Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con sede en Valladolid y Las Palmas. Desde ahí acompaño a empresas de Pontevedra y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Concello de Pontevedra, la Deputación de Pontevedra, el Complexo Hospitalario Universitario (CHUP) o la Universidade de Vigo sin quedar excluidas de los pliegos.
Pontevedra no es la sede del gobierno de Galicia —eso está en Santiago de Compostela—, pero es la capital de su provincia y reúne un conjunto de administraciones que gestionan a diario sistemas de información sujetos al ENS. Ahí está la Deputación de Pontevedra (DEPO), con su palacio provincial en la Gran Vía de Montero Ríos, que presta soporte técnico, económico y digital a los 61 municipios de la provincia. Ahí está también el Concello de Pontevedra, con su propia sede electrónica, y la Delegación Territorial de la Xunta de Galicia en Pontevedra, que centraliza en un único edificio administrativo buena parte de los servicios provinciales de la Xunta desde 2008.
En el ámbito sanitario, el Complexo Hospitalario Universitario de Pontevedra (CHUP) —que integra el Hospital Provincial, el Hospital Montecelo, el Hospital do Salnés y el Centro de Especialidades Mollabao— depende del Servizo Galego de Saúde (Sergas), el organismo sanitario de la Xunta de Galicia, y da cobertura a más de 300.000 personas de 26 municipios. Gestiona historia clínica electrónica y sistemas de gestión asistencial: datos especialmente sensibles que normalmente sitúan estos sistemas en categoría media o alta del ENS.
A esto se suma el Campus de Pontevedra de la Universidade de Vigo, con sus facultades agrupadas en A Xunqueira —Comunicación, Fisioterapia, Ciencias da Educación e do Deporte, Dirección y Xestión Pública, y la Escola de Enxeñaría Forestal— y más de 4.200 estudiantes matriculados. Como institución pública universitaria, tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público, y traslada ese requisito a sus proveedores de sistemas y conectividad.
Alrededor de estas administraciones se ha desarrollado un tejido de empresas de servicios, comercio y tecnología —Pontevedra es, además, una ciudad reconocida internacionalmente por su modelo de peatonalización, premiada en 2014 con el Premio Internacional de Dubái de ONU-Hábitat a las mejores prácticas urbanas— que trabajan o aspiran a trabajar con el sector público local. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de la Deputación de Pontevedra, que da soporte digital a los 61 municipios de la provincia, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Concello de Pontevedra incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de sede electrónica, telecomunicaciones y sistemas de gestión.
El Complexo Hospitalario Universitario de Pontevedra (Sergas) y el Campus de Pontevedra de la Universidade de Vigo están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto conviene tener claro el marco completo: puedes repasar la guía ENS completa y consultar cómo trabajo en el servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad no distingue entre organismo público y proveedor privado: alcanza también a las empresas privadas que prestan servicios por relación contractual a una entidad sujeta a él. En Pontevedra y en el resto de la provincia, esa red de contratistas es más amplia de lo que muchas empresas piensan.
Estos son algunos de los perfiles con los que me encuentro más a menudo:
El plazo que fijó la disposición transitoria única del RD 311/2022 —24 meses para adecuar los sistemas ya existentes— se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que sufren cambios significativos, deben cumplir desde el primer día. En la práctica, quien todavía no ha empezado va ya por detrás del calendario general, y cada convocatoria que aparece en el perfil del contratante del Concello o de la Deputación recorta el margen para llegar a tiempo a la siguiente licitación.
Sigo el itinerario que marcan las guías CCN-STIC: parto de un diagnóstico y termino en la preparación de la declaración de conformidad o de la auditoría, sin saltarme ningún paso intermedio. La meta no es solo llegar, sino llegar a tiempo, con documentación defendible que puedas presentar en el siguiente pliego del Concello de Pontevedra, la Deputación de Pontevedra, el CHUP o cualquier otro organismo que contrate en la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación real frente a lo que exige el ENS y delimito qué sistemas de información entran dentro del alcance del proyecto. | Informe de diagnóstico que fija la distancia hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y fijo la categoría que le corresponde: básica, media o alta. | Anexo I del ENS, que determina el nivel de exigencia y la vía de conformidad que tocará seguir. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas aplicables y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control. | Conforme a la guía CCN-STIC 806: plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Despliego, junto a tu equipo, las medidas del Anexo II en los tres marcos: organizativo, operacional y de protección. | Evidencias de implantación, medida por medida, ya preparadas para la fase de auditoría. |
| Fase 06 Conformidad final | Reviso todo antes de presentarlo: en categoría básica apoyo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Preparo la conformidad; quien certifica media o alta es siempre un tercero acreditado por ENAC. |
La categoría de un sistema no es una elección subjetiva: resulta de valorar el impacto de un posible incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y es la dimensión peor valorada la que fija el resultado final.
Corresponde a los casos en que un incidente causaría un perjuicio limitado sobre las funciones, los activos o las personas de la organización. Es la categoría que encuentro con más frecuencia entre proveedores de servicios auxiliares.
Se da cuando el perjuicio de un incidente sería grave: al menos una dimensión alcanza el nivel medio. Es habitual en sistemas de gestión administrativa o en tratamientos con datos sensibles.
Aplica cuando el perjuicio sería muy grave, incluso irreparable: alguna dimensión alcanza el nivel alto. Es propio de sistemas críticos o de datos especialmente sensibles.
En categoría básica acreditas la conformidad con una declaración de conformidad autoevaluada: es tu propia organización la que verifica el cumplimiento siguiendo las guías CCN-STIC. Preparo contigo la documentación y las evidencias para que esa declaración resista cualquier revisión del organismo contratante.
En categoría media o alta, la conformidad solo se acredita con certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla con garantías; la certificación en sí la emite siempre la entidad acreditada, nunca el consultor.
Aquí no hay un PDF de cortesía que se queda sin abrir. Entrego el cuerpo documental y técnico que sostiene la conformidad: el que revisa el auditor y el que el Concello de Pontevedra, la Deputación de Pontevedra, el CHUP o cualquier otro organismo contratante necesita ver dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo desde Valladolid y Las Palmas para clientes de toda España, pero combino el acompañamiento en remoto con sesiones presenciales en Pontevedra cuando el proyecto lo requiere. Conozco de cerca cómo funciona la licitación pública gallega: los tiempos, los pliegos y lo que suelen exigir organismos como el Concello de Pontevedra, la Deputación de Pontevedra, el CHUP (Sergas) y la Universidade de Vigo.
Mi forma de trabajar es acompañarte de verdad, no entregarte un manual y desaparecer. Estoy contigo en cada fase, traduzco la norma en decisiones prácticas y, cuando cierro el proyecto, dejo a tu equipo con capacidad real para sostener la conformidad por sí solo.
Prefiero ser claro sobre los límites de mi papel: preparo y adecúo tu organización hasta dejarla lista para la conformidad; la certificación en categorías media o alta la concede siempre una entidad acreditada por ENAC. Esa honestidad, unida al rigor con la norma vigente (RD 311/2022, Anexos I-IV y las guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Integradoras o desarrolladoras de software que gestionan o dan soporte a la sede electrónica, el registro o los sistemas de gestión tributaria del Concello de Pontevedra, y necesitan acreditar conformidad con el ENS para renovar o ampliar el contrato. Suelen estar en categoría básica o media.
Empresas que dan soporte a los sistemas de historia clínica electrónica o de gestión asistencial del Complexo Hospitalario Universitario de Pontevedra —Hospital Provincial, Montecelo y Hospital do Salnés— y que, por el tipo de datos que tratan, suelen necesitar categoría media o alta.
Empresas con sede en los polígonos de O Campiño o A Reigosa, o en la propia ciudad, que hasta ahora han trabajado sobre todo en el sector privado y quieren ampliar su cartera hacia la Deputación de Pontevedra, el Concello o el Campus universitario. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa plana, y yo desconfiaría de quien te la diera sin conocer tu caso. Lo que determina la inversión es el alcance (cuántos sistemas entran en juego), la categoría que te corresponda (básica, media o alta), tu punto de partida y si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categorías media o alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC: es una factura aparte, independiente de la mía, que emite directamente el tercero que realiza la auditoría de conformidad.
Sí. El Concello de Pontevedra, como entidad local, está plenamente sujeto al ENS por el RD 311/2022 y traslada esa obligación a sus proveedores y contratistas de servicios TIC, especialmente en los contratos vinculados a su sede electrónica, el registro o la gestión tributaria. Si tu empresa presta o aspira a prestar servicios digitales al Ayuntamiento, la conformidad es ya un requisito habitual de solvencia técnica en los pliegos. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El Complexo Hospitalario Universitario de Pontevedra (CHUP), integrado en el Servizo Galego de Saúde (Sergas), gestiona sistemas de historia clínica electrónica y de gestión asistencial para más de 300.000 personas del área sanitaria de Pontevedra e O Salnés. Como organismo del sector público sanitario, exige a sus proveedores TIC conformidad con el RD 311/2022, y por la sensibilidad de los datos que trata suele situar estos sistemas en categoría media o alta.
Sí. La Deputación de Pontevedra (DEPO) es una entidad local sujeta al ENS por el RD 311/2022 que, además de sus propios sistemas, da soporte técnico y digital a los 61 municipios de la provincia. Puede —y cada vez lo hace con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con la Deputación, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Sí. El Campus de Pontevedra de la Universidade de Vigo es una institución pública universitaria sujeta al ENS que gestiona expedientes académicos, plataformas de investigación y trámites administrativos para sus facultades de A Xunqueira. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión para el Concello o la Deputación se sitúan en categoría básica; los que trabajan con sistemas sanitarios del CHUP suelen necesitar categoría media o alta.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Concello de Pontevedra, la Deputación de Pontevedra o el CHUP, lo que el pliego exige es el ENS.
Reserva una primera conversación, sin coste ni compromiso. Repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de contrato que tienes entre manos. Si veo que puedo ayudarte, te entrego una propuesta cerrada; si no encajamos, te quedas igualmente con una orientación clara por dónde empezar.