Soy Ángel Ortega Castro, consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria: trabajo en remoto con empresas de toda España y me desplazo de forma presencial cuando el proyecto lo requiere. Acompaño a empresas de Soria y de toda la provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Castilla y León, el Ayuntamiento de Soria, la Diputación Provincial o el Campus Universitario Duques de Soria (UVa) sin quedar excluidas de los pliegos.
Soria no es la sede del Gobierno autonómico —esa está en Valladolid—, pero es la capital de la provincia de Soria, sede del Ayuntamiento de Soria y de la Diputación Provincial de Soria. La Junta de Castilla y León, además, mantiene en la ciudad su Delegación Territorial de Soria (C/ Linajes, 1), con servicios propios entre los que figura el Servicio Territorial de Movilidad y Transformación Digital de Soria: el organismo autonómico que en la provincia impulsa buena parte de los proyectos de digitalización y, por tanto, exige conformidad con el ENS a los proveedores que participan en ellos.
La Diputación Provincial de Soria tiene un papel especialmente activo en la transformación digital del territorio: gestiona el Plan Soria, con subvenciones para proyectos de digitalización de empresas y entidades locales, y ha entregado equipos informáticos y la Carpeta Ciudadana a los 183 municipios de la provincia con financiación Next Generation EU. A través del Hub Rural OAP Soria ofrece asesoramiento técnico y formación en digitalización a pymes, emprendedores y entidades locales de toda la provincia. Cada uno de estos proyectos se apoya en proveedores TIC externos que, al trabajar con una administración sujeta al ENS, quedan alcanzados por el mismo marco normativo.
A este ecosistema se suma el Campus Universitario Duques de Soria, adscrito a la Universidad de Valladolid (UVa), con facultades como la de Traducción e Interpretación o la de Ciencias de la Salud (Enfermería y Fisioterapia) y una Escuela Universitaria de Ingeniería Técnica Industrial. Como institución pública universitaria, gestiona expedientes académicos, plataformas de administración electrónica y sistemas de gestión propios sujetos al ENS igual que cualquier otra entidad del sector público.
Alrededor de estas administraciones se ha desarrollado un tejido empresarial con peso real en sectores como la industria auxiliar del automóvil —con plantas como la de Gotec en Almazán o la nueva factoría de Simoldes en Ólvega—, la industria de la madera —uno de los mayores patrimonios forestales de España— y el sector agroalimentario, distribuido en los 21 polígonos industriales de la provincia, entre ellos La Dehesa de Almazán o Emiliano Revilla en Ólvega. La Cámara Oficial de Comercio e Industria de Soria, a través de su Oficina Acelera Pyme, acompaña a muchas de estas empresas en su digitalización, y parte de ellas terminan prestando servicio, directa o indirectamente, a la Administración pública. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
El Servicio Territorial de Movilidad y Transformación Digital de Soria y el resto de servicios de la Delegación Territorial exigen conformidad con el ENS a sus proveedores TIC.
El Ayuntamiento de Soria y la Diputación Provincial —con el Plan Soria y el Hub Rural OAP Soria— incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos.
El Campus Universitario Duques de Soria, adscrito a la Universidad de Valladolid, está sujeto al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proyecto conviene tener claro el marco completo: puedes repasarlo en la guía ENS completa y consultar el alcance del servicio de consultoría ENS para empresas.
El ENS no es opcional: alcanza a todo el sector público y a las empresas privadas vinculadas a él por relación contractual. Aplicado al contexto soriano, el círculo de empresas afectadas —locales y de toda la provincia— resulta más amplio de lo que parece a simple vista.
Estos son algunos de los perfiles que encajan en esa obligación:
Hubo un periodo de adaptación, y terminó: la disposición transitoria única del RD 311/2022 otorgó 24 meses para poner al día los sistemas preexistentes, un plazo que expiró el 5 de mayo de 2024. Lo que se pone en marcha ahora, o lo que cambia de forma sustancial, ya no tiene margen de gracia: cumple desde el primer momento. Para quien aún no ha empezado, cada concurso nuevo que sale a la calle es un recordatorio de que queda menos tiempo.
Sigo, en cada proyecto, la secuencia que proponen las guías CCN-STIC: empiezo por el diagnóstico y termino con la declaración de conformidad cerrada, o con la auditoría lista si te toca pasar por ella. Quiero que tu empresa avance sin atajos, con un expediente sólido capaz de aguantar la revisión de la Junta de Castilla y León, del Ayuntamiento de Soria, de la Diputación Provincial o de cualquier otro organismo que te contrate.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Arranco confrontando tu situación real con lo que pide el ENS, y acoto el alcance del proyecto: qué sistemas de información quedan dentro. | El resultado es un informe de diagnóstico que mide cuánto falta para el cumplimiento y ordena las brechas por urgencia. |
| Fase 02 Categorización | Aquí entra el análisis por dimensiones: reviso confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT) para fijar si el sistema es básico, medio o alto. | El Anexo I del ENS es quien fija, a partir de ahí, el nivel de exigencia que te toca y la vía de conformidad correspondiente. |
| Fase 03 Análisis de riesgos | Localizo activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Con eso construyo el mapa de riesgos y su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Elaboro la política de seguridad, elijo las medidas oportunas y justifico cada control dentro de la Declaración de Aplicabilidad (DdA). | Tomando como base la guía CCN-STIC 806, quedan listas tanto la declaración de conformidad como el plan de adecuación que la sostiene. |
| Fase 05 Implantación | Pongo en marcha las medidas del Anexo II en sus tres ámbitos —organizativo, operacional y de protección— sin dejar sola a tu gente en ningún momento. | Cada medida implantada queda respaldada por su evidencia correspondiente, lista de cara a la auditoría. |
| Fase 06 Conformidad final | Cierro el proceso con una revisión final. En básica, reviso contigo la declaración autoevaluada antes de presentarla; en media o alta, te acompaño mientras la entidad acreditada realiza la auditoría. | Siguiendo el Anexo III, dejo preparada la conformidad; quien certifica en media o alta es un tercero acreditado por ENAC, no yo. |
Ninguna empresa elige su categoría: sale de valorar, dimensión por dimensión, qué pasaría si algo fallase. El ENS mide confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT), y basta con que una sola de esas cinco dimensiones se dispare para que arrastre a todo el sistema a su categoría.
Aquí caen los sistemas donde un fallo pasaría más o menos desapercibido: poco quebranto para la actividad diaria, el patrimonio de la empresa o quienes trabajan en ella. Es lo habitual entre quienes prestan servicios auxiliares.
Corresponde a los casos en los que el impacto de un incidente sería grave, porque una o varias dimensiones alcanzan el nivel medio. Aparece con frecuencia en sistemas de gestión administrativa o con datos sensibles.
Se reserva para los casos en los que el impacto sería muy grave, incluso irreversible, cuando alguna dimensión sube hasta el nivel alto. Hablamos de sistemas críticos o de información particularmente delicada.
La categoría básica se resuelve con una declaración de conformidad autoevaluada: verificas tú mismo, con mi ayuda, que cumples las guías CCN-STIC, sin pasar por un tercero externo. Yo me ocupo de que la documentación y las evidencias aguanten si el organismo que te contrata decide revisarlas más adelante.
Si el sistema resulta media o alta, la vía obligatoria es una certificación que solo puede emitir una entidad acreditada por ENAC, siguiendo la norma UNE-EN ISO/IEC 17065:2012. Mi papel es dejarte a punto para superarla sin sobresaltos; el de certificar corresponde en exclusiva a la entidad acreditada, no al consultor.
No dejo un PDF cerrado que nadie vuelve a abrir. Entrego el conjunto documental y técnico que respalda la conformidad: la documentación que el auditor —o la Junta de Castilla y León, el Ayuntamiento de Soria, la Diputación Provincial o cualquier otro organismo que te contrate— pedirá ver dentro del expediente de licitación.
Llevo años dedicado al cumplimiento normativo y la seguridad de la información como consultor independiente, con clientes repartidos por toda España desde mis dos bases de operaciones: Valladolid y Las Palmas. A Soria viajo cuando el proyecto pide trabajo cara a cara; el resto lo llevo en remoto. Soy Ángel Ortega Castro, y la contratación pública de Castilla y León la tengo bien estudiada: sé cómo se cuentan los plazos, cómo se redactan los pliegos y qué exige normalmente cada organismo, sea la Junta de Castilla y León (Delegación Territorial de Soria), la Diputación Provincial de Soria, el Ayuntamiento de Soria o el Campus Universitario Duques de Soria (UVa).
No entrego un dosier y desaparezco: te acompaño de cerca, fase a fase, convirtiendo cada requisito de la norma en una decisión concreta para tu empresa. Al cierre del proyecto, dejo a tu gente capacitada para que sostenga la conformidad sin necesitarme.
Dejo claro qué hago y qué no: mi trabajo es preparar y adecuar tu organización hasta dejarla lista para la conformidad; certificar en categorías media o alta le corresponde siempre a una entidad acreditada por ENAC, nunca a mí. Ese rigor con las guías CCN-STIC y con el RD 311/2022 —sus Anexos I-IV incluidos— es, precisamente, lo que me aparta de una consultora al uso.
Integradoras o desarrolladoras de software que colaboran con la Diputación Provincial de Soria en proyectos como el Plan Soria o el Hub Rural OAP Soria, financiados con fondos Next Generation EU, y necesitan acreditar conformidad con el ENS para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Empresas tecnológicas que prestan servicios de mantenimiento, redes o ciberseguridad gestionada al Campus Universitario Duques de Soria, adscrito a la Universidad de Valladolid, y que necesitan iniciar o completar su adecuación antes del siguiente contrato de servicios TIC.
Organizaciones privadas de Soria o su provincia —muchas de ellas ligadas a la industria auxiliar del automóvil, la madera o el sector agroalimentario— que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia el Ayuntamiento de Soria, la Diputación Provincial o la Delegación Territorial de la Junta de Castilla y León. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No doy cifras cerradas sin conocer antes tu situación, y conviene desconfiar de quien sí lo haga. El importe final depende de varios factores: el alcance del proyecto (número de sistemas), la categoría resultante (básica, media o alta), el nivel de madurez del que partes, y si necesitas certificación acreditada o te basta con declarar conformidad.
Cuando la categoría es media o alta, hay que añadir a mis honorarios el importe de la entidad certificadora acreditada por ENAC: ese coste lo fija y lo cobra directamente el tercero que audita la conformidad, al margen de lo que yo facture.
Sí. La Junta de Castilla y León está sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC, también a través de su Delegación Territorial de Soria y del Servicio Territorial de Movilidad y Transformación Digital de Soria. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de estos organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. Tanto el Ayuntamiento de Soria como la Diputación Provincial de Soria son entidades locales sujetas al ENS por el RD 311/2022. La Diputación, además, gestiona proyectos de digitalización como el Plan Soria y el Hub Rural OAP Soria para los 183 municipios de la provincia, lo que extiende el requisito de conformidad a toda su cadena de proveedores TIC.
Sí. El Campus Universitario Duques de Soria, adscrito a la Universidad de Valladolid (UVa), es una institución pública universitaria sujeta al ENS que gestiona sistemas de información sensibles —expedientes académicos, plataformas de administración electrónica, sistemas de gestión propios—. Como entidad del sector público, puede requerir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión para el Ayuntamiento de Soria, la Diputación Provincial o la Delegación Territorial de la Junta de Castilla y León se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Castilla y León, el Ayuntamiento de Soria o la Diputación Provincial, lo que el pliego exige es el ENS.
Reservamos una primera conversación sin coste ni compromiso para revisar el alcance de tus sistemas, estimar la categoría que previsiblemente te corresponde y el tipo de contratación que buscas. Si el encaje es bueno, sales con una propuesta cerrada; si no, sales igualmente con una hoja de ruta clara para arrancar por tu cuenta.