Me llamo Ángel Ortega Castro y soy consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria: trabajo en remoto para toda España y me desplazo a Murcia cuando el proyecto lo pide. Ayudo a empresas de la ciudad y la Región en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de la Región de Murcia, el Ayuntamiento de Murcia o la Universidad de Murcia sin quedar fuera de los pliegos.
Murcia no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es la capital de la Región de Murcia y la sede del Gobierno de la Región de Murcia (CARM), organizado en consejerías con su propia política de seguridad para los servicios telemáticos que prestan. Eso significa que en la ciudad se concentra una parte muy significativa de la demanda de servicios digitales del sector público murciano: desde el mantenimiento de los sistemas de información de las distintas consejerías hasta el soporte de las plataformas de administración electrónica que usan sus organismos dependientes.
Al Gobierno de la Región de Murcia se suman tres grandes organismos contratantes de base local: el Ayuntamiento de Murcia, con una agenda de transformación digital activa —la app TuMurcia, las líneas de atención ciudadana 010 y 900 222 900 y licitaciones recientes para modernizar estos servicios con inteligencia artificial— que se plasma en contratos de software, conectividad y ciberseguridad; el Instituto de Fomento de la Región de Murcia (INFO), la agencia de desarrollo regional que impulsa la digitalización de las pymes murcianas a través de programas como el Cheque TIC; y la Universidad de Murcia (UM), que como institución pública universitaria opera sistemas sensibles —expedientes académicos, sede electrónica, plataformas de investigación en su Campus de Espinardo— y publica en su propia web información sobre su conformidad con el ENS.
Alrededor de este ecosistema de administraciones se ha desarrollado un tejido de empresas TIC —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías del Gobierno de la Región de Murcia y de sus organismos dependientes, como el INFO, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Murcia incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas, especialmente en los contratos de administración electrónica y atención ciudadana.
La Universidad de Murcia, con su campus principal en Espinardo, está sujeta al ENS y publica en su sede electrónica información específica sobre su conformidad, un requisito que traslada a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar, conviene tener claro el marco: puedes repasar la guía ENS completa o consultar en detalle el servicio de consultoría ENS para empresas.
No hay margen de duda para el sector público, y tampoco lo hay para la empresa privada que factura a una administración por contrato. En Murcia ese círculo es más amplio de lo que muchas compañías —de la capital y del resto de la Región— imaginan a primera vista.
Con estos perfiles me cruzo constantemente en la Región de Murcia:
La disposición transitoria única del RD 311/2022 concedió 24 meses para adecuar los sistemas que ya funcionaban; ese plazo terminó el 5 de mayo de 2024. Cualquier sistema nuevo, o que reciba cambios relevantes, tiene que cumplir desde el primer día. Si tu empresa todavía no se ha puesto en marcha, cada licitación que aparece en el perfil del contratante es un recordatorio de que el margen se agota.
Avanzo siguiendo la secuencia que marcan las guías CCN-STIC, desde el primer diagnóstico hasta la declaración de conformidad o la auditoría final. Terminas con un expediente documental sólido, preparado para presentarlo ante el Gobierno de la Región de Murcia, el Ayuntamiento de Murcia o cualquier otro organismo que convoque licitación.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto dónde estás hoy frente a lo que pide el ENS y delimitamos juntos el alcance: qué sistemas de información entran en el proyecto y cuáles quedan fuera. | Informe de diagnóstico que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Someto cada sistema a las cinco dimensiones de seguridad —CIDAT— y de ahí sale la categoría que le corresponde: básica, media o alta. | Documento conforme al Anexo I del ENS: fija el nivel de exigencia y la vía de conformidad que aplica en tu caso. |
| Fase 03 Análisis de riesgos | Recorro activos, amenazas y salvaguardas con la metodología MAGERIT como hilo conductor. | Informe de riesgos junto con el plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Construyo la política de seguridad de la información, escojo las medidas pertinentes y cierro la Declaración de Aplicabilidad (DdA) con la justificación de cada control incluido. | Plan de adecuación y declaración de conformidad, elaborados siguiendo la guía CCN-STIC 806. |
| Fase 05 Implantación | Pongo en marcha, junto a tu equipo, las medidas del Anexo II —marco organizativo, operacional y de protección— sin dejar ningún paso suelto. | Registro de evidencias por cada medida implantada, preparado para la auditoría. |
| Fase 06 Conformidad final | Hago una última revisión antes de cerrar el expediente. Si estás en básica, respaldo la declaración autoevaluada; si estás en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Expediente conforme al Anexo III: yo dejo lista la conformidad; la certificación media o alta la firma un tercero acreditado por ENAC. |
Nadie elige su categoría a capricho. Sale de valorar, dimensión por dimensión, qué ocurriría si un sistema sufriera un incidente: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, las cinco siglas que forman CIDAT. Y siempre pesa más la dimensión que marque el nivel más alto de las cinco.
Entra aquí cuando un incidente dejaría un daño limitado sobre las funciones, los activos o las personas de tu organización. Es la categoría en la que aterrizan, con diferencia, más proveedores de servicios auxiliares.
Toca cuando el perjuicio de un incidente sería grave: hay al menos una dimensión que sube a nivel medio. Suele aparecer en sistemas de gestión administrativa o que manejan datos sensibles.
Corresponde a un perjuicio muy grave, a veces irreparable: alguna dimensión escala hasta nivel alto. Es el terreno de los sistemas críticos y de los datos más sensibles.
Si estás en básica, la conformidad se acredita con una declaración de conformidad autoevaluada: es tu propia organización quien certifica el cumplimiento, apoyándose en las guías CCN-STIC. Mi trabajo es dejar la documentación y las evidencias tan sólidas que esa declaración resista cualquier revisión del organismo contratante.
En media o alta, la conformidad solo se consigue con la certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te dejo preparado para superar esa certificación; quien la emite es siempre la entidad acreditada, nunca yo.
Aquí no hay un PDF que firmas, archivas y olvidas. Sales del proyecto con el cuerpo documental y técnico completo que sostiene tu conformidad: exactamente lo que un auditor, el Gobierno de la Región de Murcia, el Ayuntamiento de Murcia o cualquier otro organismo contratante te va a reclamar dentro del expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo en remoto desde Valladolid y Las Palmas de Gran Canaria, para toda España, y me desplazo a Murcia cuando el proyecto lo pide. Conozco los tiempos, los pliegos y las exigencias habituales de organismos como el Gobierno de la Región de Murcia (CARM), el Ayuntamiento de Murcia, la Universidad de Murcia (UM) y el Instituto de Fomento de la Región de Murcia (INFO).
Acompaño de verdad, persona a persona: no te suelto un manual y desaparezco. Estoy contigo en cada fase, traduzco la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad cuando el proyecto termina.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización para la conformidad; la certificación en categoría media o alta la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con el Gobierno de la Región de Murcia o con organismos dependientes como el Instituto de Fomento (INFO) y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el Parque Científico de Murcia, en el Campus de Espinardo, que prestan servicios de desarrollo, ciberseguridad o soporte TIC al INFO, al Ayuntamiento de Murcia o a la propia Universidad de Murcia, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Proveedores que prestan servicios de infraestructura, conectividad o ciberseguridad gestionada al Ayuntamiento de Murcia, con contratos ligados a plataformas como TuMurcia o a la modernización de la atención ciudadana. La adecuación al ENS es el requisito de solvencia técnica que encontrarán en el siguiente pliego de esta naturaleza.
No existe una cifra fija, y quien te la dé sin conocer tu caso no lo conoce bien. Lo que pagas depende del alcance (número de sistemas), de la categoría (básica, media o alta), de tu punto de partida y de si hace falta certificación acreditada o basta con la declaración de conformidad.
A mis honorarios se suma, en categoría media o alta, el coste de la entidad certificadora acreditada por ENAC. Ese coste es independiente y lo factura directamente el tercero que audita la conformidad.
Sí. El Gobierno de la Región de Murcia (CARM), organizado en consejerías, está sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes, como el Instituto de Fomento de la Región de Murcia (INFO), la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Murcia (UM) es una institución pública universitaria sujeta al ENS que publica en su propia sede electrónica información específica sobre su conformidad con el Esquema. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información, como los que gestiona en su Campus de Espinardo.
Sí. El Ayuntamiento de Murcia es una entidad local sujeta al ENS por el RD 311/2022. Su agenda de transformación digital —la app TuMurcia, las líneas de atención ciudadana 010 y 900 222 900 y las licitaciones para modernizar estos servicios con inteligencia artificial— incluye cada vez con más frecuencia la conformidad con el ENS como requisito de solvencia técnica. Si tu empresa trabaja o quiere trabajar con el Ayuntamiento, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de la Región de Murcia o el Ayuntamiento de Murcia, lo que el pliego exige es el ENS.
Reservamos una primera conversación sin coste ni compromiso, para valorar el alcance de tus sistemas, la categoría que previsiblemente te corresponde y el tipo de contratación pública a la que aspiras. Si encajamos, recibes una propuesta cerrada; si no es el momento, te llevas una orientación clara para arrancar por tu cuenta.