformidad.
En la primera llamada revisamos tu alcance, la categoría que previsiblemente te corresponde y el tipo de contratación pública que buscas —CARM, SMS, UMU, UPCT, Ayuntamiento de Murcia o Ayuntamiento de Cartagena—. De ahí sale una propuesta cerrada, sin compromiso. Reserva tu hueco aquí.
Preguntas frecuentes
Dudas habituales sobre el ENS en Murcia.
Murcia es uniprovincial y no tiene Diputación: ¿cómo afecta eso a la contratación TIC?+
La ausencia de Diputación Provincial en la Región de Murcia significa que la CARM —Comunidad Autónoma de la Región de Murcia— absorbe competencias que en otras comunidades se reparten entre el gobierno regional y las diputaciones. La Presidencia de la CARM y la Asamblea Regional de Murcia concentran, por tanto, un volumen de contratación TIC superior al de una región con estructura de diputaciones. Para una empresa tecnológica murciana esto implica que trabajar con "la Administración" casi siempre significa trabajar con la CARM, y que la obligación del ENS está presente en una proporción mayor de contratos públicos que en otras provincias.
¿Los tres hospitales del SMS (Arrixaca, Reina Sofía y Santa Lucía) tienen la misma categoría ENS?+
No necesariamente, aunque todos están bajo el paraguas del Servicio Murciano de Salud. La categoría ENS la determina la valoración de impacto de cada sistema de información concreto, no el nombre del hospital. En la práctica, los sistemas de historia clínica electrónica y los que gestionan datos de pacientes suelen situarse en categoría media por la sensibilidad de los datos. Sin embargo, un proveedor que da soporte técnico a la infraestructura de red general o a sistemas auxiliares sin acceso a datos clínicos puede estar en categoría básica. La categorización se hace sistema a sistema, no hospital a hospital.
¿La UCAM (Universidad Católica San Antonio de Murcia) está sujeta al ENS?+
La UCAM es una universidad privada, por lo que no está sujeta directamente al ENS como institución. Sin embargo, cuando participa en proyectos de investigación con financiación pública —del IMIDA, de la CARM o de fondos europeos con administración pública española como contratante— los sistemas de información de esos proyectos sí pueden quedar dentro del alcance del ENS. Los proveedores TIC que trabajan con la UCAM en esos contextos deben verificar con el organismo público financiador si la obligación se extiende a sus sistemas. La UMU y la UPCT, como universidades públicas, sí están sujetas directamente.
¿Proexport o las cooperativas hortofrutícolas murcianas están obligadas por el ENS?+
Proexport es una asociación privada y sus cooperativas son entidades privadas: ninguna está obligada directamente por el ENS. La obligación ENS llega a este sector por dos vías. Primera: cuando una cooperativa o empresa agroalimentaria accede a subvenciones o contratos con el IMIDA, la CARM o el Ministerio de Agricultura, y los sistemas de información implicados quedan dentro del alcance del organismo público contratante. Segunda: cuando los compradores europeos exigen en sus auditorías de proveedores certificaciones de seguridad compatibles con el ENS. En ambos casos, es el proveedor TIC que digitaliza los procesos de la cooperativa quien acaba teniendo que acreditar conformidad, no la cooperativa directamente.
¿La Autoridad Portuaria de Cartagena exige el ENS a sus proveedores TIC?+
Sí. La Autoridad Portuaria de Cartagena es un organismo público que gestiona infraestructuras críticas y sistemas de control del tráfico portuario. Como entidad pública, está sujeta al ENS y puede exigir conformidad a sus proveedores de sistemas de gestión portuaria, control de accesos y ciberseguridad. Por la naturaleza crítica de sus operaciones, los contratos TIC del puerto tienden a situarse en categoría media o alta. Si tu empresa presta o quiere prestar servicios tecnológicos al Puerto de Cartagena, consulta el nivel ENS que te corresponde antes de presentarte al pliego.
¿Puedo adecuar a la vez los sistemas que uso con la UMU, la UPCT y la CARM en un solo proyecto?+
Sí, y habitualmente es lo más eficiente. Si tus sistemas de información son los mismos o muy parecidos en los tres ámbitos —UMU, UPCT y CARM—, el trabajo de diagnóstico, categorización, análisis de riesgos MAGERIT y documentación se puede compartir en gran parte, ajustando solo los puntos donde los pliegos de cada organismo presentan diferencias. El resultado es un expediente único con secciones diferenciadas por organismo, lo que reduce el coste total frente a hacer tres proyectos separados. Para empresas TIC murcianas con varios clientes del sector público regional, este enfoque integrado es el más habitual. Cuéntame tu caso en una llamada y te doy una valoración concreta.
¿El ENS es compatible con la ISO 27001 si ya la tengo implantada?+
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; la ISO 27001 es voluntaria e internacional. Para licitar con la CARM, el SMS, la UMU, la UPCT o el Ayuntamiento de Cartagena, lo que el pliego exige es el ENS, no la ISO 27001 —aunque tenerla ambas refuerza tu propuesta técnica.
Otras provincias · Guías ENS
Consultoría ENS en otras provincias y recursos clave.
¿Damos el primer paso con tu adecuación ENS en Murcia?
Reservamos una primera conversación sin coste ni compromiso para valorar el alcance de tus sistemas, la categoría que previsiblemente te corresponde y el tipo de contratación pública a la que aspiras —CARM, SMS, universidades, Ayuntamiento de Murcia o Ayuntamiento de Cartagena—. Si encajamos, recibes una propuesta cerrada; si no es el momento, te llevas una orientación clara para arrancar por tu cuenta.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Región de Murcia: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
