Me llamo Ángel Ortega Castro y soy consultor ENS independiente. Doy servicio en remoto a empresas de toda España desde mis bases en Valladolid y Las Palmas, y me desplazo a Donostia/San Sebastián y al resto de Gipuzkoa cuando el proyecto lo pide. Acompaño a empresas de la ciudad y del territorio histórico en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Ayuntamiento de Donostia/San Sebastián, la Diputación Foral de Gipuzkoa, el Gobierno Vasco o la UPV/EHU sin quedar excluidas de los pliegos.
Donostia/San Sebastián no es la sede del Gobierno Vasco —esa función corresponde a Vitoria-Gasteiz— pero sí es la capital del territorio histórico de Gipuzkoa: concentra el Ayuntamiento de Donostia/San Sebastián y buena parte de los servicios de la Diputación Foral de Gipuzkoa, que gestiona desde su sede electrónica (egoitza.gipuzkoa.eus) la administración electrónica del territorio, incluido el nodo de interoperabilidad NISAE, que conecta sus sistemas con el resto de administraciones vascas y estatales.
A esa doble administración local y foral se suma el Gobierno Vasco, que impulsa activamente la adecuación al ENS de las entidades locales del País Vasco mediante líneas de subvención específicas dentro del Plan de Recuperación, Transformación y Resiliencia (PRTR). En paralelo, San Sebastián alberga un ecosistema universitario propio: el Campus de Gipuzkoa de la UPV/EHU (barrio de Ibaeta), con la Escuela de Ingeniería de Gipuzkoa y la Facultad de Informática; Tecnun, la escuela de ingeniería de la Universidad de Navarra, con sede en Ibaeta y en el Parque Tecnológico de Miramón; y Mondragon Unibertsitatea, con su Basque Culinary Center también en Miramón. Todas ellas gestionan sistemas de información sujetos al ENS por su condición de instituciones públicas o de titularidad universitaria.
Junto a estas instituciones, el Parque Científico y Tecnológico de Gipuzkoa, en el propio Miramón, agrupa más de 200 empresas, unidades de I+D, clústeres y centros de investigación —entre ellos CIC biomaGUNE, CIC nanoGUNE y Vicomtech, integrados en la alianza vasca de investigación BRTA (Basque Research & Technology Alliance)— muchos con proyectos financiados por administraciones públicas y, por tanto, sujetos a requisitos de seguridad de la información. Para el conjunto de este tejido, el Esquema Nacional de Seguridad ya no es opcional: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación de estas administraciones lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de la Diputación Foral de Gipuzkoa, gestionados desde su sede electrónica y el nodo NISAE, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Donostia/San Sebastián incorpora cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas de servicios digitales.
El Campus de Gipuzkoa de la UPV/EHU y centros como CIC biomaGUNE o Vicomtech, en el Parque Científico y Tecnológico de Gipuzkoa, están sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de seguir avanzando conviene tener el marco completo claro: repasa la guía ENS completa y consulta el alcance del servicio de consultoría ENS para empresas.
Antes de repasar el listado conviene entender el porqué: quien contrata con el sector público —o le presta servicio por vía contractual— entra en el alcance del ENS, sin excepción. En Donostia/San Sebastián y en el resto de Gipuzkoa ese alcance no es teórico: cada pliego que se publica sin la conformidad acreditada es, para el proveedor que aspiraba a él, una licitación perdida antes de empezar.
En los proyectos que llevo en la ciudad me encuentro sobre todo con estos perfiles:
El margen de gracia ya se agotó: la disposición transitoria única del RD 311/2022 daba 24 meses para adecuar los sistemas ya existentes, y ese plazo se cerró el 5 de mayo de 2024. Para los sistemas nuevos, o los que han cambiado de forma sustancial, la exigencia rige desde el primer día de servicio. Si tu empresa aún no ha empezado, cada nuevo concurso que se publica en el perfil del contratante deja claro cuánto se ha estrechado ya el margen.
Sigo el orden que marcan las guías CCN-STIC porque saltarse pasos suele salir caro en la auditoría: arranco por el diagnóstico y termino en la preparación de la declaración o de la auditoría de conformidad. La meta es entregarte una documentación capaz de aguantar la revisión del Ayuntamiento de Donostia/San Sebastián, de la Diputación Foral de Gipuzkoa o de cualquier otro organismo contratante vasco al que te presentes.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto. | Un informe de diagnóstico que mide la distancia real hasta el cumplimiento y prioriza las brechas. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad CIDAT y de ahí sale la categoría: básica, media o alta. | Queda recogido en el Anexo I del ENS, que fija el nivel de exigencia y qué vía de conformidad te corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | De aquí sale el informe de análisis de riesgos, con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control en la Declaración de Aplicabilidad (DdA). | Sigo la guía CCN-STIC 806 para dejar cerrado el plan de adecuación y la declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo acompañado en cada paso. | Cada medida queda con su evidencia de implantación, ya lista para cuando llegue la auditoría. |
| Fase 06 Conformidad final | Hacemos la revisión previa y la preparación final. Si tu categoría es básica, te apoyo en la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Corresponde al Anexo III. Yo dejo lista la conformidad; la certificación en categoría media o alta la firma, siempre, un tercero acreditado por ENAC. |
Nadie asigna la categoría a ojo: sale de valorar qué pasaría si hubiera un incidente en cada una de las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión peor parada es la que decide la categoría final.
Se aplica cuando un incidente dejaría un perjuicio limitado en las funciones, los activos o las personas de la organización. Es la categoría que más veces encuentro entre proveedores de servicios auxiliares.
Aparece cuando alguna dimensión llega al nivel medio, es decir, un incidente supondría un perjuicio grave. La veo con frecuencia en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a los casos en que el perjuicio sería muy grave, a veces irreparable, porque alguna dimensión alcanza el nivel alto. Es propio de sistemas críticos o con información especialmente sensible.
Si tu sistema queda en categoría básica, basta con una declaración de conformidad autoevaluada: es la propia organización la que verifica su cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que resistan cualquier revisión posterior del organismo contratante, sea el Ayuntamiento de Donostia/San Sebastián o la Diputación Foral de Gipuzkoa.
En categoría media o alta no hay atajo: la conformidad exige una certificación emitida por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi papel es prepararte para superarla con garantías; quien certifica es siempre la entidad acreditada, nunca yo como consultor.
Un PDF que nadie vuelve a abrir no sirve de nada si lo que necesitas es defender tu expediente ante el Ayuntamiento de Donostia/San Sebastián, la Diputación Foral de Gipuzkoa o cualquier otro organismo contratante vasco. Por eso te entrego el cuerpo documental y técnico completo que un auditor —o el propio pliego— va a pedir revisar.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Trabajo en remoto desde Valladolid y Las Palmas para clientes de toda España, pero viajo a Gipuzkoa cada vez que el proyecto lo pide, porque conozco de cerca cómo funciona la contratación pública vasca: sus tiempos, sus pliegos y lo que suelen exigir organismos como el Ayuntamiento de Donostia/San Sebastián, la Diputación Foral de Gipuzkoa o el Gobierno Vasco.
No entrego un manual y desaparezco: ese es justo el motivo por el que este acompañamiento funciona. Estoy contigo en cada fase, convierto la norma en decisiones que se pueden ejecutar, y cuando cierro el proyecto tu equipo ya sabe sostener la conformidad por su cuenta.
Prefiero ser claro desde el principio sobre dónde llega mi papel: yo preparo y adecúo tu organización hasta dejarla lista; quien certifica en categoría media o alta es siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor con la norma vigente —RD 311/2022, sus Anexos I-IV y las guías CCN-STIC—, es lo que me separa de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con el Ayuntamiento de Donostia/San Sebastián o con la Diputación Foral de Gipuzkoa y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas de base tecnológica instaladas en el Parque Científico y Tecnológico de Gipuzkoa (Miramón) —en biociencias, inteligencia artificial, ciberseguridad o movilidad— que participan en proyectos de I+D financiados con fondos públicos vascos o estatales y necesitan acreditar conformidad con el ENS antes del siguiente convenio o pliego.
Organizaciones privadas de San Sebastián o de Gipuzkoa vinculadas a los sectores fuertes del territorio —industria de fabricación avanzada y movilidad, turismo inteligente basado en datos, gastronomía— que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia la Administración. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
Cualquiera que te dé una cifra cerrada sin conocer tu caso te está mintiendo, así de simple. Lo que paga tu empresa depende de cuántos sistemas entran en el alcance, de la categoría que resulte —básica, media o alta—, de la madurez de la que partes y de si necesitas certificación acreditada o te basta la declaración de conformidad.
Eso sí: en categoría media o alta hay que sumar aparte el coste de la entidad certificadora acreditada por ENAC. No forma parte de mis honorarios, lo factura directamente el tercero que realiza la auditoría de conformidad.
Sí. El Ayuntamiento de Donostia/San Sebastián, como entidad local, está sujeto al ENS por el RD 311/2022 y puede exigir conformidad a sus proveedores TIC en los pliegos de contratación de servicios digitales, alojamiento o ciberseguridad. Si tu empresa presta o aspira a prestar estos servicios al Ayuntamiento, la conformidad ya es un requisito de solvencia técnica habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La UPV/EHU cuenta en San Sebastián con el Campus de Gipuzkoa, en el barrio de Ibaeta, que agrupa la Escuela de Ingeniería de Gipuzkoa y la Facultad de Informática. Como institución pública universitaria, la UPV/EHU está sujeta al RD 311/2022 y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. La Diputación Foral de Gipuzkoa gestiona desde su sede electrónica servicios de administración electrónica sujetos al ENS, y el Gobierno Vasco impulsa activamente la adecuación de las entidades locales vascas mediante líneas de subvención específicas dentro del Plan de Recuperación, Transformación y Resiliencia (PRTR). Tanto la administración foral como la autonómica pueden exigir conformidad con el RD 311/2022 en sus licitaciones TIC.
NISAE es el nodo de interoperabilidad de la Diputación Foral de Gipuzkoa que conecta sus sistemas de información con otras administraciones vascas y estatales. La seguridad de esos intercambios de datos se apoya en el marco del ENS, por lo que cualquier proveedor TIC que dé servicio a sistemas conectados a NISAE debe operar con medidas de seguridad equivalentes a las exigidas por el Esquema Nacional de Seguridad.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001 —algo habitual entre las tecnológicas del Parque Científico y Tecnológico de Gipuzkoa—, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Ayuntamiento de Donostia/San Sebastián o la Diputación Foral de Gipuzkoa, lo que el pliego exige es el ENS.
Reservamos una primera conversación sin coste ni compromiso para repasar el alcance de tus sistemas, estimar la categoría que previsiblemente te va a corresponder y el tipo de contratación al que aspiras. Si el proyecto encaja, te presento una propuesta cerrada; si no, sales de la llamada con una hoja de ruta clara para empezar por tu cuenta.