Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria, en remoto con empresas de toda España y de forma presencial cuando el proyecto lo requiere. En Santander y el resto de Cantabria acompaño a las empresas en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de Cantabria, el Ayuntamiento de Santander, la Universidad de Cantabria o la Autoridad Portuaria sin quedar excluidas de los pliegos.
Santander no es una ciudad cualquiera dentro del mapa de la contratación pública en Cantabria. Es la capital de la comunidad autónoma y la sede del Gobierno de Cantabria, cuyas consejerías —Presidencia, Interior y Justicia; Economía, Hacienda y Fondos Europeos; Educación, Formación Profesional y Universidades; Sanidad; Desarrollo Rural, Ganadería, Pesca y Alimentación; Cultura, Turismo y Deporte, entre otras— y sus organismos dependientes concentran buena parte de la demanda de servicios digitales del sector público cántabro. Cantabria es, además, una comunidad uniprovincial: no existe Diputación Provincial, porque es el propio Gobierno de Cantabria quien asume las competencias que en otras comunidades recaen en esa institución. Eso concentra la actividad contratante en la capital todavía más que en comunidades con varias provincias.
A ese núcleo se suma la Universidad de Cantabria (UC), con sede en Santander, que como institución pública universitaria opera sistemas de información sensibles —expedientes académicos, sede electrónica propia, plataformas de investigación— sujetos al mismo marco. El Ayuntamiento de Santander, a través de su Departamento de Nuevas Tecnologías, lleva más de una década impulsando una agenda de transformación digital que arrancó con SmartSantander —una de las mayores infraestructuras urbanas de IoT del mundo, desarrollada junto a la propia UC— y continúa hoy con proyectos como Santander Smart Destination. Y la Autoridad Portuaria de Santander, organismo público que gestiona el único puerto de mercancías y pasajeros de la región, tiene publicada su propia política de seguridad de la información, en la que declara aplicar las medidas mínimas exigidas por el Esquema Nacional de Seguridad a todos sus sistemas TIC.
Alrededor de este ecosistema de administraciones se ha desarrollado un tejido de empresas TIC, muchas de ellas instaladas en el Parque Científico y Tecnológico de Cantabria (PCTCAN), en el barrio santanderino de Adarzo, que agrupa más de 80 empresas y trabaja de la mano de SODERCAN (Sociedad para el Desarrollo Regional de Cantabria), el organismo público del Gobierno de Cantabria que impulsa la inversión y la innovación empresarial en la región. Para todas estas empresas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías y organismos dependientes del Gobierno de Cantabria exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Santander y la Autoridad Portuaria de Santander incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Cantabria, con sede en Santander, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proceso conviene tener claro el marco completo: te dejo la guía ENS completa y, si prefieres delegarlo desde el primer día, el detalle del servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad no se queda dentro de los edificios públicos: se extiende también a las empresas privadas que trabajan para la Administración por contrato. En Santander esa red suma ya un número nada desdeñable de negocios, tanto de la capital como del resto de Cantabria.
Son perfiles que veo repetirse constantemente entre quienes acaban teniendo que adecuarse:
La disposición transitoria única del RD 311/2022 fijó una ventana de 24 meses para poner al día los sistemas ya existentes; ese plazo venció el 5 de mayo de 2024. Los sistemas que se crean desde cero, o los que reciben modificaciones sustanciales, quedan obligados desde el mismo momento en que arrancan. Si tu empresa todavía no ha movido ficha, cada licitación publicada en tu perfil del contratante es una señal de que el tiempo se agota.
Trabajo con la secuencia que marcan las guías CCN-STIC: arranco por el diagnóstico y cierro con la declaración de conformidad o la auditoría, según el nivel que le corresponda a tu sistema. Busco un expediente ordenado, capaz de aguantar sin fisuras una revisión del Gobierno de Cantabria, del Ayuntamiento de Santander o de cualquier otra entidad contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Contrasto dónde está tu empresa hoy frente a lo que pide el ENS y acoto el alcance: decido junto contigo qué sistemas de información entran en el proyecto. | Informe de diagnóstico que mide la distancia hasta el cumplimiento y ordena las brechas detectadas por urgencia. |
| Fase 02 Categorización | Reviso cada sistema conforme a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y de ahí sale la categoría: básica, media o alta. | Anexo I del ENS. Determina el nivel de exigencia y la vía de conformidad aplicable. |
| Fase 03 Análisis de riesgos | Levanto inventario de activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. | Informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Escribo la política de seguridad, elijo las medidas que corresponden y elaboro la Declaración de Aplicabilidad (DdA), motivando cada control incluido o excluido. | Guía CCN-STIC 806. Plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Pongo en marcha, junto a tu equipo, las medidas del Anexo II en sus tres marcos —organizativo, operacional y de protección— acompañando cada paso. | Evidencias de implantación, medida por medida, listas para que las revise el auditor. |
| Fase 06 Conformidad final | Hago una última revisión antes del cierre. Si la categoría es básica, respaldo la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Dejo cerrada la conformidad; en media/alta, la certificación la firma siempre un tercero acreditado por ENAC. |
Nadie asigna la categoría a ojo: sale de medir qué consecuencias tendría un fallo de seguridad sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y manda la dimensión que peor puntúa, no la media entre todas.
Corresponde a sistemas donde un fallo dañaría de forma acotada las funciones, los bienes o las personas de la organización. Es el escalón más común entre quienes prestan servicios auxiliares.
Aparece cuando un fallo generaría un daño grave: hay, como mínimo, una dimensión que llega al nivel medio. Suele darse en sistemas de gestión administrativa o que manejan datos sensibles.
Se reserva para cuando un fallo causaría un daño muy grave, a veces irreparable: alguna dimensión toca el nivel alto. Habitual en sistemas críticos o con información especialmente delicada.
En categoría básica basta con una declaración de conformidad autoevaluada: la propia empresa comprueba, siguiendo las guías CCN-STIC, que cumple lo exigido. Te ayudo a montar la documentación y las evidencias necesarias para que esa declaración no se caiga ante ninguna revisión del organismo contratante.
En categoría media o alta hace falta certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi papel es dejarte preparado para superarla con garantías; la certificación la expide siempre la entidad acreditada, nunca yo como consultor.
Aquí no hay un PDF que acaba durmiendo en un cajón. Lo que entrego es el cuerpo documental y técnico que sostiene la conformidad, el mismo que va a querer revisar el auditor, el Gobierno de Cantabria, el Ayuntamiento de Santander, la Universidad de Cantabria o cualquier otro organismo contratante dentro del expediente de una licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y en Las Palmas de Gran Canaria, y desde ahí atiendo a empresas de toda España —en remoto casi siempre, de forma presencial cuando el proyecto lo pide—, incluidas las de Santander y el resto de Cantabria. Conozco de primera mano cómo funciona la contratación pública cántabra: sus plazos, sus pliegos y lo que exigen habitualmente organismos como el Gobierno de Cantabria, el Ayuntamiento de Santander, la Universidad de Cantabria y la Autoridad Portuaria de Santander.
Trabajo con acompañamiento real, persona a persona: no te entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones prácticas, y al terminar el proyecto tu equipo queda capacitado para sostener la conformidad por sí mismo.
Soy claro sobre dónde llega mi trabajo y dónde no: preparo y adecúo tu organización hasta dejarla lista; la certificación en categorías media o alta la emite siempre una entidad acreditada por ENAC, no yo. Esa honestidad, sumada al rigor técnico sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con el Gobierno de Cantabria o con organismos dependientes como SODERCAN y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas instaladas en el Parque Científico y Tecnológico de Cantabria (barrio de Adarzo) que prestan servicios de mantenimiento, ciberseguridad o soporte TIC al Ayuntamiento de Santander, la Universidad de Cantabria o la Autoridad Portuaria, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Santander o del resto de Cantabria que hasta ahora han trabajado en el sector privado —turismo, agroalimentario, industrial— y quieren ampliar su cartera hacia la Administración. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa cerrada de antemano, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que pagas depende del alcance del proyecto (número de sistemas), de la categoría que te corresponda (básica, media o alta), de tu punto de partida en materia de seguridad, y de si necesitas certificación acreditada o te basta la declaración de conformidad.
A mis honorarios se suma, si tu categoría es media o alta, el coste de la entidad certificadora acreditada por ENAC: es una factura aparte, que emite directamente el tercero que audita tu conformidad.
Sí. El Gobierno de Cantabria, como administración autonómica, está sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Cantabria (UC) es una institución pública universitaria con sede en Santander que gestiona sistemas de información sujetos al ENS —expedientes académicos, sede electrónica propia, plataformas de investigación—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. El Ayuntamiento de Santander es una entidad local sujeta al ENS por el RD 311/2022, y su Departamento de Nuevas Tecnologías incorpora la conformidad como requisito en licitaciones de software, conectividad y ciberseguridad. La Autoridad Portuaria de Santander, organismo público que gestiona el único puerto de mercancías y pasajeros de la región, tiene publicada su propia política de seguridad de la información en la que declara aplicar las medidas mínimas exigidas por el ENS a todos sus sistemas TIC, y traslada esa exigencia a sus proveedores.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; la ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de Cantabria o el Ayuntamiento de Santander, lo que el pliego exige es el ENS.
Reserva una primera llamada, sin coste ni compromiso, en la que repasamos el alcance de tus sistemas, la categoría que previsiblemente te corresponde y el tipo de contratación pública al que aspiras. Si tiene sentido seguir, te llevas una propuesta cerrada; si no encajamos, sales igualmente con una hoja de ruta clara para arrancar por tu cuenta.