Me llamo Ángel Ortega Castro y ejerzo como consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria. Ayudo a empresas de Segovia y su provincia a completar su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Ayuntamiento de Segovia, la Diputación Provincial, la Junta de Castilla y León o la UVa sin quedar fuera de los pliegos. La mayor parte del trabajo lo resuelvo en remoto, y me desplazo a Segovia —a poco más de una hora de Valladolid por la A-601— cuando el proyecto lo requiere.
Segovia no alberga la sede de la Junta de Castilla y León —está en Valladolid—, pero eso no la libra de la obligación. La ciudad cuenta con su propio Ayuntamiento, con una Diputación Provincial que presta servicios de administración electrónica a los 209 municipios de la provincia, con la Delegación Territorial de la Junta de Castilla y León en Segovia y con el Campus María Zambrano de la Universidad de Valladolid. Los cuatro son sector público sujeto al ENS, y los cuatro trasladan esa obligación a sus proveedores TIC.
El Ayuntamiento de Segovia ha renovado recientemente su Sede Electrónica, adaptándola a dispositivos móviles y ampliando los trámites disponibles para vecinos y empresas. La Delegación Territorial de la Junta de Castilla y León en Segovia, con sede en la Plaza de los Espejos, integra entre sus servicios el de Movilidad y Transformación Digital, que coordina buena parte de la modernización tecnológica autonómica en la provincia.
La Diputación de Segovia es, con diferencia, el organismo con mayor huella digital sobre el territorio: despliega la herramienta de administración electrónica Gestiona (de la empresa esPúblico) en los 207 ayuntamientos, 16 entidades locales menores, 22 mancomunidades y 11 comunidades históricas de la provincia. Su propia Sede Electrónica y su Oficina Virtual Tributaria están certificadas en categoría ALTA del ENS, y el proyecto «Segovia Provincia Digital» sigue ampliando esa infraestructura. Cualquier empresa que dé soporte, mantenimiento o alojamiento a estos sistemas —o a cualquiera de los pequeños ayuntamientos que dependen de ellos— trabaja, de facto, bajo el paraguas del ENS.
A esto se suma el Campus María Zambrano, sede segoviana de la Universidad de Valladolid (UVa), con la Escuela de Ingeniería Informática, la Facultad de Educación y la Facultad de Ciencias Sociales, Jurídicas y de la Comunicación. Como parte de la UVa, sus sistemas académicos y de administración electrónica están sujetos al mismo ENS que el resto de la universidad.
La Sede Electrónica del Ayuntamiento de Segovia y el Servicio de Movilidad y Transformación Digital de la Delegación Territorial de la Junta incorporan cada vez más la conformidad con el ENS como requisito en sus pliegos TIC.
La Sede Electrónica y la Oficina Virtual Tributaria de la Diputación de Segovia ya están certificadas en categoría ALTA. Sus proveedores y subcontratistas deben poder acreditar un nivel de conformidad compatible.
El campus segoviano de la Universidad de Valladolid, con su Escuela de Ingeniería Informática, gestiona sistemas académicos sujetos al ENS y puede exigir conformidad a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante cualquiera de estos organismos.
Antes de arrancar cualquier fase conviene tener el marco claro: puedes repasarlo entero en la guía ENS completa, y si quieres ver cómo estructuro el acompañamiento paso a paso, aquí tienes el detalle del servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad no se detiene en los organismos públicos: alcanza también a toda empresa privada que les preste servicios por relación contractual. En una provincia como la de Segovia, con 209 municipios y un tejido empresarial donde predominan las compañías pequeñas y medianas, ese círculo recae sobre todo en los proveedores TIC locales.
Estos son algunos de los perfiles con los que suelo encontrarme en la provincia:
El RD 311/2022 concedió, en su disposición transitoria única, un plazo de 24 meses para adecuar los sistemas ya existentes; ese margen se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que incorporan cambios significativos, están obligados a cumplir desde su puesta en marcha. Si tu empresa todavía no ha empezado, cada licitación publicada en el perfil del contratante del Ayuntamiento, la Diputación o la Junta debería servirte de aviso: el margen se sigue reduciendo.
El destino de este proceso es una documentación capaz de resistir cualquier revisión del Ayuntamiento de Segovia, la Diputación Provincial, la Junta de Castilla y León o cualquier otro organismo contratante de la provincia —incluidos los que impulsan proyectos como «Segovia Provincia Digital»—. Para llegar hasta ahí sigo el orden que marcan las guías CCN-STIC: del diagnóstico inicial a la preparación de la declaración de conformidad o de la auditoría.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparamos tu situación actual con lo que exige el ENS y acotamos juntos el alcance y los sistemas de información implicados. | Informe de diagnóstico con la distancia real hasta el cumplimiento y las brechas que conviene resolver primero. |
| Fase 02 Categorización | Valoro tus sistemas en las cinco dimensiones de seguridad (CIDAT) y determino la categoría que corresponde: básica, media o alta. | Documento conforme al Anexo I del ENS que fija el nivel de exigencia y la vía de conformidad aplicable a tu caso. |
| Fase 03 Análisis de riesgos | Identificamos activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que resulte de aplicación. | Plan de adecuación y declaración de conformidad, elaborados conforme a la guía CCN-STIC 806. |
| Fase 05 Implantación | Desplegamos las medidas del Anexo II —marco organizativo, operacional y de protección— y acompaño a tu equipo en cada paso. | Evidencias de implantación, medida a medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Preparamos la revisión previa. Si tu categoría es básica, te acompaño en la declaración autoevaluada; si es media o alta —como la que ya sostiene la Diputación de Segovia en su propia infraestructura—, te acompaño durante la auditoría de la entidad acreditada. | Documentación conforme al Anexo III. Preparo la conformidad; la certificación en categoría media o alta la emite siempre un tercero acreditado por ENAC. |
Ninguna organización decide su categoría a capricho: se calcula pesando el impacto que tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y es la dimensión que alcanza el nivel más alto la que marca la categoría final. En Segovia hay ya un referente cercano: la Sede Electrónica y la Oficina Virtual Tributaria de la Diputación Provincial están calificadas en categoría alta, la más exigente de las tres.
Se asigna cuando un incidente causaría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas. Es la categoría en la que más a menudo se sitúan los proveedores de servicios auxiliares.
Se asigna cuando un incidente supondría un perjuicio grave, porque alguna dimensión alcanza el nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Se asigna cuando un incidente causaría un perjuicio muy grave, incluso irreparable, porque alguna dimensión alcanza el nivel alto. Es el caso de sistemas críticos o con datos especialmente sensibles, como los que ya certifica la Diputación de Segovia.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización la que verifica su cumplimiento siguiendo las guías CCN-STIC. Preparo contigo la documentación y las evidencias para que esa declaración resista cualquier revisión del organismo contratante.
En categoría media o alta —como la que ya sostiene la Diputación de Segovia en su propia infraestructura— la conformidad exige una certificación emitida por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo para superarla con garantías; la certificación, en cambio, siempre la emite la entidad acreditada, nunca el consultor.
No es un PDF que se queda cerrado en un cajón: es el cuerpo documental y técnico que sostiene tu conformidad, el mismo que el auditor, el Ayuntamiento de Segovia, la Diputación Provincial o cualquier otro organismo contratante va a pedir ver dentro del expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente en cumplimiento normativo y seguridad de la información, con base en Valladolid y Las Palmas de Gran Canaria. Trabajo en remoto con clientes de toda España y, cuando el proyecto lo pide, me desplazo a Segovia —a poco más de una hora por la A-601— para las sesiones de categorización, análisis de riesgos o preparación de auditoría que conviene resolver cara a cara.
Conozco de cerca el ecosistema de licitación pública de Castilla y León: los plazos, los pliegos y las exigencias habituales de organismos como el Ayuntamiento de Segovia, la Diputación Provincial, la Delegación Territorial de la Junta de Castilla y León en Segovia y el Campus María Zambrano de la UVa. Trabajo con un enfoque de acompañamiento directo, persona a persona: no entrego un manual y desaparezco, sino que sigo cada fase contigo, traduzco la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad una vez cerrado el proyecto.
Soy transparente sobre los límites de mi papel: preparo y adecúo a tu organización de cara a la conformidad; la certificación en categorías media o alta la expide siempre una entidad acreditada por ENAC. Esa honestidad, junto con el rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me distingue frente a las consultoras que trabajan en volumen.
Integradoras o desarrolladoras de software que tienen contrato con el Ayuntamiento de Segovia para mantener la Sede Electrónica u otros sistemas de administración electrónica, y necesitan acreditar conformidad con el ENS para renovar o ampliar ese contrato. Suelen estar en categoría básica o media.
Empresas de soporte informático que mantienen o dan servicio a la plataforma Gestiona y demás herramientas de administración electrónica que la Diputación de Segovia despliega en los pequeños ayuntamientos de la provincia. Como la Sede Electrónica y la OVT de la Diputación ya están certificadas en categoría ALTA, sus proveedores necesitan un nivel de conformidad acorde.
Empresas tecnológicas que dan soporte, conectividad o ciberseguridad gestionada al Campus María Zambrano de la Universidad de Valladolid en Segovia —Escuela de Ingeniería Informática, Facultad de Educación, Facultad de Ciencias Sociales, Jurídicas y de la Comunicación— y necesitan acreditar conformidad con el ENS como parte de sus contratos con la UVa.
No existe una tarifa única, y conviene desconfiar de quien te la ofrezca sin conocer tu caso. Lo que inviertas depende del alcance (cuántos sistemas entran en juego), de la categoría (básica, media o alta), de tu madurez de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
A mis honorarios hay que sumar, en categorías media o alta, el coste de la entidad certificadora acreditada por ENAC: es un gasto aparte, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. El Ayuntamiento de Segovia, como entidad local, está plenamente sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, incluida la Sede Electrónica que ha renovado recientemente. Si tu empresa presta o aspira a prestar servicios digitales al Ayuntamiento, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que aparece de forma habitual en sus pliegos. Lo amplío en el servicio de consultoría ENS para empresas.
Sí, y con un matiz relevante: la Sede Electrónica y la Oficina Virtual Tributaria de la Diputación de Segovia ya están certificadas en categoría ALTA del ENS, la más exigente de las tres. La Diputación despliega además la plataforma Gestiona en los 207 ayuntamientos, entidades locales menores y mancomunidades de la provincia, por lo que cualquier empresa que dé soporte a esa infraestructura —directa o indirectamente— debe poder acreditar un nivel de conformidad compatible.
Sí. El Campus María Zambrano es la sede segoviana de la Universidad de Valladolid (UVa), con la Escuela de Ingeniería Informática, la Facultad de Educación y la Facultad de Ciencias Sociales, Jurídicas y de la Comunicación. Como parte de la UVa, institución pública universitaria, gestiona sistemas académicos y de administración electrónica sujetos al RD 311/2022, y puede requerir a sus proveedores TIC que acrediten conformidad.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas. Si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de soporte a pequeños ayuntamientos se sitúan en categoría básica o media, aunque si el servicio se presta sobre infraestructura de la Diputación —ya certificada en categoría alta— conviene valorar un nivel de conformidad más exigente desde el inicio.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Ayuntamiento de Segovia, la Diputación Provincial o la Junta de Castilla y León, lo que el pliego exige es el ENS.
Cuéntame en una primera conversación a qué sistemas y organismos tienes que responder, y te digo con qué categoría del ENS es previsible que trabajes y qué tipo de acreditación necesitas. La llamada no tiene coste ni compromiso: si tiene sentido seguir, te preparo una propuesta cerrada; si no encajamos, sales igualmente con una hoja de ruta clara para arrancar por tu cuenta.