Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente. Acompaño a empresas de Ourense y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022), combinando el trabajo en remoto con desplazamientos presenciales cuando el proyecto lo requiere, con un objetivo claro: que puedas licitar y trabajar con la Xunta de Galicia, el Concello de Ourense, la Diputación Provincial o la Universidade de Vigo sin quedar excluido de los pliegos.
Ourense no es la sede del gobierno autonómico —la Xunta de Galicia tiene su sede en Santiago de Compostela— pero eso no exime a las empresas ourensanas de las mismas obligaciones que a las de cualquier otra provincia gallega. La ciudad y la provincia cuentan con administración propia: el Concello de Ourense, con una Dirección Xeral de Administración Dixital, Transparencia e Sistemas de Información activa, y la Diputación Provincial de Ourense, que además de sus propios sistemas gestiona la administración electrónica de buena parte de los ayuntamientos de menos de 20.000 habitantes de la provincia. A ellos se suman los servicios periféricos de la Xunta de Galicia y del Servizo Galego de Saúde (SERGAS) presentes en el territorio.
El sector sanitario público tiene aquí un peso propio: el Complexo Hospitalario Universitario de Ourense (CHUO), cabecera del área sanitaria de Ourense, Verín y O Barco de Valdeorras, gestiona sistemas de información clínica y administrativa a través de su Subdirección de Sistemas y Tecnologías de la Información, sujetos como el resto del sector público al Esquema Nacional de Seguridad. A esto se añade la Universidade de Vigo, cuyo campus de Ourense —conocido como Campus da Auga— reúne siete facultades y un centro adscrito, entre ellas una escuela de ingeniería informática, y opera expedientes académicos y plataformas de administración electrónica propias con la misma obligación de cumplimiento que cualquier otro organismo público.
Alrededor de esta administración se ha desarrollado un tejido empresarial propio, con el Parque Tecnolóxico de Galicia (Tecnópole) en San Cibrao das Viñas —a doce kilómetros de la capital— como principal polo tecnológico: reúne cerca de un centenar de empresas y en torno a un 30 % de su actividad gira en torno a las tecnologías de la información y la comunicación. A ese tejido TIC se suma la base industrial tradicional de la provincia —textil (cuna de firmas como Adolfo Domínguez, Roberto Verino o Sociedad Textil Lonia), automoción, madera y agroalimentario— y el termalismo, motor turístico que ha convertido a Ourense en referencia del sector en España. Para las empresas de todos estos sectores que prestan o quieren prestar servicios digitales al sector público, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los servicios periféricos de la Xunta de Galicia en Ourense y los contratos TIC vinculados a organismos autonómicos exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Concello de Ourense y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de administración electrónica y sistemas de información.
El área sanitaria de Ourense (CHUO) y la Universidade de Vigo en su Campus de Ourense están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas del Parque Tecnolóxico de Galicia que completen su adecuación ahora se posicionan por delante de competidores que aún no han empezado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto conviene tener claro el marco completo: puedes consultar la guía ENS completa y revisar cómo trabajo en el servicio de consultoría ENS para empresas.
La obligación del ENS no se detiene en las puertas de la Administración: alcanza también a las empresas privadas que le prestan servicio mediante relación contractual. En Ourense y su provincia, ese círculo incluye a un número considerable de compañías locales.
Te acompaño personalmente en la adecuación si tu empresa encaja en alguno de estos perfiles:
El RD 311/2022 concedió, en su disposición transitoria única, un plazo de 24 meses para adecuar los sistemas ya existentes; ese margen se cerró el 5 de mayo de 2024. Los sistemas de nueva creación o los que sufran cambios significativos, en cambio, deben cumplir desde su puesta en marcha. Si tu adecuación todavía no ha arrancado, cada licitación que se publica en el perfil del contratante es una señal de que el tiempo disponible sigue reduciéndose.
Avanzamos siguiendo el orden que marcan las guías CCN-STIC, desde el diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría. Te acompaño personalmente en cada una de las seis fases para que llegues a la conformidad con orden y con documentación sólida, la que necesitas presentar ante la Xunta de Galicia, el Concello de Ourense, la Diputación Provincial o cualquier otro organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Me siento contigo a comparar tu situación real frente a lo que exige el ENS, y juntos delimitamos el alcance: qué sistemas de información quedan dentro del proyecto. | Un informe de diagnóstico que refleja la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro contigo cada sistema en las cinco dimensiones de seguridad —CIDAT— hasta fijar su categoría: básica, media o alta. | Documento conforme al Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Trabajamos juntos en la identificación de activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos acompañado de su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto contigo la política de seguridad, seleccionamos las medidas y elaboramos la Declaración de Aplicabilidad (DdA), justificando control por control. | Siguiendo la guía CCN-STIC 806: plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo paso a paso durante todo el despliegue. | Evidencias de implantación, medida por medida, listas para presentarse ante auditoría. |
| Fase 06 Conformidad final | Última revisión antes del cierre: en categoría básica te acompaño en la declaración autoevaluada; en media o alta, estoy a tu lado durante la auditoría de la entidad acreditada. | Conforme al Anexo III. Yo preparo la conformidad; la certificación en media o alta la emite un tercero acreditado por ENAC. |
La categoría de un sistema no es una decisión subjetiva: resulta de valorar qué impacto tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y es la dimensión peor valorada la que determina la categoría final.
Se aplica cuando un incidente ocasionaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. Es la categoría que más se repite entre proveedores de servicios auxiliares.
Corresponde a un perjuicio grave: al menos una dimensión llega al nivel medio. Es habitual en sistemas de gestión administrativa o que tratan datos sensibles.
Se activa cuando el perjuicio sería muy grave, en ocasiones irreparable: alguna dimensión alcanza el nivel alto. Es propia de sistemas críticos o con datos especialmente sensibles.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización la que verifica su cumplimiento siguiendo las guías CCN-STIC. Yo te preparo, documento a documento, para que esa declaración aguante cualquier revisión que haga el organismo contratante.
En categoría media o alta, hace falta certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es prepararte para superarla con garantías; quien emite la certificación es siempre la entidad acreditada, nunca yo.
Aquí no hay un PDF de relleno que acaba en un cajón. Recibes el cuerpo documental y técnico completo que sostiene la conformidad, el mismo que el auditor, la Xunta de Galicia, el Concello de Ourense, la Diputación Provincial o cualquier otro organismo contratante va a pedir ver en el expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y en Las Palmas de Gran Canaria, y trabajo en toda España, tanto en remoto como de forma presencial cuando el proyecto lo pide. He tratado de cerca el ecosistema de licitación pública gallego: sus tiempos, sus pliegos y las exigencias que suelen plantear organismos como la Xunta de Galicia, el Concello de Ourense, la Diputación Provincial de Ourense y la Universidade de Vigo.
Mi forma de trabajar es de acompañamiento real, persona a persona, nunca un manual que se entrega y desaparece. Estoy a tu lado en cada una de las fases, traduzco la norma en decisiones concretas para tu caso y dejo a tu equipo capacitado para sostener la conformidad cuando el proyecto termine, ya sea por videollamada o desplazándome a Ourense cuando hace falta.
Soy claro sobre lo que puedo hacer y lo que no: preparo y adecúo tu organización de cara a la conformidad, pero la certificación en categorías media o alta la emite siempre una entidad acreditada por ENAC. Esa honestidad, sumada al rigor con la norma vigente —RD 311/2022, sus Anexos I-IV y las guías CCN-STIC—, es lo que me separa de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con el Concello de Ourense o con la Diputación Provincial de Ourense —incluida la gestión electrónica que la Diputación presta a los ayuntamientos de menos de 20.000 habitantes— y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el Parque Tecnolóxico de Galicia (San Cibrao das Viñas) o en la propia capital que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a organismos autonómicos, a la Diputación Provincial o al Concello de Ourense, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas de mantenimiento de sistemas, soporte informático o ciberseguridad que trabajan con el Complexo Hospitalario Universitario de Ourense (CHUO) o con la Universidade de Vigo en su Campus de Ourense, y que ven en la adecuación al ENS el primer requisito de solvencia técnica para renovar o ampliar su contrato.
No existe una cifra cerrada de antemano, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que pagas depende del alcance —cuántos sistemas entran en juego—, de la categoría —básica, media o alta—, de tu madurez de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categorías media o alta hay que añadir, aparte de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: lo factura directamente el tercero que realiza la auditoría de conformidad, no yo.
Sí. Aunque la sede del gobierno autonómico esté en Santiago de Compostela, la Xunta de Galicia está sujeta al ENS en todo el territorio, incluidos sus servicios periféricos en Ourense, y traslada esa obligación a sus proveedores y contratistas de servicios TIC con independencia de dónde tenga su domicilio social la empresa. Si tu empresa presta o aspira a prestar servicios digitales a cualquier organismo autonómico, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. Tanto el Concello de Ourense —con su Dirección Xeral de Administración Dixital, Transparencia e Sistemas de Información— como la Diputación Provincial de Ourense son entidades locales sujetas al ENS por el RD 311/2022. La Diputación, además, gestiona sistemas de administración electrónica para buena parte de los ayuntamientos de la provincia con menos de 20.000 habitantes, lo que amplía el alcance de sus exigencias a los proveedores TIC que dan soporte a esos sistemas.
Sí. La Universidade de Vigo es una institución pública universitaria sujeta al ENS, y su Campus de Ourense —conocido como Campus da Auga— gestiona expedientes académicos, plataformas de administración electrónica y sistemas de investigación propios. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas. Los sistemas de información clínica del Complexo Hospitalario Universitario de Ourense suelen tratar datos especialmente sensibles, lo que habitualmente los sitúa en categoría media o alta según el Anexo I del RD 311/2022. Los proveedores de servicios auxiliares con menor acceso a datos clínicos pueden situarse en categoría básica; la categorización exacta se determina caso por caso en la fase de diagnóstico.
Sí, si entre su cartera de clientes hay administraciones públicas o entidades del sector público. El ENS no depende de que toda la facturación de la empresa venga del sector público, sino de que exista una relación contractual con una entidad sujeta al ENS —Xunta de Galicia, Concello de Ourense, Diputación Provincial, universidades públicas, SERGAS, etc.—. Muchas empresas del Parque Tecnolóxico de Galicia combinan clientes privados y públicos, y necesitan adecuar específicamente los sistemas vinculados a estos últimos.
Son marcos compatibles que comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS. El ENS es obligatorio para quien trabaja con la Administración pública española; la ISO 27001 es voluntaria e internacional. Para licitar con la Xunta de Galicia, el Concello de Ourense o la Diputación Provincial, lo que el pliego exige es la conformidad con el ENS.
La primera conversación es una videollamada breve, sin coste ni compromiso. Repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y la vía de contratación que buscas. Si tiene sentido seguir adelante, te envío una propuesta cerrada; si no encajamos, te quedas con una orientación clara para dar el siguiente paso por tu cuenta.