Soy Ángel Ortega Castro, consultor ENS independiente. Acompaño a empresas de Palencia que quieren licitar o ya trabajan con la Diputación de Palencia, el Ayuntamiento u otros organismos públicos en su adecuación al Esquema Nacional de Seguridad (RD 311/2022).
El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191), establece la política de seguridad de la información obligatoria para el sector público español y para cualquier empresa privada que le preste servicios por vínculo contractual. Palencia no es una excepción: la Diputación de Palencia y el Ayuntamiento de Palencia, como entidades locales, están directamente sujetos al ENS y trasladan esa exigencia a sus proveedores y contratistas mediante los pliegos de prescripciones técnicas.
Esto significa que una empresa palentina que aspire a trabajar con la Administración local —ya sea desarrollando software de gestión, prestando servicios de mantenimiento de sistemas, gestionando la infraestructura de comunicaciones o suministrando soluciones en la nube— necesita demostrar que su gestión de la información es conforme con el ENS. No es un requerimiento burocrático: es el mecanismo que garantiza que la cadena de suministro del sector público mantiene los mismos estándares de seguridad que el propio organismo al que sirve.
Para una visión completa del marco, consulta la guía ENS del hub de servicios y el detalle del servicio de consultoría ENS para empresas.
La Diputación y el Ayuntamiento de Palencia incorporan el ENS como requisito en sus contratos TIC. Sin la conformidad acreditada, la oferta queda excluida antes de valorarse.
La adecuación no es solo un sello: implantas controles proporcionales al riesgo real de tus sistemas y procesos, siguiendo la metodología MAGERIT y las guías CCN-STIC.
La Delegación Territorial de la Junta de Castilla y León en Palencia y el Complejo Asistencial Universitario también contratan servicios externos que exigen conformidad con el ENS.
La certificación ENS se renueva cada dos años; quienes empiezan antes consolidan experiencia y procesos mientras la competencia aún está preparándose para cumplir.
El tejido empresarial de Palencia —con fuerte presencia en los sectores agroindustrial, logístico y de servicios— cuenta con pymes que cada vez más buscan ampliar su mercado hacia la contratación pública local. La Diputación de Palencia presta servicios de asistencia tecnológica a los municipios de la provincia a través de su servicio de cooperación, lo que genera una cadena de contratos con proveedores privados de TIC, consultoría y mantenimiento. El Ayuntamiento de Palencia, por su parte, gestiona servicios digitales de ciudad —sede electrónica, plataforma de participación ciudadana, tramitación en línea— que se apoyan en sistemas y proveedores externos.
Ambas instituciones, como cualquier entidad local, están obligadas a que sus sistemas de información —y los de quienes los gestionan o alimentan— cumplan el ENS. Cuando un pliego de la Diputación o del Ayuntamiento de Palencia exige la conformidad con el RD 311/2022, no existe posibilidad de presentar oferta si no se acredita la adecuación. El plazo transitorio general para los sistemas preexistentes finalizó el 5 de mayo de 2024; a partir de esa fecha la obligación es plena y no admite prórroga.
La misma lógica se aplica a empresas palentinas que presten servicios a organismos autonómicos con sede en la provincia: la Delegación Territorial de la Junta de Castilla y León en Palencia, los centros educativos públicos y el Complejo Asistencial Universitario de Palencia contratan soluciones externas —gestión documental, ciberseguridad, cloud, mantenimiento de infraestructura— que quedan dentro del alcance del ENS cuando afectan a sistemas de información públicos.
El proceso sigue el orden que marcan las guías CCN-STIC. Cada fase produce un entregable que sirve de base para la siguiente. Esta es la hoja de ruta completa, del diagnóstico inicial a la preparación de la auditoría de conformidad.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Análisis diferencial entre la situación actual y los requisitos del ENS. Definición del alcance y de los sistemas de información afectados. | Informe de diagnóstico / análisis GAP con la distancia real al cumplimiento. |
| Fase 02 Categorización | Valoración de los sistemas en las cinco dimensiones de seguridad (CIDAT) y asignación de la categoría: básica, media o alta. | Anexo I del ENS. Determina la categoría básica, media o alta aplicable. |
| Fase 03 Análisis de riesgos | Identificación de activos, amenazas y salvaguardas con metodología MAGERIT, apoyada en herramientas como PILAR. | Informe de análisis de riesgos MAGERIT y plan de tratamiento del riesgo. |
| Fase 04 Plan de adecuación + DdA | Política de seguridad, selección de medidas y redacción de la Declaración de Aplicabilidad (DdA), justificando cada control del Anexo II. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Despliegue de las medidas seleccionadas: marco organizativo, operacional y de protección. Acompañamiento al equipo de la empresa. | Implantación de las medidas del Anexo II con evidencias documentadas. |
| Fase 06 Preparación de la conformidad | Revisión previa y acompañamiento durante el proceso de declaración (básica) o auditoría de entidad acreditada (media/alta). | Anexo III. Preparo la conformidad; la certificación la emite el tercero acreditado por ENAC. |
La categoría no se elige: se obtiene valorando el impacto de un incidente sobre las cinco dimensiones de seguridad (CIDAT) —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—. La dimensión con mayor nivel determina la categoría del sistema. Para un proveedor de la Diputación o del Ayuntamiento de Palencia, la categoría resultante condiciona tanto el conjunto de medidas a implantar como la vía de conformidad exigida.
Cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas.
Cuando un incidente supondría un perjuicio grave: alguna dimensión alcanza el nivel medio.
Cuando un incidente causaría un perjuicio muy grave, incluso irreparable: alguna dimensión llega al nivel alto.
En categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada: la propia organización verifica el cumplimiento conforme a las guías CCN-STIC. Preparo la documentación y las evidencias para que la declaración sea sólida y supere cualquier revisión del organismo contratante.
En categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Preparo tu organización para superar esa auditoría con garantías; la certificación la emite la entidad acreditada, nunca el consultor.
No te entrego un PDF que nadie vuelve a abrir. El resultado del proceso es el cuerpo documental y técnico que sostiene la conformidad y que el organismo contratante —o el auditor— necesita ver.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Acompaño a empresas y administraciones de Castilla y León —incluyendo la provincia de Palencia— en su adecuación al Esquema Nacional de Seguridad (RD 311/2022).
Mi enfoque es de acompañamiento real, persona a persona: no te dejo un manual y desaparezco. Trabajo a tu lado en cada fase, traduzco la norma a decisiones concretas y dejo a tu equipo preparado para mantener la conformidad cuando el proyecto termina.
Soy honesto con lo que puedo y no puedo prometer: preparo y adecúo tu organización para la conformidad; la certificación la emite una entidad acreditada por ENAC. Esa franqueza, junto al rigor con la norma vigente y sus Anexos I-IV y guías CCN-STIC, es lo que me diferencia de las consultoras generalistas.
Integradores, empresas de software y proveedores de servicios cloud que necesitan acreditar conformidad con el ENS para cumplir los pliegos de la Diputación y mantener sus contratos públicos vigentes.
Organizaciones del sector servicios o industrial que ven en la Administración local de Palencia un mercado accesible y necesitan el ENS como condición para presentar oferta y diferenciarse de la competencia.
Proveedores que tienen contratos con el Ayuntamiento de Palencia, centros educativos públicos u organismos de la Junta y que, con el plazo transitorio vencido, necesitan ordenar la conformidad antes de la siguiente renovación.
No hay una cifra única, y desconfía de quien te la dé sin conocer tu caso. La inversión depende del alcance (cuántos sistemas), de la categoría (básica, media o alta), de tu madurez de partida y de si necesitas certificación acreditada o basta con declaración autoevaluada.
A la consultoría hay que sumar, en categoría media o alta, el coste de la entidad certificadora acreditada por ENAC, que es independiente de mis honorarios y lo factura el tercero que audita.
Sí, si el contrato al que aspira implica el tratamiento de sistemas de información de la Diputación de Palencia o el acceso a datos bajo su gestión. El RD 311/2022 extiende la obligación del ENS a la cadena de suministro del sector público: la empresa privada que presta el servicio debe acreditar la misma conformidad que la propia entidad local. Los pliegos de prescripciones técnicas de la Diputación recogen este requisito de forma explícita cuando el alcance del contrato lo justifica.
El Ayuntamiento de Palencia, como entidad local, está obligado a cumplir el ENS en sus propios sistemas y a exigir a sus proveedores la misma conformidad cuando el servicio contratado afecta a sistemas de información públicos. En la práctica, los contratos de mayor alcance tecnológico —sede electrónica, gestión documental, administración electrónica, ciberseguridad— son los que con más frecuencia incluyen esta exigencia en el pliego. La empresa que no pueda acreditarla queda excluida del proceso de licitación.
La categoría —básica, media o alta— no la elige la empresa ni el organismo contratante de forma arbitraria: se obtiene valorando el impacto de un incidente sobre las cinco dimensiones de seguridad (CIDAT) de los sistemas afectados. Un proveedor que gestiona datos de tramitación administrativa con impacto limitado puede obtener categoría básica, que se acredita mediante declaración autoevaluada. Si los sistemas gestionados son críticos para el funcionamiento del organismo o manejan datos sensibles, la categoría puede ser media o alta y requerir certificación por entidad acreditada por ENAC. El primer paso siempre es el diagnóstico para determinar el alcance y la categoría correcta.
El plazo transitorio del RD 311/2022 para adecuar los sistemas preexistentes finalizó el 5 de mayo de 2024. Si tienes contratos activos y aún no has iniciado la adecuación, la situación es urgente: en la próxima renovación o en cualquier revisión del pliego el organismo puede exigir la acreditación. Lo más razonable es empezar cuanto antes con un diagnóstico que determine el alcance real de la conformidad requerida, priorizar las medidas que cierran los riesgos más relevantes y dejar el cuerpo documental preparado antes de que el contrato se ponga en riesgo.
Sí, y de hecho ese es exactamente el punto de partida del proceso. La primera fase del servicio es el diagnóstico y definición de alcance: identificamos qué sistemas de información de tu empresa están vinculados a servicios prestados al sector público, los delimitamos con precisión y determinamos la categoría que corresponde a cada uno. Con ese mapa claro, el resto del proceso —análisis de riesgos, plan de adecuación, implantación de medidas— tiene una base sólida y no se trabaja sobre suposiciones.
En categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada: la propia organización verifica el cumplimiento con ayuda de las guías CCN-STIC y lo formaliza en un documento. En categorías media y alta, se exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012: un auditor independiente revisa la evidencia y emite el sello. Como consultor preparo tu organización para cualquiera de las dos vías; la certificación acreditada la otorga exclusivamente el tercero autorizado.
Primera llamada sin coste y sin compromiso. Valoramos tu alcance, determinamos la categoría que corresponde a tu caso y, si encajamos, te paso una propuesta cerrada. Si quieres ir solo, te llevas igualmente un diagnóstico inicial que sirve de punto de partida para cumplir el ENS.