Soy Ángel Ortega Castro, consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria. Acompaño a empresas de toda España en la adecuación al Esquema Nacional de Seguridad (RD 311/2022) y, cuando el proyecto lo requiere, me desplazo a Oviedo. La capital del Principado concentra la mayor densidad de organismos contratantes de Asturias: el Gobierno del Principado de Asturias, la Junta General del Principado, la Consejería de Presidencia, el Ayuntamiento de Oviedo, la Universidad de Oviedo (Uniovi) y el complejo hospitalario HUCA-SESPA. Si tu empresa presta servicios TIC a cualquiera de ellos, el ENS no es opcional.
Oviedo. Foto: Frobles · CC BY-SA 4.0 · Wikimedia Commons
Por qué Oviedo tiene una dinámica ENS propia
Sede del Principado, Uniovi y HUCA: tres motores de demanda en una misma ciudad.
Oviedo acumula una concentración de poder contratante que pocas ciudades españolas de su tamaño pueden igualar. El Gobierno del Principado de Asturias tiene aquí su sede central —con la Consejería de Presidencia en la calle Hermanos Menéndez Pidal y el resto de consejerías distribuidas por el centro histórico— y la Junta General del Principado, el parlamento autonómico, ocupa su propio edificio en la calle Fruela con portal de contratación electrónica propio. Ambos organismos publicaron contratos TIC en miprincipado.asturias.es que ya exigen conformidad ENS de forma expresa.
El Ayuntamiento de Oviedo gestiona sus servicios de tecnologías de la información con sede electrónica activa y ha licitado soluciones de administración digital, ciberseguridad y soporte técnico con exigencias de seguridad crecientes. A unos metros, la Universidad de Oviedo (Uniovi) —fundada en 1608, la tercera universidad más antigua de España y la única pública de Asturias, con campus principal en el Cristo A y Cristo B de Oviedo— gestiona sistemas de expediente académico, plataformas de investigación y administración electrónica que la sitúan plenamente bajo el ENS. El Real Instituto de Estudios Asturianos (RIDEA), institución cultural adscrita al Principado, y la Fundación Princesa de Asturias, con sede en Oviedo y notoriedad internacional gracias a los Premios Princesa, añaden organismos adicionales con necesidades de cumplimiento.
El grueso del volumen sanitario recae en el Servicio de Salud del Principado de Asturias (SESPA) y en el Hospital Universitario Central de Asturias (HUCA), el mayor complejo hospitalario de la comunidad autónoma, cuyo sistema de historia clínica electrónica le valió la acreditación HIMSS nivel 6. Los proveedores que mantienen o desarrollan software para el HUCA-SESPA se mueven casi siempre en categoría media del ENS, la que exige certificación acreditada por ENAC. La Radio Televisión del Principado de Asturias (RTPA), cuya sede oficial está en Oviedo, es otro organismo público sujeto al ENS. Y el IDEPA —Instituto de Desarrollo Económico del Principado de Asturias—, también radicado en la capital, apoya proyectos de innovación y digitalización que en muchos casos conectan con la cadena de suministro del sector público regional. Por su parte, la Fábrica de Armas de Trubia, referente histórico de la industria asturiana, representa el pasado industrial que ahora se reconvierte en empresa con necesidades de cumplimiento normativo cuando compite por contratos públicos.
Alrededor de esta masa crítica de organismos ha crecido un tejido TIC que da soporte tecnológico a toda la administración asturiana y que necesita acreditar el ENS para seguir en los pliegos. El Auditorio Príncipe Felipe de Oviedo, referente cultural gestionado por el Principado, ejemplifica cómo incluso equipamientos culturales de titularidad pública arrastran requisitos de seguridad a sus proveedores de gestión digital.
Gobierno del Principado y Junta General
El Principado de Asturias y su parlamento autonómico son los contratantes de mayor volumen en Oviedo. Sus contratos TIC exigen con creciente frecuencia conformidad expresa con el RD 311/2022.
Uniovi: la tercera más antigua de España
La Universidad de Oviedo, fundada en 1608, gestiona desde sus campus del Cristo A y B sistemas de expediente académico, investigación y administración electrónica que obligan al ENS a sus proveedores TIC.
HUCA-SESPA: categoría media casi siempre
El Hospital Universitario Central de Asturias y el SESPA tratan datos clínicos especialmente sensibles. Sus proveedores TIC suelen caer en categoría media del ENS, que exige certificación acreditada por ENAC.
Fundación Princesa, RTPA e IDEPA
La Fundación Princesa de Asturias, la RTPA y el IDEPA completan el ecosistema institucional ovetense. Proveedores de soluciones digitales para todos ellos entran en el alcance del ENS.
¿Tu empresa entra en el alcance del ENS desde Oviedo?
Quién necesita el ENS en la capital asturiana.
El Esquema Nacional de Seguridad no hace excepciones por tamaño ni por ubicación: obliga a todo el sector público y a los proveedores privados que les prestan servicio por contrato. Oviedo concentra la práctica totalidad de las instituciones autonómicas de Asturias en un perímetro reducido, lo que convierte a la ciudad en el foco de mayor densidad de obligación ENS de toda la comunidad. Conocer con exactitud cuál es tu perfil ahorra tiempo y dinero antes de arrancar la adecuación.
Estos son los perfiles que con más frecuencia me consultan desde Oviedo:
ISV o integrador con contratos en la sede administrativa del Principado. Si tu empresa desarrolla, mantiene o evoluciona software para cualquiera de las consejerías del Gobierno del Principado de Asturias —la Consejería de Presidencia, la Consejería de Transformación Digital o cualquier otra— o para organismos dependientes como el IDEPA, la conformidad ENS es un requisito habitual de solvencia técnica. La categoría suele ser básica, a veces media si los sistemas tratan datos especialmente sensibles.
Proveedor de servicios gestionados para el Ayuntamiento de Oviedo o la Junta General del Principado. Soporte técnico, administración de redes, alojamiento en la nube, gestión de identidades: todos estos servicios prestados a entidades locales y al parlamento autonómico entran en el alcance del RD 311/2022 cuando los sistemas gestionados son propios de la Administración.
Consultora o ISV que trabaja con Uniovi. La Universidad de Oviedo, con su campus principal en el Cristo A y B de Oviedo, opera sistemas de expediente académico, plataformas de investigación y gestión de solicitudes de acceso que la posicionan plenamente bajo el ENS. Sus proveedores TIC deben acreditar conformidad para los contratos que implican acceso a esos sistemas.
Empresa TIC que da soporte a sistemas del HUCA o el SESPA. El Hospital Universitario Central de Asturias gestiona historias clínicas de toda Asturias; el SESPA coordina la atención sanitaria pública de la región. Los datos de salud hacen que casi todos los sistemas de información sanitaria caigan en categoría media del ENS, lo que exige certificación acreditada por ENAC y auditoría bienal.
Proveedor de soluciones digitales para la Fundación Princesa de Asturias, la RTPA o el RIDEA. Son organismos de titularidad o adscripción pública con sede en Oviedo. Sus contratos de digitalización, streaming, gestión de contenidos o soporte TIC arrastran obligación ENS al proveedor cuando implican acceso a sus sistemas de información.
Empresa industrial o de servicios que compite por contratos autonómicos. La reconversión industrial de sectores como el que representó la Fábrica de Armas de Trubia ha generado empresas que ahora compiten por contratos públicos de innovación tecnológica y defensa; cuando esos contratos implican sistemas de información autonómicos, el ENS se activa.
El plazo transitorio del RD 311/2022 para adaptar sistemas ya existentes expiró el 5 de mayo de 2024. Todo sistema nuevo o con cambio sustancial nace directamente obligado. Para las empresas de Oviedo que todavía no han empezado, cada pliego que se publica en miprincipado.asturias.es con requisito ENS es una oportunidad perdida.
Marco legal: Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). Coordinación: Centro Criptológico Nacional (CCN). Verificación independiente en categorías media y alta: entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065.
El itinerario, paso a paso
Cómo avanza el proyecto ENS en Oviedo.
Sigo el orden que marcan las guías CCN-STIC: del diagnóstico inicial hasta dejar lista la declaración de conformidad —si tu categoría acaba siendo básica— o la documentación que auditará la entidad acreditada —si es media o alta—. La meta es llegar con un expediente que pase la revisión del Gobierno del Principado de Asturias, la Junta General del Principado, el Ayuntamiento de Oviedo, la Universidad de Oviedo o el HUCA-SESPA, según sea tu contratante.
Ruta de adecuación al ENS · fases y entregables
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Comparo tu situación de partida con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto.
Informe de diagnóstico: dónde estás hoy y qué brechas hay que cerrar primero.
Fase 02 Categorización
Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y fijo la categoría que le corresponde: básica, media o alta.
Anexo I del ENS. De aquí sale el nivel de exigencia real y si tu vía será la autoevaluación o la certificación acreditada.
Fase 03 Análisis de riesgos
Inventario de activos, amenazas y salvaguardas aplicando la metodología MAGERIT.
Informe de análisis de riesgos con su plan de tratamiento asociado.
Fase 04 Plan de adecuación + DdA
Redacto la política de seguridad, selecciono las medidas pertinentes y justifico cada control en la Declaración de Aplicabilidad (DdA).
Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad.
Fase 05 Implantación
Se despliegan las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo, paso a paso.
Evidencias de implantación, medida por medida, preparadas para auditoría.
Fase 06 Conformidad final
Revisión previa antes del cierre. Si tu categoría es básica, te acompaño en la declaración autoevaluada; si es media o alta, en la auditoría de la entidad acreditada.
Anexo III. Yo preparo la conformidad; la certificación en media/alta la firma un tercero acreditado por ENAC.
No eliges la categoría a capricho: se calcula por el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que puntúe más alto.
Categoría básica
Impacto limitado
Se aplica cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. Suele ser la categoría de partida para los proveedores de servicios auxiliares.
Ninguna dimensión CIDAT pasa del nivel bajo
La conformidad se resuelve con declaración autoevaluada
El conjunto de medidas exigido es proporcionado, asumible para una pyme
Categoría media
Impacto grave
Aparece cuando alguna dimensión CIDAT alcanza el nivel medio y el perjuicio de un incidente sería grave. Es habitual en sistemas de gestión administrativa o en tratamientos de datos sensibles, el terreno donde suelen moverse quienes trabajan con el SESPA o con la propia Universidad de Oviedo.
Al menos una dimensión CIDAT llega a nivel medio
La conformidad exige certificación de una entidad acreditada
Toca pasar auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Se activa cuando alguna dimensión CIDAT llega al nivel alto y el perjuicio de un incidente sería muy grave, incluso irreparable. Es el terreno de los sistemas críticos o de los datos especialmente sensibles.
Alguna dimensión CIDAT alcanza el nivel alto
También aquí la conformidad requiere certificación acreditada
Y también auditoría de conformidad bienal
Dos caminos hasta la conformidad
Básica → declaración de conformidad
En categoría básica te acreditas con una declaración de conformidad autoevaluada: es tu propia organización, siguiendo las guías CCN-STIC, quien confirma el cumplimiento. Yo preparo esa documentación y las evidencias para que la declaración aguante cualquier revisión del organismo contratante, ya sea el Ayuntamiento de Oviedo o el Gobierno del Principado.
Media / alta → certificación acreditada
En categoría media o alta —habitual en proveedores del HUCA-SESPA o de sistemas de administración electrónica del Principado— la conformidad exige una certificación emitida por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla; quien certifica es siempre la entidad acreditada, nunca yo.
Lo que te llevas al cerrar el proyecto
Documentación que sostiene tu conformidad ENS.
No te entrego un informe de trámite que acaba en un cajón. Te dejo el cuerpo documental y técnico completo —el que pide el auditor si tu categoría es media o alta, o el que revisa el propio organismo contratante si es básica—, ya sea el Gobierno del Principado de Asturias, la Junta General del Principado, el Ayuntamiento de Oviedo, la Universidad de Oviedo (Uniovi) o el HUCA-SESPA. Para una visión completa del servicio, visita consultoría ENS para empresas y la guía ENS completa.
Informe de diagnóstico o análisis GAP: la distancia real, medida, entre dónde estás y lo que pide el ENS.
Categorización del sistema en las cinco dimensiones CIDAT, con el nivel resultante ya fijado: básica, media o alta.
Análisis de riesgos con metodología MAGERIT, acompañado de su plan de tratamiento.
Política de seguridad de la información junto con la normativa interna que se deriva de ella.
Plan de adecuación conforme a la guía CCN-STIC 806, con responsables, plazos y prioridades marcadas.
Declaración de Aplicabilidad (DdA) que justifica, medida a medida, la selección de controles del Anexo II.
Evidencias de implantación de cada medida organizativa, operacional y de protección.
Preparación de la auditoría o de la declaración: revisión previa, checklist y acompañamiento hasta cerrar la conformidad.
Consultor ENS independiente con foco en el ecosistema institucional de Oviedo.
Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información. Mi base está en Valladolid y Las Palmas de Gran Canaria, y trabajo con empresas de toda España. Con las de Oviedo trabajo sobre todo en remoto, desplazándome cuando el proyecto lo requiere. Conozco la lógica de contratación del Gobierno del Principado de Asturias y de sus organismos dependientes, el modelo de pliego de la Junta General del Principado, los ritmos de la Universidad de Oviedo (Uniovi) —una institución con 400 años de historia que opera sistemas académicos de primer nivel desde sus campus del Cristo A y B— y los requisitos de seguridad del HUCA-SESPA, donde los datos clínicos elevan casi siempre la categoría ENS a media.
Trabajo codo a codo: no entrego un manual y desaparezco. Acompaño cada fase, convierto la norma en decisiones concretas para tu sistema de información y dejo al equipo preparado para mantener la conformidad de forma autónoma. Cada proyecto cierra con documentación que aguanta el escrutinio del Ayuntamiento de Oviedo, de la Consejería de Presidencia o de cualquier otro organismo del Principado que revise tus pliegos.
Soy transparente sobre lo que hago y lo que no: preparo y adecúo tu organización; la certificación en categoría media o alta la emite una entidad acreditada por ENAC, nunca yo. Esa honestidad, junto al rigor con el RD 311/2022 y las guías CCN-STIC, es lo que distingue una consultoría real de un servicio de papel.
TIC para la sede del Principado, ISV para el HUCA y consultora universitaria: tres itinerarios distintos.
TIC de la sede administrativa del Principado y sus Consejerías
Proveedor con contratos en el Gobierno autonómico: categoría básica o media.
Una empresa que mantiene el sistema de gestión documental de la Consejería de Presidencia o que da soporte técnico a la plataforma de administración electrónica del Principado trabaja con sistemas de información autonómicos. La categoría ENS más frecuente en estos contratos es la básica —con declaración de conformidad autoevaluada como vía de acreditación—, aunque puede llegar a media si los sistemas tratan datos especialmente sensibles. El itinerario: diagnóstico GAP → categorización CIDAT → análisis de riesgos MAGERIT → plan de adecuación → declaración o certificación.
ISV para el HUCA y el SESPA (referencia sanitaria autonómica)
Proveedor de software clínico: categoría media casi siempre, certificación acreditada.
El Hospital Universitario Central de Asturias gestiona la historia clínica electrónica de toda la población asturiana —acreditación HIMSS nivel 6— y el SESPA coordina la atención sanitaria pública de la región. Los sistemas de información sanitaria casi siempre superan el umbral de la categoría media del ENS, lo que exige que el proveedor se certifique ante una entidad acreditada por ENAC y pase auditoría bienal. En este itinerario el trabajo de preparación documental es más exigente y el acompañamiento hasta la auditoría es la pieza crítica.
Consultora universitaria para Uniovi y la Fundación Princesa de Asturias
Proveedor de sistemas académicos, de investigación o de gestión de eventos culturales.
La Universidad de Oviedo (Uniovi), con campus principal en el Cristo A y B de Oviedo y fundada en 1608, opera expedientes académicos, plataformas de investigación financiada con fondos públicos y sistemas de administración electrónica propios. La Fundación Princesa de Asturias, con sede en Oviedo, gestiona la organización de los Premios Princesa con proyección internacional. Ambas instituciones exigen a sus proveedores TIC que demuestren seguridad en el tratamiento de los sistemas de información que les dan soporte. La categoría suele ser básica, con un énfasis especial en la confidencialidad de los datos de investigación y en la disponibilidad de los sistemas académicos.
Licitaciones y coste del proyecto
Contratos reales en Oviedo que exigen ENS.
En el portal de contratación del Principado de Asturias se publican regularmente contratos TIC que incorporan el Esquema Nacional de Seguridad como requisito de solvencia técnica. Tres ejemplos del tipo de licitaciones que generan esta necesidad:
Servicios de soporte y mantenimiento de sistemas de información de la Consejería de Transformación Digital. Contratos que cubren administración de infraestructura, gestión de incidencias y evolución de plataformas de administración electrónica autonómica. Exigen conformidad ENS al proveedor adjudicatario. miprincipado.asturias.es
Gestión y evolución de la plataforma de historia clínica electrónica del SESPA. Sistemas de información sanitaria del SESPA que concentran datos clínicos de toda Asturias. La exigencia ENS en categoría media es explícita en los pliegos de prescripciones técnicas. miprincipado.asturias.es
Servicio de ciberseguridad gestionada para el Ayuntamiento de Oviedo. Contratos de vigilancia de red, gestión de vulnerabilidades y respuesta a incidentes para el sistema de tecnologías de la información municipal. Requieren acreditación ENS del proveedor y plan de continuidad verificable. miprincipado.asturias.es
Presupuesto cerrado tras el diagnósticoAjustado a alcance y categoría · sin letra pequeña
No hay tarifa fija: el coste depende del número de sistemas en alcance, de la categoría ENS resultante y de si necesitas certificación acreditada —habitual para proveedores del HUCA-SESPA— o declaración autoevaluada. Si tu categoría es media o alta, el coste de la entidad certificadora acreditada por ENAC va aparte, lo emite el tercero auditor.
En la primera llamada revisamos tu alcance, la categoría que previsiblemente te corresponde y el tipo de contrato que persigues en Oviedo; de ahí sale una propuesta cerrada, sin compromiso.
Preguntas frecuentes · Oviedo
Lo que me preguntan las empresas de Oviedo sobre el ENS.
¿La Junta General del Principado de Asturias exige ENS a sus proveedores TIC?+
Sí. La Junta General del Principado de Asturias es el parlamento autonómico; como entidad del sector público, está plenamente sujeta al RD 311/2022 y puede exigir conformidad ENS a los proveedores de sistemas de información que gestionen en su nombre. Su portal de contratación electrónica publicado en miprincipado.asturias.es es el punto de referencia para seguir sus licitaciones. Los contratos TIC con la Junta General suelen caer en categoría básica si implican sistemas auxiliares, y en media si gestionan datos parlamentarios o de los grupos políticos.
¿La Fundación Princesa de Asturias, con sede en Oviedo, necesita ENS y traslada ese requisito a sus proveedores?+
La Fundación Princesa de Asturias es una entidad sin ánimo de lucro privada, de modo que no está directamente sujeta al ENS como las administraciones públicas. Sin embargo, gestiona datos de participantes en los Premios Princesa, coordina sistemas de acreditación con instituciones públicas y en ocasiones trabaja con tecnología que conecta con sistemas autonómicos. Los proveedores TIC de la Fundación deben analizar si sus sistemas de información acceden o procesan datos en el ámbito de entidades públicas, ya que en ese caso podrían entrar en el alcance del ENS de forma indirecta. Para proyectos de digitalización financiados con fondos públicos o licitaciones con el Principado que impliquen a la Fundación, la revisión previa es recomendable.
Mi empresa da soporte TIC al RIDEA (Real Instituto de Estudios Asturianos). ¿Entra en el alcance del ENS?+
Sí, probablemente. El Real Instituto de Estudios Asturianos (RIDEA) es una institución cultural adscrita al Principado de Asturias, lo que lo sitúa en el ámbito del sector público y, por tanto, bajo el RD 311/2022. Los proveedores que gestionan sus sistemas de información —archivo digital, biblioteca, gestión de publicaciones, plataformas de investigación— pueden entrar en el alcance del ENS si esos sistemas pertenecen o están integrados con los del Principado. La categoría suele ser básica, dado el impacto limitado de un incidente en la actividad ordinaria del instituto.
¿Qué categoría ENS me corresponde si doy soporte informático al campus del Cristo de la Universidad de Oviedo?+
La Universidad de Oviedo (Uniovi) opera sus servicios centrales desde los campus del Cristo A y Cristo B, en Oviedo. Los sistemas de información universitarios —expediente académico, plataformas de investigación con datos personales, gestión de becas— están sujetos al ENS. La categoría depende del sistema concreto que gestiones: los sistemas de gestión administrativa con datos de estudiantes o de personal se sitúan habitualmente en categoría básica; los que tratan datos de investigación sensibles o proyectos financiados con fondos europeos o estatales pueden llegar a media. Lo determino en la fase de categorización, aplicando el Anexo I del RD 311/2022 a tu alcance específico.
¿Puedo presentarme a un contrato de la Consejería de Presidencia del Principado si solo tengo certificado ISO 27001?+
La ISO 27001 no sustituye al ENS en los pliegos de las administraciones públicas españolas. Son marcos compatibles —comparten una parte significativa de controles— pero el ENS es obligatorio para la cadena de suministro del sector público en España, mientras que la ISO 27001 es una norma internacional voluntaria. Si el pliego de la Consejería de Presidencia exige conformidad con el RD 311/2022, la ISO 27001 puede aligerar el trabajo de adecuación, pero no lo reemplaza. La buena noticia es que si ya tienes ISO 27001, el análisis GAP inicial y buena parte de la documentación ya están resueltos, lo que reduce tiempo y coste del proyecto ENS.
¿La RTPA (Radio Televisión del Principado de Asturias) exige ENS a sus proveedores tecnológicos?+
Sí. La Radio Televisión del Principado de Asturias es un medio de comunicación de titularidad pública con sede oficial en Oviedo, y como ente público autonómico está sujeta al ENS. Sus proveedores de plataformas de emisión, gestión de contenidos digitales, almacenamiento en la nube o soporte técnico que impliquen acceso a sus sistemas de información deben revisar si están en el alcance del RD 311/2022. Los contratos tecnológicos de la RTPA con mayor volumen de datos gestionados suelen situar al proveedor en categoría básica, aunque la disponibilidad del servicio de emisión puede elevar la categoría si un incidente causaría perjuicio grave. Consulta la guía ENS completa para entender el criterio de categorización antes de arrancar.
¿Cuánto tiempo tarda una adecuación ENS para un proveedor del HUCA en Oviedo?+
Para proveedores del Hospital Universitario Central de Asturias o del SESPA, la adecuación suele requerir entre cuatro y ocho meses dependiendo de la madurez de seguridad de partida. La categoría media —casi universal en sistemas de información sanitaria— implica análisis de riesgos MAGERIT detallado, documentación completa del Anexo II y preparación para la auditoría de conformidad ante una entidad acreditada por ENAC. Si tu empresa tiene ya implantada la ISO 27001 o dispone de políticas de seguridad documentadas, el plazo puede acortarse significativamente. Reserva una primera llamada para hacer una estimación ajustada a tu caso.
Asturias y otras ciudades · Guías ENS
Consultoría ENS en Asturias y en el resto de España.
Una primera llamada sin coste ni compromiso para revisar el alcance de tu proyecto, la categoría ENS que previsiblemente te corresponde —básica si das soporte a la administración autonómica, media si tu cliente es el HUCA o el SESPA— y el tipo de contratación que buscas con el Gobierno del Principado, la Junta General, el Ayuntamiento, Uniovi o cualquier otro organismo ovetense. Si encajamos, te envío una propuesta cerrada; si no es el momento, sales con una orientación clara.
