Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas. Trabajo en remoto con empresas de toda España y me desplazo a Palma cuando el proyecto lo requiere. Ayudo a proveedores TIC de Baleares a superar los requisitos de seguridad del Govern de les Illes Balears, el Consell Insular de Mallorca, el Ajuntament de Palma, la UIB y el sistema Ib-Salut — sin rodeos y con documentación que aguanta la revisión del auditor.
Palma · capital y motor del ecosistema ENS en Baleares
Govern Balear, Consell de Mallorca, UIB e Ib-Salut: cuatro focos de demanda simultánea.
Palma concentra en un radio reducido cuatro grandes administraciones públicas que ya exigen o exigirán la conformidad con el ENS a sus proveedores digitales. Entender cómo se relacionan entre sí es el primer paso para dimensionar correctamente el alcance de tu proyecto de adecuación.
El Govern de les Illes Balears —la administración autonómica con sede permanente en Palma— es el mayor contratista de servicios TIC del archipiélago. Bajo él operan organismos con sistemas de información propios y muy sensibles: la Conselleria de Presidència i Administracions Públiques, que lidera la transformación digital de la comunidad autónoma; la Conselleria de Salut i Consum, que supervisa la red asistencial balear; y la Conselleria d'Educació i Universitats, responsable de las plataformas digitales de toda la red educativa pública. Los contratos de soporte, desarrollo y mantenimiento TIC de estas tres consejerías llevan cláusulas ENS desde que el RD 311/2022 entró en vigor.
El Ib-Salut (Servei de Salut de les Illes Balears), ente público instrumental del Govern Balear, gestiona los historiales clínicos, los sistemas de imagen médica y las plataformas asistenciales del Hospital Universitari Son Espases —el hospital de referencia del archipiélago, ubicado en las afueras de Palma junto a la Cra. de Valldemossa— y del Hospital Universitari Son Llàtzer. Cualquier proveedor de software HIS (Hospital Information System), PACS o soluciones de historia clínica digital que aspire a licitar con IBSalut debe acreditar conformidad con el ENS, habitualmente en categoría media o alta dado el nivel de criticidad de los datos sanitarios.
La Fundació Bit (Fundación Bit), entidad del Govern Balear que gestiona el ParcBit (Parc Bit Innovation) —el parque tecnológico balear situado junto al campus de la Universitat de les Illes Balears (UIB) en la Cra. de Valldemossa— actúa a la vez como proveedor interno de la administración y como punto de referencia para las empresas TIC del clúster. La UIB, institución universitaria pública con el Campus Ciutat de Palma como sede principal, gestiona expedientes académicos y plataformas de investigación sujetos al ENS y traslada ese requisito a sus contratos de servicios tecnológicos. El IDI (Institut d'Innovació Empresarial), dependiente del Govern Balear, apoya la digitalización del tejido empresarial insular y en sus programas de ayuda recomienda la adecuación normativa como criterio de solvencia.
Por último, el Consell Insular de Mallorca (Consell de Mallorca) coordina los servicios TIC de los municipios de la isla que carecen de equipo técnico propio, y el Ajuntament de Palma tiene una sede electrónica en expansión con licitaciones recurrentes de software, conectividad y ciberseguridad. Ambas entidades locales se suman al Govern Balear y a la UIB como focos de demanda de conformidad ENS. A ello se añade el peso de IB3 (la radiotelevisión pública balear), que como ente público instrumentaliza sus sistemas de producción y difusión bajo la misma obligación normativa.
Govern Balear: cuatro consejerías con demanda propia
Presidència, Salut, Educació y sus organismos instrumentales son focos distintos de licitación ENS. Un mismo proveedor puede necesitar acreditar la conformidad ante varios de ellos a la vez.
Ib-Salut: el listón más alto del archipiélago
Los sistemas hospitalarios de Son Espases y Son Llàtzer manejan datos sanitarios de nivel alto. Licitar con IBSalut implica un proceso de adecuación más exigente que en cualquier otra entidad de la isla.
ParcBit y Fundació Bit: el clúster TIC local
Las empresas del ParcBit conviven con la UIB y con la propia Fundació Bit. Muchas licitan con el Consell de Mallorca o con el Ajuntament. La conformidad ENS es el requisito que abre esa puerta.
Turismo hotelero: cuando el servicio TIC toca la Administración
Meliá, Riu e Iberostar tienen su sede central en Palma. Sus proveedores de software de gestión que quieran certificar ante clientes del sector público también necesitan el ENS.
Seis perfiles que encuentro con frecuencia en el mercado balear.
El Esquema Nacional de Seguridad no es solo un asunto de las administraciones: desde que el RD 311/2022 extendió la obligación a la cadena de suministro, cualquier empresa privada que preste servicios digitales a un organismo público balear puede verse afectada. Estos son los perfiles que aparecen con más regularidad en los proyectos que gestiono en Palma y en el resto del archipiélago.
Empresas TIC del ParcBit que desarrollan o mantienen software para el Govern Balear, el Consell de Mallorca o los municipios de la isla. Muchas están en categoría básica, aunque los contratos con Ib-Salut o con sistemas críticos de la Conselleria de Presidència suelen subir a media.
Proveedores de HIS, PACS e imagen médica que quieren licitar con el Hospital Universitari Son Espases o con el Hospital Universitari Son Llàtzer. Aquí la categoría media o alta es habitual y la certificación exige auditoría de entidad acreditada por ENAC.
Integradores y consultoras de transformación digital que atienden a la Conselleria d'Educació i Universitats o a la UIB: plataformas de aula virtual, gestión académica, identidad digital universitaria. La UIB tiene su propio ritmo de madurez ENS y lo traslada a sus contratos.
ISV especializados en turismo cuyos clientes son cadenas hoteleras —Meliá, Riu, Iberostar— con sede en Palma. Cuando ese software toca sistemas compartidos con la Administración (pagos electrónicos, portales de turistas, conexiones con plataformas públicas), el ENS aparece en el pliego.
Consultoras que coordinan proyectos multiorganismo: Govern Balear, Consell de Mallorca, Ajuntament de Palma y UIB a la vez. Este tipo de proyecto requiere una DdA y una política de seguridad que contemplen los requisitos de cada entidad sin generar contradicciones.
Empresas de servicios náuticos, aeronáuticos o agroalimentarios que gestionan sistemas de información ligados a concesiones públicas o que reciben subvenciones del IDI condicionadas a la madurez digital. El ENS empieza a aparecer como requisito en convocatorias que antes no lo incluían.
Referencia normativa: Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191). La disposición transitoria única fijó un plazo de 24 meses para los sistemas ya existentes, vencido el 5 de mayo de 2024. Las guías de desarrollo publicadas por el Centro Criptológico Nacional (CCN) detallan los requisitos medida por medida. Para las categorías media y alta, la entidad certificadora debe estar acreditada por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012.
Licitaciones reales · Palma e Illes Balears
Pliegos que ya incluyen el ENS en el mercado balear.
Que el ENS es un requisito en los contratos públicos baleares no es una previsión: es una realidad documentada en el perfil del contratante. Tres ejemplos que ilustran la tendencia.
Govern de les Illes Balears · Conselleria de Presidència
Servicio de soporte y mantenimiento del sistema de administración electrónica corporativa
Licitación publicada en la Plataforma de Contractació de les Illes Balears. Los pliegos de prescripciones técnicas incluyen la conformidad con el ENS como requisito de solvencia técnica para los sistemas de tramitación electrónica de la administración autonómica.
Asistencia técnica en ciberseguridad y adecuación al ENS para sistemas de información hospitalarios
Ib-Salut (IBSalut) ha publicado contratos de asistencia técnica para la adecuación al ENS y al RGPD de sus sistemas de información asistencial, que incluyen los entornos de Son Espases y Son Llàtzer. La categoría requerida en estos pliegos es habitualmente media o alta, lo que implica certificación por entidad acreditada ENAC.
Mantenimiento de infraestructura TIC y servicios de ciberseguridad para la sede electrónica municipal
El Ajuntament de Palma ha incorporado en sus últimas licitaciones de infraestructura TIC la exigencia de conformidad con el Esquema Nacional de Seguridad para los proveedores que acceden o mantienen los sistemas que soportan su sede electrónica y los servicios digitales municipales.
El orden lo marca el propio Real Decreto 311/2022 y las guías CCN-STIC: primero se mide, después se categoriza, luego se analizan los riesgos, se implantan las medidas y finalmente se acredita la conformidad. No hay atajos que sostengan la revisión de los pliegos del Govern de les Illes Balears o de Ib-Salut.
Fases del plan de adecuación ENS · referencias y entregables
Fase
En qué consiste
Entregable y referencia
Fase 01 Diagnóstico inicial
Medición de la distancia entre tu situación actual y los requisitos del ENS. Fijamos el alcance: qué sistemas entran y cuáles quedan fuera.
Informe de análisis GAP con brechas priorizadas por criticidad y propuesta de hoja de ruta.
Fase 02 Categorización
Evaluación de las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— para determinar si el sistema es básico, medio o alto.
Documento de categorización según el Anexo I del RD 311/2022, con la justificación dimensión a dimensión.
Fase 03 Análisis de riesgos
Identificación de activos, amenazas y vulnerabilidades bajo la metodología MAGERIT. Valoración del impacto y la probabilidad de cada riesgo.
Informe de análisis de riesgos y plan de tratamiento con las salvaguardas seleccionadas.
Fase 04 Plan de adecuación y DdA
Redacción de la política de seguridad, selección de medidas del Anexo II y elaboración de la Declaración de Aplicabilidad (DdA) con la justificación de cada control.
Plan de adecuación (CCN-STIC 806), DdA y política de seguridad aprobada por la dirección.
Fase 05 Implantación
Puesta en marcha de las medidas organizativas, operacionales y de protección del Anexo II junto a tu equipo, con trazabilidad de cada paso.
Evidencias de implantación por medida, ordenadas y listas para la revisión del auditor o del organismo contratante.
Fase 06 Acreditación
En categoría básica: declaración de conformidad autoevaluada revisada conmigo. En categoría media o alta: acompañamiento completo durante la auditoría de la entidad acreditada por ENAC.
Declaración de conformidad o certificado emitido por entidad acreditada (según categoría), con informe de revisión previo.
Básica, media o alta: la categoría no se estima, se calcula.
Muchos proveedores baleares asumen que les corresponde la categoría básica sin haberlo comprobado. Cuando el sistema maneja datos sanitarios de Son Espases, expedientes universitarios de la UIB o información tributaria del Ajuntament de Palma, la categoría puede subir a media o alta. El Anexo I del RD 311/2022 es el único árbitro.
Categoría básica
Perjuicio limitado
Aplica cuando un incidente de seguridad causaría consecuencias acotadas para las funciones de la organización, sus activos o las personas. Es la categoría más frecuente en proveedores de servicios auxiliares o software de gestión general.
Ninguna dimensión supera el nivel bajo
Conformidad mediante declaración autoevaluada
El catálogo de medidas es proporcionado y alcanzable
Categoría media
Perjuicio grave
Al menos una dimensión alcanza el nivel medio. Aparece en sistemas de gestión documental con acceso a información administrativa, plataformas de gestión sanitaria no crítica o entornos con datos personales de cierto volumen.
Una o más dimensiones en nivel medio
Certificación obligatoria por entidad acreditada ENAC
Auditoría de renovación cada dos años
Categoría alta
Perjuicio muy grave
Una o más dimensiones alcanzan el nivel alto. Reservada a sistemas críticos: historia clínica electrónica, sistemas de imagen médica hospitalaria, infraestructuras que soportan servicios esenciales para la ciudadanía.
Una o más dimensiones en nivel alto
Certificación obligatoria por entidad acreditada ENAC
Auditoría de renovación cada dos años
La vía de acreditación varía según la categoría
Básica: declaración de conformidad propia
En categoría básica, la organización declara su propio cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejar la documentación y las evidencias tan sólidas que esa declaración resista la revisión del Consell de Mallorca, del Ajuntament de Palma o de cualquier otro organismo contratante sin que quede ningún cabo suelto.
Media / alta: certificación por entidad acreditada
Las categorías media y alta requieren que una entidad acreditada por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012 emita el certificado de conformidad. Yo preparo tu organización para superar esa auditoría con garantías reales; la firma es siempre del tercero acreditado, no del consultor.
Qué documentación te llevas
El cuerpo documental que sostiene la conformidad ante el auditor.
No entrego un informe que se archiva y nunca se vuelve a abrir. Lo que te queda es la documentación técnica y normativa que el Govern de les Illes Balears, Ib-Salut, el Consell de Mallorca o cualquier organismo contratante revisará dentro del expediente de licitación o durante la auditoría de conformidad.
Análisis GAP con la brecha real entre tu punto de partida y los requisitos del ENS, priorizada por impacto y plazo.
Documento de categorización según las cinco dimensiones CIDAT y el Anexo I del RD 311/2022, con la justificación de cada nivel asignado.
Análisis de riesgos MAGERIT: inventario de activos, árbol de amenazas y plan de tratamiento con las salvaguardas seleccionadas.
Política de seguridad de la información aprobada por la dirección, y normativa interna de desarrollo (uso aceptable, gestión de incidentes, continuidad).
Plan de adecuación con responsables, plazos y orden de prioridad, siguiendo la estructura de la CCN-STIC 806.
Declaración de Aplicabilidad (DdA) con la justificación de cada control seleccionado o excluido del Anexo II.
Evidencias de implantación por medida —organizativa, operacional y de protección—, ordenadas para la revisión del auditor.
Revisión previa a la acreditación: checklist de verificación y acompañamiento durante la declaración autoevaluada (básica) o la auditoría de la entidad acreditada (media/alta).
Especialización en el ENS, sin los costes de una gran consultora.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Trabajo en modalidad remota con empresas de toda España y me desplazo a Palma cuando la naturaleza del proyecto lo requiere: reuniones con los equipos técnicos, talleres de categorización o revisiones previas a la auditoría.
Conozco el ritmo de la contratación pública balear: los plazos de publicación del perfil del contratante del Govern Balear, las particularidades de los pliegos de Ib-Salut para los sistemas hospitalarios de Son Espases y Son Llàtzer, y la diferencia entre lo que exige el Consell de Mallorca a nivel insular y lo que pueden pedir los consells insulares de Menorca e Ibiza de forma independiente. Ese conocimiento reduce el tiempo que tardas en tener la documentación lista para el siguiente pliego.
Soy preciso sobre el alcance del servicio: preparo y adecúo tu organización hasta la conformidad; en las categorías media y alta, la certificación la emite la entidad acreditada por ENAC. Sin promesas de resultados que no dependen de mí, y con orientación honesta desde la primera llamada.
Tres situaciones que encuentro con frecuencia en el mercado balear.
Empresa TIC del ParcBit · licitaciones públicas insulares
Una tecnológica del ParcBit que quiere ampliar su cartera hacia el Govern Balear y el Consell de Mallorca.
La empresa tiene productos propios y ya trabaja con clientes privados del sector turístico. Ahora quiere presentarse a contratos del Govern Balear y del Consell Insular de Mallorca, pero los pliegos incluyen la conformidad ENS como requisito de solvencia. La adecuación en categoría básica, con la documentación bien construida, es lo que abre esa puerta. La Fundació Bit y el IDI pueden acompañar el proceso con asesoramiento sobre programas de apoyo a la digitalización empresarial.
ISV turístico · servicios TIC públicos
Un desarrollador de software de gestión hotelera con HQ en Palma que necesita el ENS para nuevos contratos públicos.
Meliá, Riu e Iberostar tienen su sede central en Palma. Sus proveedores de software de gestión hotelera —sistemas de revenue, PMS, integración con plataformas de reservas— no siempre necesitan el ENS para trabajar con las cadenas. Pero cuando ese mismo software procesa pagos electrónicos a través de plataformas públicas, o cuando la empresa quiere ampliar su mercado hacia instituciones turísticas públicas, el ENS aparece. Ayudo a delimitar con precisión qué sistemas entran en el alcance y cuáles quedan fuera.
Consultora multiorganismo · Govern + Consell + Ajuntament + UIB
Una consultora que gestiona proyectos para el Govern Balear, el Consell de Mallorca, el Ajuntament de Palma y la UIB a la vez.
Este escenario es el más complejo en términos documentales: cada organismo puede tener requisitos ligeramente distintos, y la Declaración de Aplicabilidad y la política de seguridad tienen que contemplar todos los contextos sin contradicciones. Además, el Consell de Mallorca coordina los servicios TIC de los municipios de la isla de forma diferente a como lo hacen los consells insulares de Menorca e Ibiza, por lo que la cobertura geográfica del alcance también requiere definición precisa.
Inversión orientativa
¿Cuánto cuesta adecuarse al ENS en Palma?
La inversión varía en función del número de sistemas en alcance, la categoría resultante (básica, media o alta) y el grado de madurez previo de tu organización. No existe una tarifa única, y quien te la dé sin conocer tu caso concreto no te está siendo honesto. En categorías media o alta hay que sumar, además, el coste de la entidad certificadora acreditada por ENAC, que es independiente de mis honorarios.
Propuesta cerrada tras el diagnósticoSin sorpresas · adaptado a tu alcance y categoría
El diagnóstico inicial —que mide la distancia entre tu punto de partida y los requisitos del ENS— es el primer paso y la base de cualquier presupuesto serio. A partir de ahí te presento una propuesta con precio cerrado y fases definidas.
En la primera llamada revisamos tu alcance, la categoría previsible según el tipo de datos que manejas y el organismo con el que quieres licitar. Sales con orientación útil aunque no sigamos trabajando juntos.
Dudas específicas sobre el ENS en Palma y en Baleares.
¿El Govern Balear acepta declaración de conformidad ENS para pliegos de la Conselleria d'Educació i Universitats?+
Depende de la categoría del sistema. La Conselleria d'Educació i Universitats del Govern de les Illes Balears puede aceptar la declaración de conformidad autoevaluada cuando el sistema que el proveedor gestiona está categorizado como básico según el Anexo I del RD 311/2022. En ese caso, la organización declara su propio cumplimiento siguiendo las guías CCN-STIC, y el organismo contratante puede verificar la documentación en cualquier momento.
Si la categoría es media o alta —por ejemplo, si el sistema accede a datos de expedientes académicos con un nivel de impacto grave en caso de incidente—, la Conselleria exigirá certificación emitida por una entidad acreditada por ENAC. Antes de preparar la documentación es imprescindible categorizar correctamente el sistema, porque arrancar con una categoría equivocada puede obligar a rehacerlo todo. Puedes ver cómo planteo ese proceso en la página de consultoría ENS para empresas.
¿Cómo se acredita el ENS ante Ib-Salut para proveedores de HIS e imagen médica de Son Espases y Son Llàtzer?+
Los sistemas de información hospitalaria (HIS) y los sistemas de imagen médica (PACS, RIS) que procesan datos clínicos de los pacientes del Hospital Universitari Son Espases y del Hospital Universitari Son Llàtzer suelen categorizar en nivel medio o alto por la dimensión de confidencialidad y de disponibilidad: un incidente en esos sistemas tendría consecuencias graves para la atención sanitaria.
Para estas categorías, el Ib-Salut (Servei de Salut de les Illes Balears) requiere que la conformidad ENS sea certificada por una entidad acreditada por ENAC bajo la norma UNE-EN ISO/IEC 17065:2012. Mi función es preparar toda la documentación —análisis de riesgos MAGERIT, plan de adecuación, Declaración de Aplicabilidad— y acompañarte durante la auditoría de la entidad certificadora. IBSalut también puede solicitar que el sistema de gestión de seguridad de la información esté alineado con la ISO 27001, aunque el ENS es el requisito contractual exigible.
¿Trabajas con empresas del ParcBit o de la Fundació Bit que licitan con administración insular?+
Sí. Las empresas del ParcBit (Parc Bit Innovation) y las que colaboran con la Fundació Bit son un perfil habitual en mis proyectos baleares. Muchas tienen productos muy maduros desde el punto de vista técnico, pero su documentación ENS —política de seguridad, análisis de riesgos, Declaración de Aplicabilidad— no existe o está desactualizada. Esa brecha documental es la que más veces les impide presentarse a contratos del Govern Balear o del Consell de Mallorca.
El IDI (Institut d'Innovació Empresarial) también puede ser una puerta de entrada: algunos de sus programas de apoyo a la digitalización sugieren la adecuación normativa como criterio de calidad. Si tu empresa está en el ParcBit o trabaja con la Fundació Bit y quieres revisar en qué punto estás, la primera llamada no tiene coste. Resérvala aquí.
¿El Consell de Mallorca coordina el ENS a nivel insular o cada consell insular tiene criterios propios (Menorca, Ibiza)?+
El Consell Insular de Mallorca (Consell de Mallorca) es autónomo en su contratación y aplica el ENS a sus propios pliegos de forma independiente. Lo mismo ocurre con los consells insulares de Menorca e Ibiza: cada uno tiene su propia administración y su propio ritmo de madurez en materia de seguridad de la información. No existe un órgano balear único que coordine o unifique los criterios ENS entre los tres consells insulares.
Esto tiene implicaciones prácticas para los proveedores que trabajan con más de un consell: la documentación base —política de seguridad, análisis de riesgos, DdA— puede ser la misma, pero las evidencias de implantación y el alcance declarado tienen que reflejar con precisión los sistemas que se despliegan en cada entidad. Una misma empresa puede tener categorías distintas según el organismo con el que licita.
¿Hay auditores ENAC en Palma o vienen desde Barcelona o Valencia?+
Las entidades de certificación acreditadas por ENAC para el ENS tienen su sede principalmente en la península —Madrid, Barcelona, Valencia— y no cuentan, por lo general, con oficinas permanentes en Palma. Las auditorías in situ en Baleares implican desplazamiento del equipo auditor, lo que tiene un coste adicional que el cliente debe tener en cuenta al presupuestar la fase de certificación.
Para las organizaciones de Palma y del resto de las Illes Balears, esto refuerza la importancia de preparar muy bien la documentación antes de la auditoría: una visita presencial mal preparada obliga a un segundo desplazamiento, duplicando el coste. Mi trabajo es que la primera visita del auditor sea la última. Puedes ver la lista de entidades acreditadas para el ENS en la web del Centro Nacional de Acreditación (ENAC).
¿IB3, la radiotelevisión pública balear, está sujeta al ENS?+
Sí. IB3 (la radiotelevisión pública balear) es un ente de derecho público del Govern de les Illes Balears y, como tal, está sujeta al Esquema Nacional de Seguridad en los sistemas de información que gestiona: sistemas de producción, archivos digitales de contenidos, plataformas de distribución y sistemas administrativos internos. Sus proveedores TIC que acceden o mantienen esos sistemas pueden verse afectados por la cadena de requisitos ENS.
Si tu empresa presta servicios tecnológicos a IB3 y tienes dudas sobre si tu contrato implica una obligación de conformidad, en la primera llamada podemos revisarlo. Reserva aquí sin compromiso.
Otras ciudades · Guías y servicios ENS
Consultoría ENS en otras ciudades y recursos clave.
Reserva una primera llamada gratuita. Revisamos qué sistemas entran en el alcance, qué categoría les corresponde según el Govern Balear, Ib-Salut o el organismo con el que quieres licitar, y si hay alguna brecha urgente antes de tu próxima licitación. Si el proyecto encaja, te presento una propuesta con precio cerrado. Si no, sales con orientación útil para seguir por tu cuenta.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Illes Balears: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
