Soy Ángel Ortega Castro, consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria. Acompaño a empresas de toda España en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) y, cuando el proyecto lo exige, me desplazo a Santander. La capital de Cantabria es mucho más que sede del Gobierno autonómico: acoge el Parlamento de Cantabria, el Hospital Universitario Marqués de Valdecilla, la Universidad de Cantabria (UC), la UIMP y la Autoridad Portuaria —un ecosistema institucional que genera demanda ENS en cinco frentes distintos.
Santander concentra una densidad institucional que pocas capitales de comunidad autónoma pueden igualar en proporción a su tamaño. El Gobierno de Cantabria tiene aquí su sede central —con la Consejería de Presidencia y el resto de consejerías distribuidas por el centro histórico— y el Parlamento de Cantabria ocupa su propio edificio en la calle Peña Herbosa, con portal de contratación electrónica independiente. Ambos organismos publican contratos TIC en www.cantabria.es que incluyen ya exigencias expresas de conformidad con el RD 311/2022. Cantabria es, además, comunidad uniprovincial: no existe Diputación Provincial, de modo que el Gobierno autonómico absorbe las competencias que en otras regiones se reparten entre varios organismos, lo que refuerza todavía más el peso de la capital como nodo de licitación.
El segundo gran polo es el sanitario. El Hospital Universitario Marqués de Valdecilla (Valdecilla) es el centro de referencia de toda Cantabria y uno de los hospitales universitarios con mayor volumen asistencial del norte de España. Su historia clínica electrónica centralizada, sus sistemas de diagnóstico por imagen y su plataforma de telemedicina lo sitúan casi siempre en categoría media del ENS —la que exige certificación acreditada por ENAC—. El Servicio Cántabro de Salud (SCS), del que depende Valdecilla y el resto de la red asistencial pública de Cantabria, publica sus contratos TIC en el portal de contratación de la comunidad y los proveedores que acceden a sistemas del SCS no tienen margen de duda sobre la categoría: datos de salud implican nivel de protección elevado.
En el ámbito universitario, Santander es una ciudad con una singularidad poco habitual: alberga simultáneamente la Universidad de Cantabria (UC) —con su campus principal en Los Castros, en el barrio santanderino del mismo nombre— y la Universidad Internacional Menéndez Pelayo (UIMP), cuya sede histórica es el Palacio de la Magdalena. La UIMP concentra en verano uno de los calendarios de cursos de especialización de mayor proyección internacional de España; su sede electrónica y sus sistemas de gestión académica quedan bajo el ENS como organismo público, y sus proveedores TIC que gestionan datos de participantes o acceden a sus plataformas deben acreditar conformidad.
El cuarto frente es el portuario. La Autoridad Portuaria de Santander gestiona el único puerto de mercancías y pasajeros de la región, con líneas regulares de ferry hacia el Reino Unido operadas por Brittany Ferries. Como organismo público estatal adscrito al Ministerio de Transportes, tiene sus propios pliegos de contratación TIC y ha declarado en su política de seguridad de la información la aplicación de las medidas mínimas del ENS a todos sus sistemas. Los proveedores de software de gestión portuaria, ciberseguridad o conectividad que trabajan con el Puerto de Santander entran de pleno en el alcance del Esquema.
El quinto frente es transversal: el turismo. Santander y Cantabria son uno de los destinos turísticos de mayor crecimiento del norte peninsular, con el Sardinero y las playas de la bahía como iconos reconocibles. El Ayuntamiento de Santander lidera proyectos de destino inteligente —Santander Smart Destination— que implican plataformas digitales de gestión turística. Y la SODERCAN (Sociedad para el Desarrollo Regional de Cantabria) articula ayudas y proyectos de digitalización que conectan a empresas del sector turístico con la contratación pública. En todos estos proyectos, cuando hay datos de ciudadanos o de infraestructura pública, el ENS aparece como condición de participación.
Las consejerías del Gobierno de Cantabria y el Parlamento de Cantabria publican contratos TIC con exigencia expresa de conformidad ENS en www.cantabria.es.
El Hospital Universitario Marqués de Valdecilla y el Servicio Cántabro de Salud operan sistemas de salud de alta sensibilidad. Sus proveedores TIC caen casi siempre en categoría media del ENS.
La Universidad de Cantabria y la UIMP son instituciones públicas con sistemas académicos bajo el ENS. La UIMP suma proyección internacional con su ciclo de verano en el Palacio de la Magdalena.
El Puerto de Santander y los Ferrocarriles de la Comunidad Autónoma (FEVE Cercanías / FGC) son organismos públicos con pliegos TIC propios. Ambos requieren conformidad ENS de sus proveedores tecnológicos.
Para entender el marco normativo antes de arrancar el proyecto, la guía ENS completa recoge las claves del RD 311/2022 explicadas sin tecnicismos. Y si ya tienes claro que quieres delegar la adecuación desde el primer día, el detalle del servicio está en consultoría ENS para empresas.
El portal www.cantabria.es centraliza la contratación de la Administración autonómica de Cantabria. Los expedientes siguientes son representativos del tipo de contratos TIC en que aparece la exigencia de conformidad con el ENS; para consultar el estado actualizado de cada uno, accede directamente al portal.
| Organismo | Objeto del contrato | Referencia |
|---|---|---|
| Gobierno de Cantabria — Consejería de Presidencia | Servicios de soporte y mantenimiento de la plataforma de administración electrónica del Gobierno de Cantabria, con exigencia de conformidad ENS categoría media para los sistemas de tramitación. | www.cantabria.es · Presidencia e Interior |
| Servicio Cántabro de Salud (SCS) | Mantenimiento evolutivo de aplicaciones de gestión clínica y soporte al sistema de historia clínica electrónica del SCS, con requisito de categoría media del ENS para todos los lotes que implican acceso a datos de salud. | www.cantabria.es · Sanidad |
| Parlamento de Cantabria | Servicios de ciberseguridad gestionada y monitorización de la red corporativa del Parlamento de Cantabria, con conformidad ENS básica como solvencia técnica mínima exigida en el pliego. | www.cantabria.es · Parlamento de Cantabria |
Estos ejemplos ilustran el patrón habitual: el Gobierno autonómico y el SCS exigen con más frecuencia categoría media, mientras que organismos como el Parlamento de Cantabria o el Ayuntamiento de Santander arrancan habitualmente en categoría básica. La categoría definitiva la determina siempre el análisis de los sistemas concretos, no el organismo contratante.
El ENS no limita su alcance a las administraciones: se extiende a toda empresa privada que acceda, trate o mantenga sistemas de información del sector público. En Santander ese universo es amplio, diverso y crece con cada nueva licitación digital.
Sigo el orden que marcan las guías CCN-STIC: del diagnóstico inicial hasta dejar cerrada la conformidad. El objetivo es llegar con un expediente que supere la revisión del contratante —sea el Gobierno de Cantabria, el Parlamento de Cantabria, el SCS, la UC o la Autoridad Portuaria de Santander— sin fisuras técnicas ni documentales.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico | Mapeo la distancia entre el estado actual de tus sistemas y lo que exige el RD 311/2022. Defino junto contigo el alcance: qué sistemas entran y cuáles quedan fuera del proyecto. | Informe de diagnóstico con brechas ordenadas por impacto y propuesta de hoja de ruta. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y determino si la categoría resultante es básica, media o alta. | Informe de categorización conforme al Anexo I del RD 311/2022. |
| Fase 03 Análisis de riesgos | Elaboro el inventario de activos, identifico amenazas y propongo salvaguardas con metodología MAGERIT. | Informe de análisis de riesgos más plan de tratamiento. |
| Fase 04 Plan y DdA | Redacto la política de seguridad de la información, selecciono las medidas del Anexo II y documento la Declaración de Aplicabilidad (DdA) con la motivación de cada decisión. | Plan de adecuación (CCN-STIC 806) y Declaración de Aplicabilidad. |
| Fase 05 Implantación | Acompaño a tu equipo en la puesta en marcha de las medidas de los tres marcos —organizativo, operacional y de protección— generando evidencias revisables por el auditor. | Evidencias de implantación medida a medida. |
| Fase 06 Conformidad | En categoría básica, respaldo la declaración de conformidad autoevaluada. En media o alta, te preparo y acompaño durante la auditoría de la entidad acreditada. | Declaración de conformidad (básica) o documentación para auditoría ENAC (media/alta). |
La categoría no se asigna a discreción del contratante ni del consultor: sale de medir qué consecuencias tendría un incidente sobre las cinco dimensiones de seguridad (CIDAT) —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—. Manda la dimensión que peor puntúa.
Cuando un fallo de seguridad causaría un daño acotado sobre funciones, bienes o personas. Es el punto de partida más habitual para proveedores de servicios auxiliares al Ayuntamiento de Santander o al Parlamento de Cantabria.
Cuando al menos una dimensión llega al nivel medio y el daño potencial sería grave. Es la categoría típica de quienes trabajan con el SCS, el Hospital Universitario Marqués de Valdecilla o sistemas centrales del Gobierno de Cantabria.
Cuando alguna dimensión alcanza el nivel alto y las consecuencias de un incidente podrían ser irreparables. Aparece en sistemas críticos o con información especialmente delicada.
En categoría básica basta con una declaración de conformidad autoevaluada: la propia empresa verifica, siguiendo las guías CCN-STIC, que sus medidas cumplen lo exigido. Preparo la documentación y las evidencias para que esa declaración no se caiga ante ninguna revisión del Ayuntamiento de Santander, el Parlamento de Cantabria o cualquier otro organismo cántabro.
En categoría media o alta —lo habitual para proveedores de Valdecilla, el SCS o los sistemas centrales del Gobierno de Cantabria— la conformidad exige certificación de una entidad acreditada por ENAC, conforme a UNE-EN ISO/IEC 17065:2012. Mi rol es dejarte preparado para superarla; la certificación la firma siempre la entidad acreditada, nunca yo.
No entrego un PDF de diagnóstico que duerme en un cajón. Construyo el cuerpo documental y técnico completo —el que querrá revisar el auditor, el Gobierno de Cantabria, el SCS, la UC, la UIMP o la Autoridad Portuaria de Santander— lista para presentar en la licitación. Para una visión integral del servicio, consulta consultoría ENS para empresas y la guía ENS completa.
Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información. Trabajo desde Valladolid y Las Palmas de Gran Canaria con empresas de toda España —en remoto la mayor parte del tiempo, de forma presencial cuando el proyecto lo requiere—, incluidas las de Santander y el conjunto de Cantabria. Conozco de primera mano el funcionamiento del ecosistema institucional cántabro: los pliegos del Gobierno de Cantabria, los tiempos del Parlamento de Cantabria, las exigencias del SCS para proveedores que trabajan con sistemas del Hospital Universitario Marqués de Valdecilla, y los requisitos que la UC, la UIMP y la Autoridad Portuaria de Santander incorporan en sus contrataciones TIC.
Mi trabajo es acompañamiento real, no una caja de documentos entregada al final del proyecto. Traduzco la norma en decisiones técnicas concretas, verifico que las evidencias aguanten una auditoría real y dejo a tu equipo capacitado para mantener la conformidad por sí mismo una vez que termine el proyecto.
Donde acaba mi trabajo y dónde empieza el de la entidad certificadora lo tengo claro desde el principio: preparo y adecúo; en categorías media y alta, certifica siempre un tercero acreditado por ENAC. Esa transparencia, combinada con el rigor técnico sobre el RD 311/2022 y las guías CCN-STIC, es lo que mis clientes valoran por encima de los folletos.
Integradores o desarrolladoras con contratos activos en la sede del Gobierno de Cantabria o en organismos dependientes como SODERCAN. Sus sistemas de tramitación o gestión documental suelen caer en categoría básica o media, dependiendo de si tratan datos especialmente sensibles. La adecuación abre la renovación y permite ampliar el alcance de los contratos.
Empresas de software o servicios TIC que acceden a sistemas del Hospital Universitario Marqués de Valdecilla o de la red asistencial del Servicio Cántabro de Salud. Los datos de salud llevan la categoría casi siempre a nivel medio, lo que exige certificación acreditada por ENAC. Preparo el expediente completo para que la auditoría no genere sorpresas.
Firmas que mantienen o desarrollan plataformas de expediente académico, sede electrónica o gestión de la investigación para la Universidad de Cantabria (campus Los Castros, Santander) o para la UIMP (Palacio de la Magdalena), cuyo ciclo de verano moviliza miles de participantes con datos gestionados en sistemas públicos. La adecuación ENS permite acreditar solvencia técnica ante dos universidades públicas con perfiles de contratación diferenciados.
No hay una tarifa estándar, y desconfiaría de cualquier consultor que te la diera sin ver tu caso. El coste depende del alcance del proyecto (número de sistemas en alcance), la categoría resultante (básica, media o alta), el punto de partida de tu organización y si necesitas certificación acreditada o te basta la declaración de conformidad.
Si tu categoría es media o alta —frecuente en proveedores del SCS o de Valdecilla—, al honorario de consultoría se suma el coste de la entidad certificadora acreditada por ENAC: es una factura distinta, emitida directamente por el tercero que audita tu conformidad.
El Gobierno de Cantabria tiene su sede central en Santander, con la Consejería de Presidencia y el resto de consejerías distribuidas por el centro histórico de la ciudad. Como comunidad uniprovincial, el Gobierno autonómico concentra en Santander las competencias que en otras regiones se reparten entre la Diputación Provincial y la Administración autonómica, lo que convierte a la capital en el nodo único de contratación pública de Cantabria. Sus pliegos TIC se publican en www.cantabria.es e incorporan la conformidad con el RD 311/2022 como requisito de solvencia técnica con creciente frecuencia. Más información en el servicio de consultoría ENS para empresas.
Valdecilla es el hospital de referencia de toda Cantabria y uno de los complejos hospitalarios universitarios de mayor envergadura del norte de España. Gestiona la historia clínica electrónica de toda la red asistencial cántabra, incluidos datos de diagnóstico, imagen médica y atención ambulatoria. La singularidad autonómica de Cantabria —una sola provincia, un solo hospital de referencia— implica que la concentración de datos de salud en sus sistemas es máxima. Para los proveedores TIC que acceden a esos sistemas, la categoría media del ENS es la regla, no la excepción. El Servicio Cántabro de Salud (SCS), del que depende Valdecilla, exige conformidad ENS en sus contratos de mantenimiento de aplicaciones clínicas y soporte a sistemas de información sanitaria.
Ambas son instituciones públicas con sistemas de información sujetos al ENS, pero tienen perfiles de contratación diferentes. La Universidad de Cantabria (UC), con campus principal en Los Castros (Santander), gestiona sistemas de expediente académico, sede electrónica y plataformas de investigación de forma continuada a lo largo del año; sus contratos TIC más habituales son de mantenimiento evolutivo y soporte. La UIMP (Universidad Internacional Menéndez Pelayo), con sede en el Palacio de la Magdalena de Santander, concentra gran parte de su actividad en el ciclo de cursos de verano, que moviliza cada año participantes nacionales e internacionales con datos gestionados en plataformas públicas; sus contratos TIC son habitualmente de menor volumen pero requieren la misma acreditación de conformidad ENS cuando el proveedor accede a esos sistemas.
Sí. La Autoridad Portuaria de Santander es un organismo público estatal adscrito al Ministerio de Transportes que gestiona el único puerto de mercancías y pasajeros de Cantabria, incluidas las líneas regulares de ferry que opera Brittany Ferries hacia el Reino Unido (Plymouth y Portsmouth). En su política de seguridad de la información, el Puerto de Santander declara la aplicación de las medidas mínimas del ENS a todos sus sistemas TIC. Los proveedores de software de gestión portuaria, ciberseguridad o conectividad que trabajan con el Puerto entran de pleno en el alcance del Esquema Nacional de Seguridad. La internacionalidad de las rutas (tráfico con el Reino Unido tras el Brexit) añade capas regulatorias de ciberseguridad, pero el ENS lo exige el organismo por ser sector público español, con independencia de los destinos de las líneas.
Depende del tipo de contrato. Las empresas privadas del sector turístico que trabajan exclusivamente con clientes privados no están directamente obligadas por el ENS. Sin embargo, cuando participan en proyectos de destino inteligente financiados o licitados por el Ayuntamiento de Santander o la Consejería de Turismo del Gobierno de Cantabria —como las plataformas de gestión de playas, señalización digital o Santander Smart Destination—, y esos proyectos implican acceso a sistemas de información de la Administración o tratamiento de datos de ciudadanos en nombre de un organismo público, la conformidad ENS puede exigirse en el pliego. Es habitual en categoría básica, con declaración de conformidad autoevaluada.
SODERCAN (Sociedad para el Desarrollo Regional de Cantabria) es el organismo público del Gobierno de Cantabria responsable de impulsar la inversión y la digitalización empresarial en la región. Gestiona ayudas, líneas de financiación y proyectos de digitalización que conectan empresas privadas cántabras con el sector público. Cuando SODERCAN contrata servicios TIC directamente —plataformas de gestión de proyectos, herramientas de seguimiento de ayudas, soluciones de transformación digital— sus proveedores deben acreditar conformidad ENS si el pliego lo exige. Además, algunos proyectos de digitalización que SODERCAN cofinancia implican que las empresas beneficiarias deben cumplir con el ENS si el sistema resultante va a integrarse con plataformas de la Administración autonómica.
Reserva una primera llamada —sin coste ni compromiso— en la que revisamos el alcance de tus sistemas, la categoría que probablemente te corresponde y el organismo contratante al que aspiras: el Gobierno de Cantabria, el Parlamento, el SCS, la UC, la UIMP o la Autoridad Portuaria. Si tiene sentido seguir adelante, sales con una propuesta cerrada. Si no encajamos, sales igualmente con una hoja de ruta accionable.