Soy Ángel Ortega Castro, consultor ENS independiente. Acompaño a empresas que quieren licitar o trabajar como proveedoras con el Ayuntamiento de Salamanca, la Diputación de Salamanca o la Universidad de Salamanca (USAL) en su adecuación al Esquema Nacional de Seguridad (RD 311/2022): diagnóstico, plan de adecuación y preparación de la conformidad, sin promesas de certificación garantizada.
Salamanca concentra, para su tamaño, un sector público inusualmente amplio: una universidad con ocho siglos de historia, una diputación que da cobertura a más de trescientos municipios de la provincia y un ayuntamiento que ha impulsado en los últimos años su transformación digital. Tres entidades con perfiles de licitación distintos, pero con un denominador común creciente: la exigencia de que sus proveedores tecnológicos acrediten conformidad con el Esquema Nacional de Seguridad.
El consistorio gestiona su sede electrónica, plataformas de tramitación ciudadana y sistemas de urbanismo y servicios sociales. Cualquier empresa que preste servicios tecnológicos al Ayuntamiento queda dentro del perímetro del ENS como parte de su cadena de suministro.
La Diputación presta servicios mancomunados de administración electrónica y tecnología a los municipios de la provincia. Sus contratos de software, infraestructura y servicios en la nube requieren, con frecuencia creciente, que el proveedor acredite su adecuación al ENS como condición de solvencia técnica.
La USAL, como institución pública fundada en 1218 y sujeta a la Ley Orgánica del Sistema Universitario, está directamente obligada por el ENS y arrastra esa obligación a toda su cadena de proveedores. Las empresas que le suministran sistemas de gestión académica, plataformas de aprendizaje, software de investigación o servicios en la nube deben demostrar conformidad con el ENS antes de firmar el contrato o, en muchos casos, ya en el pliego de condiciones.
El RD 311/2022 eliminó el margen de duda: proveedores y contratistas del sector público deben adecuarse al ENS. El plazo transitorio para sistemas preexistentes finalizó el 5 de mayo de 2024. Los pliegos de Salamanca, como los del resto de España, ya incorporan esta exigencia como requisito de solvencia técnica. No es una tendencia futura: es el escenario actual.
Si tu empresa presta o quiere prestar servicios tecnológicos a cualquiera de estas instituciones, la consultoría ENS es el camino para acreditar que gestionas la seguridad de la información con el rigor que exige la norma. La guía ENS es el mejor punto de partida si todavía estás valorando si te aplica.
El ENS obliga directamente al Ayuntamiento de Salamanca, a la Diputación de Salamanca y a la Universidad de Salamanca (USAL), como a toda entidad del sector público. Pero su alcance no se detiene ahí: el Real Decreto 311/2022 extiende la obligación a las empresas privadas que prestan servicios o soluciones al sector público mediante una relación contractual, es decir, a toda la cadena de suministro. Proveedores TIC, integradores de sistemas, empresas SaaS, servicios en la nube, consultoras de software: si tu actividad comercial incluye trabajar con estas administraciones, el ENS te alcanza.
La disposición transitoria única del RD 311/2022 fijó 24 meses para adecuar los sistemas preexistentes; ese plazo finalizó el 5 de mayo de 2024. Los sistemas nuevos o con cambios significativos deben cumplir desde el primer día. La certificación ENS se renueva cada dos años en categorías media y alta.
El plan de adecuación ENS sigue el orden marcado por las guías CCN-STIC. No improvisamos: cada fase produce un entregable que se apoya en el anterior. Esta es la hoja de ruta completa, del diagnóstico inicial a la preparación de la auditoría.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Análisis diferencial entre tu situación actual y los requisitos del ENS. Definición del alcance y de los sistemas de información afectados. | Informe de diagnóstico / análisis GAP con la distancia real al cumplimiento. |
| Fase 02 Categorización | Valoración de los sistemas en las cinco dimensiones de seguridad (CIDAT) y asignación de la categoría: básica, media o alta. | Anexo I del ENS. Determina la categoría básica, media o alta aplicable. |
| Fase 03 Análisis de riesgos | Identificación de activos, amenazas y salvaguardas con metodología MAGERIT (apoyada en herramientas como PILAR). | Informe de análisis de riesgos MAGERIT y tratamiento del riesgo. |
| Fase 04 Plan de adecuación + DdA | Política de seguridad, selección de medidas y redacción de la Declaración de Aplicabilidad (DdA), justificando cada control aplicable. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Despliegue de las medidas seleccionadas: marco organizativo, operacional y de protección. Acompañamiento a tu equipo. | Implantación de las medidas del Anexo II con evidencias. |
| Fase 06 Auditoría / certificación | Preparación y revisión previa. Para categoría media o alta, acompañamiento durante la auditoría de la entidad acreditada. | Anexo III. Preparo la auditoría del ENS; la auditoría de conformidad la realiza un tercero. |
¿Quieres saber cuánto se tarda en cada fase? Lo desgloso en los plazos de adecuación al ENS. Y si ya tienes el sistema en marcha, puedo encargarme directamente de la implantación y adecuación ENS.
La categoría de un sistema no es un "bajo/medio/alto" a ojo: se obtiene valorando el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión con mayor nivel marca la categoría del sistema.
Cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas.
Cuando un incidente supondría un perjuicio grave: alguna dimensión alcanza el nivel medio.
Cuando un incidente causaría un perjuicio muy grave, incluso irreparable: alguna dimensión llega al nivel alto.
Elegir bien la categoría es clave para no sobre-invertir ni quedarte corto. Te ayudo a decidir en la guía de niveles del ENS y cómo elegir la categoría, y a entender el papel de las cinco dimensiones de seguridad (CIDAT).
En categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada: la propia organización verifica el cumplimiento conforme a las guías CCN-STIC. Te preparo la documentación y las evidencias para que la declaración sea sólida y sustentable ante cualquier auditoría posterior.
En categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo te preparo para superarla; la certificación la emite la entidad acreditada, nunca el consultor.
Si tu duda es qué marco necesitas, compara ENS o ISO 27001 para licitar con la Administración; y para el proceso completo de sello, revisa el proceso de certificación ENS.
No te dejo un PDF que nadie vuelve a abrir. Te entrego el cuerpo documental y técnico que sostiene la conformidad y que el auditor —o el órgano de contratación de la USAL, la Diputación o el Ayuntamiento— necesita ver.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Acompaño a administraciones, proveedores TIC y empresas que licitan con el sector público en su adecuación al Esquema Nacional de Seguridad.
Mi enfoque es de acompañamiento real, persona a persona: no te dejo un manual y desaparezco. Trabajo a tu lado en cada fase, traduzco la norma a decisiones concretas y dejo a tu equipo autónomo para mantener la conformidad cuando el proyecto termina.
Soy honesto con lo que puedo y no puedo prometer: preparo y adecúo tu organización para la conformidad; la certificación la emite una entidad acreditada por ENAC. Esa franqueza, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me distingue de las consultoras anónimas.
Plataformas de aprendizaje, sistemas de gestión académica, software de investigación o servicios en la nube que la USAL contrata mediante licitación. El ENS aparece en los pliegos como condición de solvencia técnica; la adecuación es la puerta de entrada.
Empresas que prestan o quieren prestar servicios de administración electrónica, infraestructura o software a la Diputación de Salamanca para su red de municipios. El alcance provincial de la Diputación convierte a estos contratos en una palanca de entrada muy relevante para el sector público local.
Desde soluciones de tramitación electrónica hasta sistemas de gestión urbanística o de servicios sociales: cada vez más licitaciones del consistorio salmantino incorporan la exigencia de conformidad con el ENS. Adecuarse antes de presentarse al concurso es la diferencia entre participar o quedar fuera del proceso.
No hay una cifra única, y desconfía de quien te la dé sin conocer tu caso. La inversión depende del alcance (cuántos sistemas), de la categoría (básica, media o alta), de tu madurez de partida y de si necesitas certificación acreditada o basta con declaración.
A esta inversión en consultoría hay que sumar, en categoría media o alta, el coste de la entidad certificadora acreditada, que es independiente de mis honorarios y lo factura el tercero que audita.
Sí, cuando la relación contractual implica que la empresa presta servicios o soluciones tecnológicas al consistorio. El RD 311/2022 extiende la obligación de cumplir el ENS a los proveedores y contratistas del sector público: el Ayuntamiento de Salamanca, como entidad local, forma parte de ese sector público. Si el pliego de condiciones lo exige —y cada vez más lo hace como requisito de solvencia técnica— la empresa debe acreditar su conformidad con el ENS antes de la adjudicación.
La USAL es una universidad pública sujeta a la Ley Orgánica del Sistema Universitario y, por tanto, obligada directamente al ENS. Esta obligación se traslada a sus proveedores cuando el contrato implica tratamiento de datos o el uso de sistemas de información de la universidad. Plataformas de aprendizaje, sistemas de gestión académica, herramientas de investigación y servicios en la nube están en el perímetro habitual. La exigencia concreta depende del pliego de cada licitación, pero la tendencia es que la USAL incorpore la conformidad con el ENS como criterio de solvencia en sus contratos tecnológicos.
La categoría —básica, media o alta— no la fija la empresa proveedora, sino que se determina valorando el impacto de un incidente de seguridad sobre las cinco dimensiones (CIDAT) del sistema concreto que se va a operar o suministrar. Muchos servicios TIC prestados a entidades locales a través de la Diputación de Salamanca caen en categoría básica, lo que permite acreditar la conformidad mediante declaración autoevaluada sin necesidad de certificación acreditada. Otros, si implican datos de carácter sensible o funciones críticas para la administración municipal, pueden requerir categoría media o alta y, con ello, la correspondiente certificación por entidad acreditada por ENAC. La primera llamada sirve para hacer esa valoración sin compromiso.
En categoría básica, la organización realiza una autoevaluación conforme a las guías CCN-STIC y emite su propia declaración de conformidad: no interviene ningún tercero para validarla. En categoría media o alta, la conformidad debe quedar acreditada por una entidad independiente acreditada por ENAC según la norma UNE-EN ISO/IEC 17065:2012; esa entidad es quien emite el sello o certificado, no el consultor. Mi trabajo en ambos casos es prepararte para que la documentación y las evidencias sean sólidas: en básica, para que la declaración sea sustentable; en media y alta, para que la auditoría de la entidad acreditada encuentre todo en orden. Lo detallo en la guía ENS.
Depende de si el pliego exige la conformidad como requisito de admisión o como criterio de valoración. Cuando es un requisito de admisión, no acreditarla implica la exclusión del proceso. Cuando es un criterio de valoración, puedes presentarte, aunque la puntuación será inferior. En cualquier caso, iniciar el proceso de adecuación antes de presentarte a la licitación es la estrategia más segura: el diagnóstico inicial permite saber en cuánto tiempo y con qué esfuerzo puedes alcanzar la conformidad, y en muchos proyectos de categoría básica el plazo es perfectamente compatible con el calendario de una licitación.
Primera llamada sin coste y sin compromiso. Valoramos tu alcance, la categoría que te corresponde y el plazo realista para presentarte a las licitaciones del Ayuntamiento, la Diputación o la USAL con la conformidad acreditada.