Soy Ángel Ortega Castro, consultor ENS independiente con sede en Valladolid y Las Palmas. Trabajo con empresas del sector TIC, aeronáutico, sanitario y de servicios que necesitan la adecuación al Esquema Nacional de Seguridad (RD 311/2022) para licitar con la Junta de Andalucía, el Servicio Andaluz de Salud, la Diputación de Sevilla, la US, la UPO o los hospitales Virgen del Rocío y Virgen Macarena. Sevilla es la capital administrativa de la comunidad autónoma más poblada de España: quien opera sistemas que tratan información pública andaluza necesita acreditar el ENS antes del siguiente pliego.
Antes PCT Cartuja93 · mayor parque TIC por facturación en España
8 provincias
Junta de Andalucía · capital autonómica
SAS + EPES
Red sanitaria con requisito ENS
Sevilla · Torre del Oro sobre el Guadalquivir. Foto: dominio público · Wikimedia Commons
Sevilla en el mapa del ENS · el peso de ser capital autonómica
La Junta de Andalucía concentra aquí la mayor demanda pública de la región.
Sevilla no es únicamente la ciudad más poblada de Andalucía: es la sede del Gobierno de la comunidad autónoma más grande de España por número de habitantes, con trece consejerías —entre ellas la Consejería de la Presidencia, Interior, Diálogo Social y Simplificación Administrativa, la Consejería de Salud y Consumo, la Consejería de Educación y Deporte y la Consejería de Universidad, Investigación e Innovación— y un conjunto de organismos dependientes que, en conjunto, constituyen uno de los mayores contratantes de servicios TIC del sur de Europa. Toda esa estructura pública necesita proveedores que acrediten conformidad con el Esquema Nacional de Seguridad (RD 311/2022), y la mayoría de esos contratos se adjudican desde Sevilla.
El tejido tecnológico que provee a esa estructura administrativa tiene su epicentro en el Sevilla TechPark (el parque tecnológico de la Cartuja, rebautizado en julio de 2025; antes conocido como PCT Cartuja93), situado en la Isla de la Cartuja —el recinto de la Expo92 reconvertido en el mayor polo de innovación de Andalucía—. Con más de 500 empresas instaladas, más de 22.000 empleados directos y una facturación que lo situó en 2023 como el parque tecnológico con mayor actividad económica de España, el PCT Cartuja alberga precisamente el tipo de empresas TIC, integradoras y consultoras que trabajan con las consejerías de la Junta, con el Ayuntamiento de Sevilla y con la Diputación de Sevilla. Para todas ellas, el ENS ha dejado de ser una opción: está incorporado como requisito de solvencia técnica en los pliegos de prescripciones de las administraciones andaluzas.
A ese núcleo de contratación pública autonómica y local se añaden tres vectores que amplían considerablemente el perímetro del ENS en la provincia. El primero es el Servicio Andaluz de Salud (SAS) y su red hospitalaria sevillana, que incluye el Hospital Universitario Virgen del Rocío, el Hospital Universitario Virgen Macarena y el Hospital Universitario de Valme: cualquier empresa que provea sistemas de información clínica, ERP hospitalario, teleasistencia o conectividad a estos centros queda automáticamente dentro del alcance del ENS, habitualmente en categoría media dado el carácter especialmente protegido de los datos de salud. El segundo vector es la Empresa Pública de Emergencias Sanitarias (EPES), que coordina el 061 en toda Andalucía desde su sede sevillana y cuyas plataformas de gestión de emergencias alcanzan categorías de seguridad exigentes. El tercer vector lo forman las dos universidades públicas de la ciudad: la Universidad de Sevilla (US), la mayor de Andalucía, y la Universidad Pablo de Olavide (UPO), con sus campus en Montequinto, y el Instituto Andaluz de Administración Pública (IAAP), organismo que forma a los empleados públicos de la Junta y que opera sus propios sistemas de información bajo el ámbito del ENS.
Mención aparte merece la Agencia Digital de Andalucía (ADA), adscrita a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, que actúa como habilitador tecnológico transversal de la Junta de Andalucía. Su antecesora, Sadesi (Sociedad Andaluza para el Desarrollo de la Sociedad de la Información), se extinguió en 2012 al integrarse en lo que hoy es la ADA. Los contratos que la ADA adjudica —o que se coordinan a través de ella— pueden arrastrar a sus proveedores al alcance del ENS con mayor profundidad que en otras comunidades autónomas, ya que actúa como habilitador tecnológico transversal para el conjunto del gobierno andaluz. Entender cómo opera la ADA y qué implica acreditar conformidad ante ella es uno de los aspectos más específicos de la consultoría ENS en Sevilla, y uno de los que más confusión genera entre empresas que se acercan al mercado andaluz por primera vez.
Tampoco puede ignorarse el sector aeronáutico y de defensa, muy presente en el entorno metropolitano de Sevilla. El Parque Tecnológico Aerópolis, en San José de la Rinconada, acoge a empresas como Airbus Defence and Space y Alestis Aerospace, que mantienen contratos con el Ministerio de Defensa y con organismos de la Unión Europea sujetos a requisitos de seguridad de la información compatibles —y en algunos casos más exigentes— con el ENS. La conexión entre el clúster aeronáutico sevillano y la contratación pública nacional e internacional convierte al ENS en una acreditación estratégica también para las empresas de este sector, especialmente las que subcontratan sistemas de gestión o servicios digitales a proveedores locales.
Junta de Andalucía y la ADA
Las consejerías y la Agencia Digital de Andalucía (ADA), como habilitador TIC de la Junta, exigen conformidad ENS en sus contratos. Una sola adecuación bien construida sirve para presentarla ante cualquier organismo autonómico.
SAS · Virgen del Rocío · Virgen Macarena · Valme
Los hospitales universitarios sevillanos del Servicio Andaluz de Salud procesan datos clínicos de categoría especialmente protegida. Sus proveedores de HIS y ERP se sitúan habitualmente en categoría media o alta.
US y UPO · universidades públicas sevillanas
La Universidad de Sevilla y la Universidad Pablo de Olavide son entidades públicas sujetas al ENS. Sus licitaciones de plataformas académicas, administración electrónica e infraestructura de red exigen conformidad a los adjudicatarios.
PCT Cartuja93 · polo TIC andaluz
Más de 500 empresas en el parque tecnológico de la Isla de la Cartuja, muchas de ellas proveedoras de la Junta, el Ayuntamiento o la Diputación. El ENS es ya un requisito habitual en los pliegos que reciben.
Para tener el marco normativo completo antes de dar el primer paso, consulta la guía ENS completa. Si ya sabes que necesitas apoyo externo, el detalle del proceso está en la página de consultoría ENS para empresas.
Contratación pública andaluza · ejemplos reales
Tres tipos de licitación sevillana donde el ENS ya aparece como requisito de solvencia.
Los pliegos de prescripciones técnicas de las administraciones andaluzas incorporan la conformidad con el ENS con creciente frecuencia. Estos son los tipos de expediente donde el requisito aparece de forma más sistemática en la Plataforma de Contratación de la Junta de Andalucía y en el Portal de Contratación del Estado.
Ejemplos de licitaciones andaluzas con requisito ENS documentado
Organismo contratante
Tipo de contrato
Por qué exige el ENS
Junta de Andalucía · Consejería de Salud y Consumo / Servicio Andaluz de Salud
Contratos de mantenimiento evolutivo y correctivo de sistemas de historia clínica electrónica (Diraya), ERP hospitalario y plataformas de gestión de pacientes en los hospitales de la red pública andaluza, incluidos el Hospital Universitario Virgen del Rocío y el Hospital Universitario Virgen Macarena.
El SAS procesa datos de salud de categoría especialmente protegida (art. 9 RGPD). Sus proveedores de sistemas de información clínica quedan dentro del alcance del ENS, habitualmente en categoría media, con certificación obligatoria por entidad acreditada por ENAC. La conformidad figura como requisito de solvencia técnica en los pliegos de prescripciones.
Junta de Andalucía · Consejería de la Presidencia / Agencia Digital de Andalucía (ADA)
Servicios de desarrollo, integración y mantenimiento de aplicaciones corporativas de la Administración autonómica; contratos de infraestructura cloud, conectividad y ciberseguridad gestionada para los sistemas de información de las consejerías y organismos dependientes.
La ADA actúa como habilitador tecnológico transversal de la Junta. Sus contratos con empresas proveedoras exigen la conformidad con el RD 311/2022 para garantizar que los sistemas de información de la Administración andaluza están adecuadamente protegidos. El cumplimiento ENS del proveedor es condición para el acceso a los entornos de producción de la Junta.
Ayuntamiento de Sevilla · Diputación de Sevilla (a través de su servicio de asistencia a municipios)
Licitaciones de servicios digitales municipales: plataformas de administración electrónica, gestión de expedientes, sistemas de padrón, sede electrónica y soporte TIC a los servicios municipales del Ayuntamiento de Sevilla y a los municipios de la provincia asistidos por la Diputación.
El Ayuntamiento de Sevilla y la Diputación de Sevilla son entidades locales sujetas al RD 311/2022. Sus contratos TIC de mayor cuantía incorporan la conformidad ENS como criterio de solvencia técnica, especialmente en proyectos que implican acceso a sistemas de información con datos de ciudadanos o gestión de servicios esenciales.
¿Está tu empresa dentro del alcance del ENS en Sevilla?
Estos perfiles empresariales sevillanos ya tienen la obligación activa.
El RD 311/2022 extiende el ENS más allá del sector público: alcanza a cada empresa privada que, bajo cualquier modalidad contractual, trata información de organismos públicos o da soporte a sus sistemas. En Sevilla, dado el peso del ecosistema administrativo autonómico y sanitario, ese perímetro es especialmente amplio.
En la primera conversación suelo repasar con el cliente estos perfiles, porque casi siempre alguno le resulta muy cercano:
Si tu empresa desarrolla, mantiene o integra software de gestión para alguna consejería de la Junta de Andalucía —especialmente para la Consejería de la Presidencia, la Consejería de Salud y Consumo o la Consejería de Universidad, Investigación e Innovación— o si accedes a los entornos de la Agencia Digital de Andalucía, el ENS ya te aplica.
Si tu empresa provee sistemas de información clínica, plataformas de teleasistencia, ERP hospitalario o servicios de conectividad al Servicio Andaluz de Salud o a cualquiera de sus hospitales sevillanos —el Hospital Universitario Virgen del Rocío, el Hospital Universitario Virgen Macarena o el Hospital Universitario de Valme—, estás dentro del alcance, muy probablemente en categoría media o alta.
Si tu empresa da soporte tecnológico a la Empresa Pública de Emergencias Sanitarias (EPES) —el operador del 061 andaluz—, cuyas plataformas de coordinación de emergencias gestionan datos de categoría sensible y de disponibilidad crítica, la categoría requerida suele ser alta.
Si eres empresa TIC instalada en el PCT Cartuja93 y entre tus clientes figuran consejerías, organismos de la Junta, el Ayuntamiento de Sevilla o la Diputación de Sevilla, la conformidad ENS aparecerá antes o después en los pliegos de renovación o ampliación de esos contratos.
Si prestas servicios de administración electrónica, ciberseguridad gestionada o soporte de infraestructura al Instituto Andaluz de Administración Pública (IAAP) o a entidades dependientes de la Junta como la Agencia Digital de Andalucía (ADA), el alcance del ENS incluye los sistemas que compartes o a los que accedes.
Si suministras plataformas de gestión académica, sistemas de expedientes universitarios o infraestructura de red a la Universidad de Sevilla (US) o a la Universidad Pablo de Olavide (UPO), ambas entidades del sector público sujetas al RD 311/2022, la conformidad es un requisito de acceso a sus licitaciones.
Si eres empresa del sector aeronáutico o de defensa con sede en el entorno de Aerópolis y gestionas sistemas de información bajo contratos con el Ministerio de Defensa o con organismos europeos, los requisitos de seguridad de la información de esos contratos son compatibles con —y en algunos casos más exigentes que— el ENS básico.
El plazo transitorio del RD 311/2022 para adaptar los sistemas existentes expiró el 5 de mayo de 2024. Cualquier sistema que entre en funcionamiento o sufra una modificación sustancial desde esa fecha debe cumplir el ENS desde su puesta en marcha, sin periodo de gracia. Si la adecuación sigue pendiente, cada convocatoria publicada en la Plataforma de Contratación de la Junta es una señal de que el margen se reduce.
El recorrido de la adecuación ENS en Sevilla
De la brecha inicial a la conformidad lista para presentar ante la Junta.
El orden lo fijan las guías CCN-STIC: comienzo midiendo la distancia real entre tu situación actual y lo que exige el ENS, y termino con el expediente documentado y revisado para que puedas presentarlo con garantías ante el Servicio Andaluz de Salud, la Consejería de la Presidencia, la US, la UPO o cualquier otro organismo contratante andaluz que lo requiera en el pliego.
Recorrido de la adecuación ENS · etapas y entregables
Etapa
En qué consiste
Entregable y referencia normativa
Etapa 01 Diagnóstico inicial
Identifico los sistemas de información implicados, delimito el alcance del proyecto y mido la distancia real entre tu punto de partida y los requisitos del ENS.
Informe de diagnóstico (análisis GAP) con las brechas cuantificadas y ordenadas por prioridad de cierre.
Etapa 02 Categorización
Evalúo cada sistema aplicando las cinco dimensiones CIDAT del Anexo I del RD 311/2022. La dimensión más alta determina la categoría: básica, media o alta.
Documento de categorización que fija la categoría resultante y la vía de conformidad que corresponde.
Etapa 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. Construyo el mapa de riesgo residual con las medidas de tratamiento priorizadas.
Informe de análisis de riesgos con su plan de tratamiento, referenciado a las guías CCN-STIC aplicables.
Etapa 04 Plan de adecuación y DdA
Redacto la política de seguridad de la información, selecciono las medidas del Anexo II aplicables y construyo la Declaración de Aplicabilidad (DdA), justificando cada control.
Plan de adecuación conforme a CCN-STIC 806 y Declaración de Aplicabilidad completa.
Etapa 05 Implantación
Pongo en marcha junto a tu equipo las medidas del marco organizativo, operacional y de protección del Anexo II, generando las evidencias que respaldan cada una.
Evidencias de implantación medida por medida, ordenadas para presentar en auditoría o revisión documental.
Etapa 06 Conformidad final
Reviso el expediente completo: preparo la declaración autoevaluada si la categoría es básica; si es media o alta, acompaño durante la auditoría de la entidad acreditada por ENAC.
Declaración de conformidad lista para presentar o expediente completo para auditoría acreditada, según el Anexo III del RD 311/2022.
Básica, media, alta: la define el impacto potencial de un incidente.
La categoría no se decide de forma discrecional: la determina el análisis de las cinco dimensiones de seguridad del Anexo I —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT). La dimensión que alcance el nivel más alto fija la categoría del sistema completo.
Categoría básica
Impacto limitado
La categoría más habitual entre proveedores de software de gestión municipal, herramientas de administración electrónica de segundo nivel o servicios de soporte TIC al Ayuntamiento de Sevilla o a los municipios asistidos por la Diputación. También frecuente en empresas que dan servicio a organismos de la Junta con sistemas de información de carácter auxiliar.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita mediante declaración de conformidad autoevaluada
Conjunto de medidas proporcional al tamaño de la organización
Categoría media
Impacto grave
Frecuente en proveedores del Servicio Andaluz de Salud que gestionan datos clínicos de los hospitales Virgen del Rocío, Virgen Macarena o Valme, y en ISV que dan servicio a plataformas de gestión académica de la Universidad de Sevilla o la UPO. También aparece en sistemas de gestión de expedientes sensibles de la Junta de Andalucía.
Al menos una dimensión CIDAT alcanza el nivel medio
Obligatoria certificación por entidad acreditada por ENAC
Auditoría de conformidad bienal
Categoría alta
Impacto muy grave
Reservada a sistemas cuyo fallo causaría consecuencias irreversibles. En el contexto sevillano aparece en las plataformas de la EPES (coordinación del 061), en infraestructuras críticas del SAS y en sistemas de información de organismos de la Junta que gestionan servicios esenciales para la ciudadanía andaluza.
Al menos una dimensión CIDAT llega al nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Las dos rutas hacia la conformidad ENS
Básica → declaración de conformidad propia
Para sistemas en categoría básica, la organización acredita el cumplimiento mediante una declaración de conformidad autoevaluada, apoyándose en las guías CCN-STIC y en el expediente que yo construyo. Cuando la Junta de Andalucía, el Ayuntamiento de Sevilla o la Diputación soliciten revisarlo durante el proceso de licitación, tiene que resistir cualquier comprobación sin necesidad de explicaciones adicionales. Eso es exactamente lo que garantizo al preparar la documentación.
Media o alta → certificación de entidad acreditada por ENAC
Cuando el sistema alcanza la categoría media o alta, la conformidad requiere certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo contigo la totalidad del expediente y te acompaño durante la auditoría. Quien firma el certificado es siempre la entidad acreditada, nunca el consultor. Cualquier servicio que prometa «garantizar la certificación» incumple lo que establece la norma.
Lo que obtienes al cerrar el proyecto
Un expediente técnico que aguanta cualquier revisión documental andaluza.
Cada pieza del expediente refleja tus sistemas reales, las decisiones tomadas conjuntamente y las evidencias que respaldan cada medida. No es un paquete de plantillas genéricas: es el mismo expediente que revisará el técnico de la Consejería correspondiente, el órgano de contratación del SAS o el auditor de la entidad acreditada por ENAC.
El informe de diagnóstico (análisis GAP), con la distancia real entre tu punto de partida y las exigencias del ENS, cuantificada y ordenada por fases de cierre.
El documento de categorización, que asigna el nivel CIDAT a cada sistema de información e identifica la categoría resultante según el Anexo I del RD 311/2022.
El análisis de riesgos bajo metodología MAGERIT: inventario de activos, mapa de amenazas, valoración del riesgo residual y plan de tratamiento con prioridades y responsables.
La política de seguridad de la información aprobada por la dirección, con toda la normativa interna que el ENS exige como marco organizativo.
El plan de adecuación conforme a CCN-STIC 806, con hitos, responsables y criterios de aceptación para cada etapa del proyecto.
La Declaración de Aplicabilidad (DdA) con justificación individualizada de cada medida del Anexo II: aplicable, excluida y por qué en cada caso.
Las evidencias de implantación de las medidas organizativas, operacionales y de protección, estructuradas y listas para presentar en auditoría o en revisión de la administración contratante.
La declaración de conformidad o el expediente para auditoría acreditada, según la categoría del sistema, con revisión previa completa y acompañamiento hasta el cierre definitivo.
Ángel Ortega Castro consultor ENS · Andalucía
Por qué trabajar conmigo en Sevilla
Conozco la contratación pública andaluza desde los pliegos de las consejerías, no desde los folletos.
Soy Ángel Ortega Castro, consultor independiente especializado en adecuación al ENS y en cumplimiento normativo para empresas que trabajan con el sector público español. Tengo sede en Valladolid y en Las Palmas de Gran Canaria, y trabajo en toda España en remoto, con desplazamientos presenciales cuando el proyecto lo requiere —también en Sevilla y en el resto de Andalucía—.
Con las empresas sevillanas trabajo en todos los frentes que define el ecosistema de contratación pública andaluza: proveedores de las consejerías de la Junta de Andalucía y de la Agencia Digital de Andalucía (ADA), ISV que dan servicio al Servicio Andaluz de Salud y a los hospitales universitarios de la ciudad, empresas TIC del PCT Cartuja93 que licitan con el Ayuntamiento o la Diputación, integradores que quieren acreditar conformidad ante la Universidad de Sevilla o la UPO, y empresas del clúster aeronáutico de Aerópolis con obligaciones de seguridad de la información en sus contratos de defensa. Conozco los pliegos de prescripciones de esas administraciones y sé en qué momento del proceso suelen pedir la documentación y qué nivel de detalle exigen.
Soy transparente sobre lo que hago y lo que no hago: construyo el expediente y acompaño hasta la conformidad, pero en categorías media o alta es siempre una entidad acreditada por ENAC quien emite el certificado. Esa claridad, junto a la especialización exclusiva en seguridad y cumplimiento normativo, es la razón por la que los proyectos terminan con una documentación que aguanta cualquier revisión.
Consultor ENS independienteRD 311/2022 · Anexos I-IVMAGERIT v3 · análisis de riesgosGuías CCN-STICProyectos en Sevilla · Andalucía · España
Escenarios que acompaño con frecuencia en Sevilla
Tres perfiles que reconocerás si operas en el ecosistema público sevillano.
Empresa TIC del PCT Cartuja93 · licitación con Junta y Ayuntamiento
ISV o integradora del parque tecnológico de la Isla de la Cartuja que quiere renovar o ampliar contratos con la Junta de Andalucía o el Ayuntamiento de Sevilla.
Una empresa tecnológica instalada en el PCT Cartuja93 que presta servicios de desarrollo, integración o ciberseguridad gestionada a consejerías de la Junta de Andalucía o al Ayuntamiento de Sevilla, y que encuentra la conformidad ENS como requisito en la siguiente licitación. El alcance suele afectar a los sistemas de la empresa que acceden o procesan información de la administración contratante, y la categoría más habitual es básica. La adecuación se diseña para que un único expediente sirva tanto para los contratos autonómicos como para los municipales, sin duplicar el trabajo documental.
ISV de gestión hospitalaria · red SAS · Virgen del Rocío y Virgen Macarena
Empresa de software clínico o ERP hospitalario que da servicio al Servicio Andaluz de Salud en los hospitales universitarios de Sevilla.
Una empresa que mantiene o evoluciona sistemas de historia clínica electrónica, plataformas de gestión de quirófanos o ERP hospitalario en el Hospital Universitario Virgen del Rocío, en el Hospital Universitario Virgen Macarena o en el Hospital Universitario de Valme, y que necesita alcanzar la categoría media que el SAS exige por la sensibilidad especial de los datos clínicos. La adecuación diseña un alcance acotado a los sistemas que tratan información sanitaria, con la documentación estructurada para superar la certificación de una entidad acreditada por ENAC sin alargar innecesariamente el proyecto.
Integradora con delegación en Sevilla · US, UPO y universidades andaluzas
Consultora tecnológica con sede o delegación en Sevilla que licita con la Universidad de Sevilla, la Universidad Pablo de Olavide y otras universidades públicas andaluzas.
Una empresa de servicios tecnológicos que desarrolla plataformas académicas, sistemas de administración electrónica o infraestructura de red para la Universidad de Sevilla y la Universidad Pablo de Olavide, y que aspira a extender esos contratos a otras universidades públicas de Andalucía —la Universidad de Granada, la de Málaga, la de Córdoba—. La adecuación ENS se estructura para que el expediente generado respalde las licitaciones con cualquiera de esas instituciones, dado que la norma aplicable es la misma en todas ellas y un expediente bien construido elimina la necesidad de rehacerlo de cero para cada cliente universitario.
Presupuesto
¿Cuánto cuesta adecuarse al ENS en Sevilla?
No existe una tarifa estándar, y yo mismo desconfiaría de quien te la diera sin conocer tu situación. El coste del proyecto depende del número de sistemas que entran en el alcance, de la categoría que les corresponda —básica, media o alta—, de tu punto de partida y de si el proceso termina en declaración autoevaluada o en certificación acreditada por ENAC.
Presupuesto cerrado tras el diagnóstico inicialAjustado a tu alcance real, tu categoría y tus sistemas concretos · sin sorpresas
En categorías media y alta hay que añadir el coste de la entidad certificadora acreditada por ENAC: ese importe lo factura directamente el tercero que realiza la auditoría de conformidad y es independiente de mis honorarios.
En la primera llamada repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de licitación andaluza a la que aspiras. A partir de ahí recibes una propuesta cerrada, sin compromiso y con orientación honesta desde el primer momento. Reserva la llamada aquí →
Preguntas frecuentes · ENS en Sevilla y Andalucía
Dudas que plantean con frecuencia las empresas sevillanas.
¿La Junta de Andalucía acepta Declaración de Conformidad ENS o exige Certificado para adjudicaciones?+
Depende de la categoría del sistema de información involucrado, no del tipo de procedimiento de adjudicación. Para sistemas en categoría básica, la Junta de Andalucía —a través de sus consejerías, la ADA u organismos dependientes— acepta la declaración de conformidad autoevaluada. Para sistemas en categoría media o alta, el RD 311/2022 exige certificación de una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012, con independencia de que el contrato sea una adjudicación directa, un procedimiento negociado o una licitación abierta.
Lo que varía entre contratos es la profundidad con que el órgano de contratación verifica la documentación: en adjudicaciones de menor cuantía puede ser suficiente con declararla en la oferta, pero si el expediente es objeto de revisión o auditoría posterior, tiene que estar completo y fundamentado. Preparo ambos escenarios con el mismo nivel de rigor. Puedes ver el detalle del proceso en la página de consultoría ENS para empresas.
¿Cómo se coordina el ENS entre Junta, Diputación y Ayuntamiento en Sevilla?+
La norma aplicable —el RD 311/2022— es la misma para los tres niveles de administración: autonómica (Junta), provincial (Diputación de Sevilla) y municipal (Ayuntamiento de Sevilla). Sin embargo, cada organismo tiene sus propios pliegos de prescripciones técnicas, sus propios tiempos de revisión documental y sus propios procedimientos de verificación de la solvencia técnica.
La buena noticia para las empresas que trabajan simultáneamente con los tres niveles es que una sola adecuación ENS bien construida sirve para todos. El expediente —categorización, análisis de riesgos MAGERIT, plan de adecuación CCN-STIC 806, DdA y evidencias— es el mismo para la Junta, para la Diputación y para el Ayuntamiento. Lo que cambia es cómo se presenta en cada proceso de licitación y qué parte del expediente solicita cada órgano de contratación. Diseñar la adecuación para que responda a esos tres niveles sin duplicar el trabajo documental es una de las cosas que más valoran las empresas con contratos múltiples en Sevilla.
¿Hay auditores ENAC en Sevilla o vienen desde Málaga o Madrid?+
Las entidades acreditadas por ENAC para certificar la conformidad ENS conforme a UNE-EN ISO/IEC 17065:2012 tienen sede principalmente en Madrid. A la fecha de actualización de esta página no existe una entidad acreditada ENAC con sede permanente en Sevilla ni en Andalucía para este esquema concreto, aunque algunas entidades madrileñas realizan proyectos de certificación en todo el territorio nacional con desplazamientos a las instalaciones del cliente.
En la práctica, esto no supone un inconveniente operativo significativo: las auditorías ENS combinan una fase de revisión documental —que se realiza íntegramente en remoto— con una visita presencial a las instalaciones del cliente para verificar los controles técnicos y organizativos. El coste del desplazamiento es un factor menor frente al coste total del proceso de certificación. Lo que sí tiene un impacto real en el coste es el tiempo que necesita el auditor para resolver dudas o pedir documentación adicional: cuanto más completo y sólido llegue el expediente, menor es ese tiempo y menor el coste total de la certificación. Preparar esa solidez es lo que cubro durante las etapas de diagnóstico, análisis de riesgos e implantación.
¿El SAS exige ENS a proveedores de HIS o laboratorios y qué categoría suele pedir?+
Sí. El Servicio Andaluz de Salud es una entidad del sector público sujeta al RD 311/2022, y los sistemas de historia clínica electrónica (Diraya), ERP hospitalario, sistemas de laboratorio (LIS) y plataformas de gestión de imagen médica (PACS) que opera en sus centros procesan datos de salud de categoría especialmente protegida (art. 9 RGPD). Los proveedores de software que acceden a esos sistemas, los mantienen o los integran quedan dentro del alcance del ENS.
La categoría más habitual para estos sistemas es media, dado que un incidente de seguridad que comprometiera la confidencialidad o la disponibilidad de la historia clínica tendría un impacto grave sobre los pacientes y sobre el funcionamiento de los hospitales. Eso significa que la conformidad debe acreditarse mediante certificación de una entidad acreditada por ENAC —no mediante declaración autoevaluada—, con auditoría de conformidad bienal. En sistemas de coordinación de emergencias como los de la EPES, la categoría puede alcanzar el nivel alto.
¿Qué diferencia hay entre acreditar el ENS ante la ADA y ante otras consejerías?+
La Agencia Digital de Andalucía (ADA) —adscrita a la Consejería de Inteligencia Artificial, Desarrollo Digital y Administración Pública, y heredera funcional de la extinta Sadesi (2012)— actúa como habilitador tecnológico transversal de la Junta de Andalucía: gestiona la infraestructura TIC compartida y coordina proyectos de transformación digital que afectan a múltiples consejerías. Eso hace que acreditar el ENS ante la ADA tenga una implicación distinta a hacerlo ante una consejería concreta.
Cuando el contrato pasa por la ADA, el alcance del ENS puede ser más amplio, porque los sistemas del proveedor pueden interactuar con la infraestructura compartida de la Junta y no solo con los sistemas de una consejería en particular. Además, la ADA suele aplicar sus propios procedimientos de verificación de la solvencia técnica, que pueden ser más sistemáticos que los de algunas consejerías con menor volumen de licitaciones TIC. En cambio, acreditar ante una consejería específica —por ejemplo, la Consejería de Salud para un contrato con el SAS— implica un alcance más acotado al sistema concreto que se provee a esa consejería. En ambos casos, el RD 311/2022 es el marco normativo y el expediente es estructuralmente el mismo; lo que varía es el perímetro y la interlocución con el órgano de contratación.
¿Es compatible el ENS con la ISO 27001 para licitar en Andalucía?+
Son marcos complementarios, no intercambiables. La ISO 27001 es un estándar internacional de gestión de la seguridad de la información de carácter voluntario; el ENS es un reglamento de obligado cumplimiento en España para quien trabaja con la Administración pública. Cuando el pliego de la Junta de Andalucía, del SAS, de la US o de la UPO exige conformidad ENS, la ISO 27001 no la sustituye.
La ventaja para quien ya tiene la ISO 27001 implantada o en proceso es que los marcos comparten una base de controles muy significativa. La política de seguridad, el análisis de riesgos y gran parte de las medidas técnicas y organizativas son comunes. La adecuación al ENS parte de ese trabajo ya realizado y añade los elementos específicos que la norma española exige y que la ISO no cubre: la categorización CIDAT según el Anexo I, la Declaración de Aplicabilidad con el formato del Anexo II y el procedimiento de conformidad conforme al Anexo III. En la práctica, partir de una ISO 27001 consolidada acorta el tiempo y el coste de la adecuación al ENS de forma relevante.
Andalucía · clúster ENS · guías
Consultoría ENS en otras provincias andaluzas y recursos clave.
¿Arrancamos la adecuación ENS para tu empresa andaluza?
Una primera llamada sin coste ni compromiso: revisamos qué sistemas entran en tu alcance, qué categoría ENS les corresponde y a qué organismos andaluces quieres licitar. Si encajamos, recibes una propuesta cerrada con el recorrido completo; si no, sales igualmente con el mapa para arrancar por tu cuenta.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Andalucía: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
