Cumplimiento y seguridad · Soria · Castilla y León
Consultor ENS en Soria
Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas de Gran Canaria. Trabajo con empresas de Soria y su provincia —desde el cluster forestal-maderero de los pinares hasta el tejido agroalimentario del torrezno y la Ribera del Duero soriana— que quieren acreditar conformidad con el Esquema Nacional de Seguridad (RD 311/2022) para licitar con la Delegación Territorial de la Junta de Castilla y León en Soria, el Ayuntamiento de Soria, la Diputación de Soria, el Complejo Asistencial de Soria (Sacyl) o el Campus UVa Duques de Soria.
Soria. Foto: Ayuntamiento de Soria · CC BY 2.0 · Wikimedia Commons
ENS en Soria · un ecosistema institucional y sectorial singular
La provincia con mayor ratio de pinares de España digitaliza su Administración.
Soria es la capital menos poblada de España y, a la vez, la que presenta un reto demográfico más agudo: menos de 90.000 habitantes distribuidos por 183 municipios, muchos de ellos en riesgo de despoblación. Ese contexto no la hace menos exigente en materia de ciberseguridad pública; todo lo contrario. Los programas Next Generation EU y la EstrategiaSoria han canalizado inversiones en digitalización rural que requieren proveedores TIC capaces de acreditar conformidad con el ENS desde el primer pliego. La Delegación Territorial de la Junta de Castilla y León en Soria —con sede en la calle Linajes, 1— coordina en la provincia estos proyectos a través de sus distintos Servicios Territoriales, entre los que se encuentra el de Movilidad y Transformación Digital.
El Ayuntamiento de Soria, como administración local, gestiona contratos de servicios digitales que van desde la sede electrónica hasta la plataforma de trámites de sus más de 39.000 vecinos. La Diputación de Soria, con un papel central en la vertebración del territorio, ejecuta proyectos de digitalización para los 183 municipios de la provincia con financiación de los fondos Next Generation EU: asistencia técnica, equipamiento informático, Carpeta Ciudadana y programas de conectividad rural dentro del plan Aldeas Abandonadas / Soria Ya, la iniciativa contra la despoblación que ha convertido a Soria en laboratorio nacional de proyectos de repoblación digital.
En el ámbito sanitario, el Complejo Asistencial de Soria —que integra el Hospital Santa Bárbara y el Hospital Virgen del Mirón— es el centro de referencia gestionado por Sacyl (Sanidad Castilla y León) para toda la provincia. Los sistemas de información clínica, la historia digital del paciente, los sistemas de imagen médica y la infraestructura de red del Complejo quedan dentro del perímetro ENS en su categoría media o alta, y sus proveedores tecnológicos deben acreditar conformidad. Es uno de los contratos de mayor carga técnica de la provincia.
El sector productivo soriano añade una capa de demanda que ninguna otra provincia de Castilla y León replica de forma tan marcada: el cluster forestal-maderero. Los pinares de Soria —la comarca de Pinares y los del Monte de Cabrejas— son el mayor patrimonio forestal de la región, y el Cesefor (Centro de Servicios y Promoción Forestal), con sede en el PECS (Parque Empresarial del Medio Ambiente en Garray), es el organismo de referencia técnica en gestión forestal sostenible, certificación PEFC y FSC, e innovación en la industria maderera. Cesefor recibe financiación pública de la Junta de CyL y de fondos europeos, lo que arrastra a sus proveedores TIC al perímetro del ENS. Del mismo modo, la industria del mueble de Yanguas y las empresas aserradoras de la comarca trabajan con Cesefor y con programas de digitalización de la Junta que exigen este marco de seguridad.
El turismo cultural y patrimonial aporta otra dimensión de obligación: las plataformas de gestión de visitas a Numancia —el yacimiento arqueológico celtíbero declarado Bien de Interés Cultural y referente de la memoria nacional—, las herramientas digitales de la Fundación Antonio Machado y los sistemas de gestión del Monasterio de San Juan de Duero son activos digitales que pueden quedar dentro del perímetro ENS cuando su explotación se realiza en virtud de contratos con la Diputación o el Ayuntamiento de Soria.
Delegación Territorial Junta CyL en Soria
Coordina los proyectos de digitalización rural con fondos Next Generation EU en la provincia. Sus proveedores TIC necesitan acreditar conformidad con el ENS para acceder a estos contratos.
Complejo Asistencial de Soria · Sacyl
El Hospital Santa Bárbara y el Hospital Virgen del Mirón concentran los contratos de mayor carga técnica de la provincia. Los sistemas clínicos y de imagen médica son categoría media o alta.
Cesefor · PECS Garray · cluster forestal
El Centro de Servicios y Promoción Forestal en el Parque Empresarial del Medio Ambiente es la puerta de entrada al ENS para las empresas TIC del sector maderero y de la economía verde soriana.
Reto demográfico · digitalización rural
La EstrategiaSoria y los fondos NextGen han abierto convocatorias de digitalización rural que exigen ENS en la cadena de proveedores. Las empresas que entran ahora se posicionan antes que la competencia.
El ENS obliga al sector público y a las empresas privadas vinculadas a él por contrato. En Soria, el perímetro es más amplio de lo que parece: la combinación de administraciones locales, el Complejo Asistencial de Sacyl, la Universidad y el sector forestal-agroalimentario genera una demanda real y creciente de proveedores conformes.
Empresas que desarrollan o mantienen sistemas de administración electrónica, sede electrónica o trámites digitales para el Ayuntamiento de Soria o la Diputación de Soria, incluidos los proyectos de conectividad y Carpeta Ciudadana para los 183 municipios de la provincia.
Proveedores de software clínico, sistemas de imagen médica (PACS/RIS), infraestructura de red o ciberseguridad gestionada del Complejo Asistencial de Soria (Hospital Santa Bárbara y Hospital Virgen del Mirón, Sacyl): estos sistemas alcanzan con frecuencia categoría media o alta.
Empresas TIC que prestan servicios de gestión documental, análisis de datos o digitalización forestal a Cesefor en el PECS de Garray, cuando Cesefor actúa con financiación pública de la Junta de Castilla y León o de fondos europeos.
Integradores y consultoras que participan en proyectos de digitalización rural financiados con Next Generation EU dentro del plan Aldeas Abandonadas / Soria Ya o de la EstrategiaSoria: la Delegación Territorial de la Junta exige conformidad ENS en la cadena de proveedores.
Desarrolladores de plataformas de gestión cultural o turística para el Ayuntamiento de Soria o la Diputación relacionadas con Numancia, la Fundación Antonio Machado o los recursos del patrimonio provincial, cuando el contrato incluye acceso a sistemas de la administración pública.
Empresas del sector agroalimentario soriano —torrezno de Soria, mantequilla de Soria, bodegas de la DO Ribera del Duero soriana— que trabajan con plataformas de trazabilidad o registros sanitarios gestionados por la Junta de CyL: sus proveedores TIC quedan dentro del perímetro cuando acceden a datos de sistemas públicos.
El plazo transitorio del RD 311/2022 expiró el 5 de mayo de 2024. Los sistemas que se ponen en marcha o que cambian de forma sustancial desde entonces no tienen margen de adaptación: deben cumplir desde el primer día. Cada licitación que sale al mercado sin conformidad es una oportunidad perdida.
Licitaciones reales en Soria que exigen conformidad con el ENS.
El Portal de Contratación de la Junta de Castilla y León publica los pliegos donde la conformidad con el ENS figura ya como criterio de solvencia técnica o como obligación contractual. Estos son ejemplos de tipologías de contratos que han exigido o exigen ese requisito en la provincia de Soria.
Servicios de mantenimiento de sistemas de información y comunicaciones de la Delegación Territorial de la Junta de Castilla y León en Soria — el pliego tipo de la Consejería de Hacienda incorpora la conformidad ENS como requisito de solvencia técnica para los lotes de infraestructura y ciberseguridad.
Contratación Junta de Castilla y León · contratacion.jcyl.es · filtro: Soria · Tecnologías de la Información
Suministro e implantación de sistemas de historia clínica digital y gestión de pacientes para el Complejo Asistencial de Soria (Sacyl) — los contratos de software clínico de Sacyl en Castilla y León incluyen sistemáticamente la categoría ENS básica o media como condición de admisión.
Contratación Junta de Castilla y León · contratacion.jcyl.es · entidad: Sacyl · objeto: historia clínica
Asistencia técnica en digitalización y conectividad para municipios de la provincia de Soria en el marco del Plan de Recuperación (Next Generation EU) — la Diputación de Soria, como entidad instrumental del programa, exige a los adjudicatarios acreditar conformidad con el ENS en los sistemas que gestionan datos de entidades locales.
Contratación Junta de Castilla y León · contratacion.jcyl.es · entidad: Diputación de Soria · objeto: digitalización rural
Antes de presentar tu oferta, conviene revisar los pliegos de prescripciones técnicas actualizados. Agenda una primera llamada y repasamos juntos el requisito de solvencia que te afecta.
De la norma a la práctica
Cómo llevo tu empresa soriana a la conformidad ENS.
Sigo la secuencia que establecen las guías CCN-STIC: empiezo por entender tu situación real y termino con la declaración de conformidad cerrada, o con la auditoría preparada si tu categoría lo exige. Trabajo fase a fase para que el expediente aguante la revisión de la Delegación Territorial de la Junta en Soria, el Ayuntamiento, la Diputación o el Complejo Asistencial de Sacyl.
Cronograma de trabajo · adecuación al ENS en Soria
Fase
Qué hacemos
Referencia y entregable
Fase 01 Diagnóstico (gap)
Confronto tu situación real con los requisitos del ENS y delimito el alcance del proyecto: qué sistemas de información quedan dentro del perímetro y cuáles no.
Informe de diagnóstico con las brechas ordenadas por urgencia y una estimación inicial de la categoría resultante.
Fase 02 Categorización
Analizo las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— para determinar si el sistema es básico, medio o alto.
Documento de categorización conforme al Anexo I del RD 311/2022, con la vía de conformidad correspondiente.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT, con especial atención a los activos propios del contexto soriano: sistemas forestales, datos clínicos del Complejo Asistencial, plataformas municipales.
Mapa de riesgos y plan de tratamiento priorizados.
Fase 04 Plan de adecuación + DdA
Elaboro la política de seguridad, selecciono las medidas del Anexo II y documento su justificación en la Declaración de Aplicabilidad (DdA) siguiendo la guía CCN-STIC 806.
Plan de adecuación con responsables, plazos y prioridades; DdA completa.
Fase 05 Implantación
Pongo en marcha las medidas organizativas, operacionales y de protección del Anexo II; no dejo sola a tu gente en ningún momento del proceso.
Evidencias documentadas de cada medida implantada, preparadas para la auditoría.
Fase 06 Conformidad final
En básica, reviso contigo la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada por ENAC hasta el cierre del proceso.
Conformidad lista según el Anexo III. Certificar en media o alta corresponde exclusivamente a la entidad acreditada por ENAC, no al consultor.
Básica, media o alta: cuál te corresponde y por qué.
La categoría no se elige: surge de valorar, dimensión por dimensión, el impacto que tendría un incidente. El ENS mide confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT). Basta con que una sola dimensión alcance el nivel medio o alto para que el sistema entero pase a esa categoría.
Categoría básica
Perjuicio limitado
Es la más frecuente entre los proveedores de servicios auxiliares al Ayuntamiento de Soria, la Diputación o la Delegación Territorial de la Junta. También aparece en empresas del cluster forestal que gestionan datos de Cesefor sin acceder a información especialmente sensible.
Ninguna dimensión supera el nivel bajo
Se acredita mediante declaración de conformidad autoevaluada
Medidas del Anexo II manejables con acompañamiento
Categoría media
Perjuicio grave
Habitual en proveedores de software clínico y de imagen médica del Complejo Asistencial de Soria, en sistemas de historia digital del paciente de Sacyl y en plataformas de gestión de datos sensibles de la Diputación.
Una o varias dimensiones alcanzan el nivel medio
Certificación obligatoria por entidad acreditada por ENAC
Auditoría de renovación cada dos años
Categoría alta
Perjuicio muy grave
Se reserva para sistemas con impacto irreversible si fallan: infraestructuras críticas del Complejo Asistencial o sistemas que sostienen servicios esenciales de la administración provincial.
Alguna dimensión llega al nivel alto
Certificación acreditada por ENAC, igual que en media
Auditoría de renovación cada dos años
Dos caminos hacia la conformidad
En básica: declaración de conformidad
La conformidad básica se acredita con una declaración autoevaluada: verificas tú mismo, con mi guía, que cumples las medidas de las guías CCN-STIC. Me aseguro de que la documentación y las evidencias resistan la revisión de cualquier organismo contratante en la provincia de Soria.
En media y alta: certificación acreditada por ENAC
Si el sistema resulta medio o alto —como ocurre frecuentemente en los contratos del Complejo Asistencial de Soria—, la vía obligatoria es la certificación de una entidad acreditada por ENAC según la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla; el de certificar, exclusivamente de ese tercero.
Qué obtienes al terminar
El expediente que piden los pliegos sorianos.
No entrego un dosier que nadie vuelve a abrir. Construyo el conjunto documental y técnico que respaldará la conformidad ante la Delegación Territorial de la Junta de CyL en Soria, la Diputación de Soria, el Ayuntamiento de Soria, el Complejo Asistencial de Sacyl o cualquier otro organismo que audite tu expediente de licitación.
El informe de diagnóstico o análisis GAP, con la brecha real entre tu punto de partida y lo que exige el ENS.
La categorización del sistema aplicando las cinco dimensiones CIDAT del Anexo I del RD 311/2022.
El análisis de riesgos con metodología MAGERIT y su plan de tratamiento priorizado.
La política de seguridad de la información y las normas internas que se derivan de ella.
El plan de adecuación elaborado según la guía CCN-STIC 806, con responsables, plazos y prioridades.
La Declaración de Aplicabilidad (DdA), que justifica cada medida seleccionada del Anexo II.
Las evidencias de implantación de las medidas organizativas, operacionales y de protección.
El acompañamiento hasta el cierre: revisión previa, checklist de comprobación y apoyo durante la declaración autoevaluada o la auditoría acreditada.
Ángel Ortega Castro consultor ENS · Soria
Con quién vas a trabajar
Un consultor que conoce el ecosistema forestal, asistencial y administrativo de Soria.
Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas de Gran Canaria. Trabajo con empresas de toda España —incluidas las de Soria y su provincia— en remoto, y me desplazo cuando el proyecto lo requiere. Conozco la arquitectura institucional soriana: la Delegación Territorial de la Junta de Castilla y León en Soria y sus Servicios Territoriales, el Ayuntamiento de Soria, la Diputación de Soria, el Complejo Asistencial de Soria (Sacyl) y el Campus UVa Duques de Soria son los organismos que aparecen una y otra vez en los pliegos de mis clientes de la provincia.
Entiendo también el peso económico del sector forestal soriano: Cesefor y el PECS de Garray funcionan como puerta de entrada al ENS para muchas empresas TIC que trabajan en la digitalización del monte y de la industria maderera, y los proyectos de reto demográfico —Aldeas Abandonadas, EstrategiaSoria— son un flujo constante de contratos que exigen conformidad.
Mi trabajo es prepararte para la conformidad, no certificarte. Certificar en categorías media o alta es tarea exclusiva de una entidad acreditada por ENAC. Ese rigor con las guías CCN-STIC y con los Anexos I-IV del RD 311/2022 es lo que diferencia un expediente sólido de uno que no supera la revisión.
Consultor ENS independienteRD 311/2022 · Anexos I-IVGuías CCN-STICMAGERIT · análisis de riesgosSoria · Castilla y León · España
Tres escenarios reales en Soria
El proveedor TIC local, la empresa de software sanitario y la consultora forestal-alimentaria.
TIC local · Ayuntamiento y Diputación · reto demográfico
Empresa que digitaliza municipios rurales con fondos Next Generation EU.
Integradora o consultora tecnológica con sede en Soria que presta servicios al Ayuntamiento de Soria o la Diputación de Soria dentro de los proyectos de digitalización rural financiados por Next Generation EU: conectividad para aldeas, Carpeta Ciudadana, plataformas de trámites para los 183 municipios. La Diputación exige ENS en la cadena de proveedores de estos proyectos. La categoría suele ser básica, con declaración autoevaluada, y el tiempo de adecuación es manejable si se empieza antes de publicarse el pliego.
ISV · software sanitario · Complejo Asistencial de Soria
Empresa de software clínico o imagen médica para el Hospital Santa Bárbara y el Virgen del Mirón.
Desarrolladoras o distribuidoras de soluciones para el Complejo Asistencial de Soria (Hospital Santa Bárbara y Hospital Virgen del Mirón, gestionados por Sacyl): historia clínica digital, PACS/RIS, sistemas de farmacia o gestión de pacientes. Son los contratos de mayor complejidad técnica de la provincia: alcanzan habitualmente categoría media, con obligación de certificación por entidad acreditada por ENAC y auditoría bienal.
Empresa del cluster maderero o agroalimentario que trabaja con financiación pública de la Junta de CyL.
Empresas TIC que prestan servicios de digitalización, análisis de datos o gestión documental a Cesefor en el PECS de Garray —el centro de referencia forestal de los pinares de Soria— o a productores del sector agroalimentario (torrezno de Soria, mantequilla de Soria, bodegas de la DO Ribera del Duero soriana) cuando la financiación de la Junta o de la PAC está de por medio. También abarca a los integradores que desarrollan herramientas de trazabilidad o certificación PEFC/FSC para la industria del mueble de Yanguas o las aserradoras de la comarca de Pinares.
Sobre el presupuesto
¿Cuánto cuesta la adecuación al ENS en Soria?
No ofrezco tarifas cerradas sin conocer antes tu caso: la variabilidad es real. El importe depende del alcance (número y complejidad de los sistemas), la categoría resultante (básica, media o alta), el punto de partida de tu organización y si necesitas certificación acreditada o declaración autoevaluada. Un proveedor de la Diputación con categoría básica tiene un recorrido muy diferente al de un ISV de software clínico del Complejo Asistencial.
Presupuesto cerrado tras el diagnóstico inicialAjustado a tu caso concreto · sin sorpresas
Cuando la categoría es media o alta —como ocurre en los contratos con el Complejo Asistencial de Sacyl— hay que añadir a mis honorarios el importe de la entidad certificadora acreditada por ENAC: ese coste lo fija y lo cobra directamente el tercero que audita, al margen de lo que yo facture.
En la primera llamada revisamos el alcance, la categoría probable y el tipo de contratación que buscas. Con eso preparo una propuesta cerrada, sin compromiso y con honestidad desde el primer contacto. Reserva tu llamada aquí.
Preguntas frecuentes · Soria
Dudas concretas sobre el ENS en Soria.
¿La Delegación Territorial de la Junta de Castilla y León en Soria es el organismo más pequeño en la comunidad? ¿Eso significa menos contratos?+
Sí, la Delegación Territorial de Soria es la más pequeña en términos de presupuesto propio dentro de la red de delegaciones de la Junta de Castilla y León, consecuencia directa del menor tamaño de la provincia. Sin embargo, su peso en contratos TIC no es proporcional al tamaño: gestiona en la provincia los Servicios Territoriales de Movilidad y Transformación Digital, de Educación, de Hacienda, de Sanidad (coordinado con Sacyl) y de Agricultura, entre otros. Cada uno genera demanda de proveedores de sistemas, mantenimiento y ciberseguridad. Además, actúa como correa de transmisión de los proyectos Next Generation EU de digitalización rural, donde el requisito ENS es ya un estándar en los pliegos. Consulta el mapa completo de organismos de CyL y el ENS.
¿Por qué el Complejo Asistencial de Soria tiene dos hospitales cuando la provincia es tan pequeña?+
El Complejo Asistencial de Soria agrupa el Hospital Santa Bárbara —el hospital general de la provincia, con urgencias, quirófanos y UCI— y el Hospital Virgen del Mirón, que se especializa en media y larga estancia, rehabilitación y salud mental. Ambos forman parte de la red de Sacyl (Sanidad Castilla y León) y comparten sistemas de información clínica. Esta integración en un único complejo, gestionada por una sola área de gestión sanitaria, es precisamente lo que eleva la categoría ENS de sus proveedores TIC: la disponibilidad e integridad de los sistemas de salud del conjunto de la provincia dependen de una infraestructura compartida que no puede permitirse interrupciones.
¿El Campus UVa Duques de Soria exige el ENS a sus proveedores TIC aunque sea un campus pequeño?+
Sí. El Campus Universitario Duques de Soria, adscrito a la Universidad de Valladolid (UVa), es una institución pública universitaria sujeta al ENS con independencia de su tamaño. Imparte titulaciones de Traducción e Interpretación, Enfermería, Fisioterapia y la Escuela Universitaria de Ingeniería Técnica Industrial. Gestiona expedientes académicos, plataformas de administración electrónica, sistemas de gestión de matrículas y TFG, y acceso a los sistemas corporativos de la UVa. Los proveedores de sistemas o ciberseguridad gestionada para el campus quedan dentro del perímetro ENS en la misma medida que los que trabajan para el campus central de Valladolid. Analizo tu caso en una primera llamada.
¿Qué papel tiene Cesefor en el cluster forestal de Soria y por qué arrastra obligaciones ENS a sus proveedores TIC?+
El Cesefor (Centro de Servicios y Promoción Forestal) es la entidad de referencia técnica para la gestión sostenible de los pinares de la provincia de Soria —Pinares, Monte de Cabrejas, Tierras Altas— y para la innovación en la industria maderera, incluyendo la certificación PEFC y FSC y la trazabilidad de la madera. Tiene sede en el PECS (Parque Empresarial del Medio Ambiente) de Garray y trabaja con financiación pública de la Junta de Castilla y León y de fondos europeos (FEADER, Horizonte Europa). Cuando una empresa TIC presta servicios de digitalización, análisis de datos o gestión documental a Cesefor en proyectos financiados con fondos públicos, la obligación ENS viaja por la cadena de suministro hasta alcanzarla. Es el mismo mecanismo que afecta a proveedores de cualquier otra entidad pública o parapública.
¿Los proyectos de reto demográfico —Aldeas Abandonadas, EstrategiaSoria— también generan obligaciones ENS para las empresas TIC?+
Sí, y con una intensidad creciente. Los programas de digitalización rural vinculados al reto demográfico de Soria —entre ellos la iniciativa Aldeas Abandonadas / Soria Ya y la EstrategiaSoria— se financian en gran medida con fondos Next Generation EU canalizados a través de la Junta de Castilla y León y la Diputación de Soria. Cuando los proyectos implican sistemas de información públicos —plataformas de trámites, servicios de conectividad, aplicaciones de gestión de datos de entidades locales—, los proveedores TIC quedan dentro del perímetro ENS. La obligación no viene del origen de la financiación europea en sí, sino de la naturaleza pública del sistema de información que el proveedor gestiona o al que accede. Ver cómo afecta el ENS al conjunto de CyL.
¿Afecta el ENS a empresas del sector agroalimentario soriano —torrezno, Ribera del Duero, mantequilla de Soria— que digitalizan su gestión?+
De forma indirecta. Las empresas agroalimentarias sorianas —productoras de torrezno de Soria, bodegas de la DO Ribera del Duero soriana o fabricantes de mantequilla de Soria— no están directamente obligadas al ENS por su actividad productiva. La obligación surge para sus proveedores TIC cuando estos acceden a sistemas de la administración pública: plataformas de solicitud de ayudas de la PAC o del FEADER gestionadas por la Junta de CyL, registros sanitarios digitales de la Consejería de Agricultura, sistemas de trazabilidad integrados con bases de datos de la administración autonómica. En esos casos, el integrador tecnológico queda dentro del perímetro. Si desarrollas software para este sector y no tienes claro si te aplica, reserva una primera llamada para analizarlo.
Otras provincias · Guías ENS
Consultoría ENS en Castilla y León y recursos clave.
Reservamos una primera conversación sin coste ni compromiso para revisar el alcance de tus sistemas —sean para el Complejo Asistencial de Soria, para la Diputación, para Cesefor o para cualquier otro organismo de la provincia— y estimar la categoría que previsiblemente te corresponde. Si el encaje es bueno, sales con una propuesta cerrada; si no, sales igualmente con una hoja de ruta clara.
