Me presento: soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de toda España y me desplazo de forma presencial cuando el proyecto lo requiere. Acompaño a empresas de Pamplona y de toda Navarra en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de Navarra, el Ayuntamiento de Pamplona, la Universidad Pública de Navarra (UPNA) o NASERTIC sin quedar excluidas de los pliegos.
Pamplona no es una ciudad cualquiera dentro del mapa de la contratación pública española. Es la capital de la Comunidad Foral de Navarra y la sede del Gobierno de Navarra, con sus departamentos —Presidencia e Igualdad; Economía y Hacienda; Salud; Educación; Universidad, Innovación y Transformación Digital; Industria, Transición Ecológica y Empresa Digital; Derechos Sociales; Interior, Función Pública y Justicia, entre otros— concentrados en la ciudad. Navarra es además una comunidad autónoma uniprovincial: no existe una diputación separada del Gobierno de Navarra, que ejerce directamente las competencias provinciales y forales, incluida la recaudación propia a través de la Hacienda Tributaria de Navarra en virtud del Convenio Económico. En la práctica, eso concentra en una sola administración un volumen de contratación TIC todavía mayor que en comunidades con dos niveles de gobierno separados.
La gestión tecnológica de ese entramado institucional recae en buena parte en NASERTIC (Navarra de Servicios y Tecnologías), la sociedad pública foral que administra el Centro de Proceso de Datos (CPD) del Gobierno de Navarra, diseña sus comunicaciones corporativas y da soporte de administración electrónica a más de 160 entidades locales navarras. A ella se suman el Ayuntamiento de Pamplona, con su propia agenda de transformación digital, la Mancomunidad de la Comarca de Pamplona —entidad pública que gestiona el agua, los residuos y el transporte del área metropolitana— y la Universidad Pública de Navarra (UPNA), con su campus principal en Arrosadía, que como institución universitaria pública opera sistemas de información —expedientes académicos, investigación, sede electrónica— sujetos al mismo marco que cualquier otra entidad del sector público.
Alrededor de este ecosistema institucional se ha desarrollado un tejido TIC propio, apoyado en tres motores industriales reales de la economía navarra: la automoción (Volkswagen Navarra, en el polígono de Landaben, es la cuarta fábrica del grupo por volumen mundial y arrastra a decenas de proveedores auxiliares), las energías renovables (el Parque de la Innovación de Sarriguren concentra el Centro Nacional de Energías Renovables (CENER) —organismo público de I+D con participación del Gobierno de Navarra— junto a compañías como Acciona, Gamesa o Ingeteam) y el sector agroalimentario del Valle del Ebro, uno de los clústeres más consolidados de España. Las empresas que prestan servicios a este tejido y, además, trabajan o aspiran a trabajar con la Administración foral, local o universitaria quedan alcanzadas por el ENS.
El Esquema Nacional de Seguridad ya no es una opción para quien presta servicios TIC a este ecosistema: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación del Gobierno de Navarra, el Ayuntamiento de Pamplona o la UPNA lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de los departamentos forales y de NASERTIC, la sociedad pública que gestiona su tecnología, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Pamplona y la Mancomunidad de la Comarca de Pamplona incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad Pública de Navarra, con su campus de Arrosadía en Pamplona, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Conviene partir con el marco normativo claro: en la guía ENS completa desarrollo los fundamentos del Esquema Nacional de Seguridad, y en la página de consultoría ENS para empresas explico cómo planteo el acompañamiento paso a paso.
La norma no distingue entre el organismo público y quien le presta el servicio: si trabajas para el sector público por relación contractual, el ENS te alcanza igual que a la propia administración. En Pamplona y en el resto de la Comunidad Foral, ese vínculo contractual conecta con un número considerable de empresas locales.
Algunos perfiles concretos que quedan dentro del alcance:
El plazo transitorio que fijó el RD 311/2022 para adecuar los sistemas ya existentes fue de 24 meses, y se agotó el 5 de mayo de 2024. Todo sistema nuevo, o cualquiera que reciba cambios sustanciales, tiene que cumplir desde su puesta en marcha. Para quien aún no ha empezado, cada licitación que aparece en el perfil del contratante es una señal de que el margen disponible sigue reduciéndose.
Trabajo siguiendo el orden que marcan las guías CCN-STIC: arranco por el diagnóstico y termino en la preparación de la declaración de conformidad o de la auditoría. La meta es una conformidad construida paso a paso, con papeles que aguanten la revisión del Gobierno de Navarra, el Ayuntamiento de Pamplona, la UPNA o cualquier otro organismo que contrate tus servicios.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito el alcance: qué sistemas de información entran en el proyecto. | Informe de diagnóstico: brechas priorizadas y distancia real hasta el cumplimiento. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y fijo la categoría que le corresponde: básica, media o alta. | Anexo I del ENS. Fija el nivel de exigencia y la vía de conformidad que toca seguir. |
| Fase 03 Análisis de riesgos | Inventario de activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos junto con el plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Despliegue de las medidas del Anexo II —marco organizativo, operacional y de protección— con acompañamiento a tu equipo en cada paso. | Evidencias de implantación por medida, preparadas para la auditoría. |
| Fase 06 Conformidad final | Revisión final previa a la conformidad. En básica, apoyo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Preparo la conformidad; la certificación media/alta la emite un tercero acreditado por ENAC. |
No se escoge la categoría a criterio propio: resulta de valorar qué impacto tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y es la dimensión que alcanza el nivel más alto la que determina la categoría final del sistema.
Se aplica cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. Es el nivel más frecuente entre proveedores de servicios auxiliares.
Corresponde a los casos en que un incidente causaría un perjuicio grave: al menos una dimensión alcanza el nivel medio. Es habitual en sistemas de gestión administrativa o con datos sensibles.
Se reserva para cuando el perjuicio de un incidente sería muy grave, incluso irreparable: alguna dimensión llega al nivel alto. Es propio de sistemas críticos o con información especialmente sensible.
Si tu sistema queda en básica, la conformidad se demuestra con una declaración de conformidad autoevaluada: es la propia organización, siguiendo las guías CCN-STIC, quien verifica que cumple. Mi trabajo es dejarte la documentación y las evidencias preparadas para que esa declaración resista cualquier revisión posterior del organismo contratante.
En media o alta, la vía cambia: hace falta una certificación emitida por una entidad acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065:2012. Mi papel es dejarte preparado para superar esa auditoría con garantías; quien certifica es siempre la entidad acreditada, nunca yo.
Nada de un PDF que se archiva y no se vuelve a abrir. Lo que te entrego es el cuerpo documental y técnico que sostiene tu conformidad: el conjunto de evidencias que el auditor acreditado, o el técnico que revise el expediente en el Gobierno de Navarra, el Ayuntamiento de Pamplona, la UPNA o NASERTIC, va a pedir ver antes de dar por buena la licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Mi base está en Valladolid y Las Palmas, desde donde atiendo empresas de toda España, pero combino el trabajo en remoto con sesiones presenciales en Pamplona siempre que el proyecto lo pide. Manejo bien el terreno de la contratación pública navarra —sus plazos, sus pliegos y lo que suelen exigir organismos como el Gobierno de Navarra, NASERTIC, el Ayuntamiento de Pamplona y la UPNA—.
Trabajo con acompañamiento real, cara a cara: no entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad cuando el proyecto ya haya terminado.
Digo con claridad hasta dónde llego: preparo y adecúo tu organización, pero la certificación en categoría media o alta la firma siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me separa de las consultoras que prometen de más.
Integradoras o desarrolladoras de software que tienen contratos con departamentos del Gobierno de Navarra o que trabajan como subcontratistas de NASERTIC, la sociedad pública foral de servicios TIC, y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas del Parque de la Innovación de Sarriguren, en el entorno del Centro Nacional de Energías Renovables (CENER), que prestan servicios de ingeniería, ciberseguridad o soporte TIC a organismos públicos de investigación o a la propia Administración foral, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Pamplona o de la Comunidad Foral —incluidas las que hasta ahora han trabajado como proveedoras auxiliares del sector de automoción de Landaben o del clúster agroalimentario del Valle del Ebro— que quieren ampliar su cartera hacia el Ayuntamiento de Pamplona, la Mancomunidad de la Comarca de Pamplona o la UPNA. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa fija, y quien te la ofrezca sin conocer tu caso no está siendo riguroso. Lo que pagues depende del alcance —cuántos sistemas entran en juego—, de la categoría que te corresponda —básica, media o alta—, de tu punto de madurez inicial y de si el camino que necesitas es la certificación acreditada o basta con la declaración de conformidad.
A mis honorarios se suma, solo en categoría media o alta, el coste de la entidad certificadora acreditada por ENAC: es una factura aparte, que emite directamente el tercero que audita la conformidad.
Sí. El Gobierno de Navarra, como administración de la Comunidad Foral con sede en Pamplona, está plenamente sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Buena parte de la gestión tecnológica foral pasa por NASERTIC, la sociedad pública que administra el Centro de Proceso de Datos y las comunicaciones del Gobierno de Navarra: si tu empresa trabaja directamente con un departamento foral o como subcontratista de NASERTIC, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad Pública de Navarra (UPNA), con su campus principal de Arrosadía en Pamplona, es una institución pública universitaria sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, sede electrónica, plataformas de investigación—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Tanto el Ayuntamiento de Pamplona como la Mancomunidad de la Comarca de Pamplona —la entidad pública que gestiona el agua, los residuos y el transporte del área metropolitana— son entidades locales sujetas al ENS por el RD 311/2022. Pueden incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC, y lo hacen con creciente frecuencia.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión que trabajan con el Gobierno de Navarra, el Ayuntamiento de Pamplona o la UPNA se sitúan en categoría básica, con declaración de conformidad autoevaluada.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarte a un concurso del Gobierno de Navarra, el Ayuntamiento de Pamplona o la UPNA te permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. El proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; la ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de Navarra, el Ayuntamiento de Pamplona o la UPNA, lo que el pliego exige es el ENS.
La primera llamada es gratuita y sin ningún compromiso: reviso contigo el alcance de tus sistemas, valoro la categoría que previsiblemente les corresponde y aclaro qué tipo de contratación buscas. Si el encaje es bueno, te preparo una propuesta cerrada; si no lo es, te vas igualmente con una orientación clara para arrancar por tu cuenta.