Me llamo Ángel Ortega Castro y me dedico en exclusiva a la consultoría ENS. Opero desde Valladolid y Las Palmas de Gran Canaria, trabajo en remoto con empresas de cualquier punto de España y me desplazo en persona cuando el proyecto lo pide, y acompaño a empresas de Teruel y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de Aragón, el Ayuntamiento de Teruel, la Diputación Provincial o la Universidad de Zaragoza sin quedar excluidas de los pliegos.
Teruel no alberga la sede central del Gobierno de Aragón —eso corresponde a Zaragoza—, pero eso no la deja al margen del Esquema Nacional de Seguridad. La ciudad es sede de la Delegación Territorial del Gobierno de Aragón en Teruel, con oficinas en la calle San Francisco, y de varios Servicios Provinciales que dependen directamente de departamentos autonómicos: Agricultura, Ganadería y Alimentación; Sanidad; Industria, Comercio y Turismo; y Educación, Cultura y Deporte, entre otros. Cada uno gestiona sus propios sistemas de información y está tan sujeto al ENS como cualquier consejería con sede en la capital autonómica.
A ese entramado autonómico se suma la Diputación Provincial de Teruel, que a través de su sede electrónica y su plataforma de administración electrónica presta servicio a más de un centenar de los 236 municipios de la provincia, de modo que su conformidad con el ENS condiciona, en la práctica, la de buena parte de esos ayuntamientos. El Ayuntamiento de Teruel, por su parte, ha dado un paso concreto y verificable en esta materia: con financiación de los fondos Next Generation EU del Plan de Recuperación, Transformación y Resiliencia, implantó un Centro de Operaciones de Ciberseguridad (SOC) que emplea las herramientas LUCIA y microCLAUDIA del Centro Criptológico Nacional, adjudicado a una empresa especializada tras un procedimiento de contratación pública.
A esto se añaden dos instituciones con sistemas sensibles propios: el Campus de Teruel de la Universidad de Zaragoza —que integra la Facultad de Ciencias Sociales y Humanas, la Escuela Universitaria Politécnica y la Escuela Universitaria de Enfermería del Hospital General Obispo Polanco— y el propio Hospital General Obispo Polanco, centro de referencia del Servicio Aragonés de Salud en la provincia. Ambos gestionan expedientes académicos, historiales clínicos o plataformas de administración electrónica que quedan bajo el paraguas del ENS. Alrededor de todo este ecosistema institucional trabaja un tejido empresarial singular: la Plataforma Logístico-Industrial de Teruel (PLATEA), gestionada por la empresa pública Aragón Plataforma Logística S.A.U. y situada junto a la autovía Mudéjar, y el Aeropuerto de Teruel, donde Tarmac Aerosave —filial del grupo Airbus— opera desde 2013 uno de los mayores centros europeos de almacenamiento, mantenimiento y reciclaje de aeronaves. Para todas las empresas que dan soporte a este entorno, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen cada vez con más frecuencia como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
La Delegación Territorial y los Servicios Provinciales del Gobierno de Aragón en Teruel gestionan contratos TIC que exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
La Diputación Provincial de Teruel presta administración electrónica a más de un centenar de los 236 municipios de la provincia. Su conformidad ENS se traslada a esa red de ayuntamientos.
El Campus de Teruel de la Universidad de Zaragoza y el Hospital General Obispo Polanco gestionan sistemas sensibles sujetos al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar conviene tener claro el marco completo: puedes repasarlo con calma en la guía ENS completa o ver cómo lo aplico en la práctica en el servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad alcanza a todas las administraciones públicas y, por extensión contractual, a las empresas privadas que les prestan servicios. En Teruel esa extensión dibuja un mapa bastante concreto de proveedores locales y provinciales.
Te acompaño de forma cercana si tu empresa encaja en alguno de estos perfiles:
El RD 311/2022 dio a los sistemas ya existentes un plazo transitorio de 24 meses que se agotó el 5 de mayo de 2024; los sistemas nuevos, o los que se modifican sustancialmente, deben cumplir desde su puesta en marcha. Si tu empresa aún no ha empezado, cada nueva licitación publicada por el Ayuntamiento o la Diputación es un aviso de que el plazo se sigue estrechando.
Sigo el itinerario que marcan las guías CCN-STIC, pero no lo hago desde la distancia: en cada fase nos sentamos juntos, tú y yo, para que la documentación que presentes al Gobierno de Aragón, al Ayuntamiento de Teruel o a la Diputación Provincial responda de verdad a tu operativa, no a una plantilla genérica.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Nos reunimos para revisar tu situación real frente al ENS, delimitar el alcance y señalar qué sistemas de información quedan dentro. | Informe de diagnóstico con la distancia real al cumplimiento y las brechas que hay que resolver antes. |
| Fase 02 Categorización | Valoramos juntos el sistema en las cinco dimensiones de seguridad (CIDAT) hasta fijar su categoría: básica, media o alta. | Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Identifico contigo los activos, las amenazas y las salvaguardas aplicables siguiendo la metodología MAGERIT. | Informe de análisis de riesgos y plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redactamos la política de seguridad, elegimos las medidas caso por caso y preparo la Declaración de Aplicabilidad (DdA) justificando cada control. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad listos. |
| Fase 05 Implantación | Acompaño a tu equipo, paso a paso, en el despliegue de las medidas del Anexo II: marco organizativo, operacional y de protección. | Evidencias de implantación por cada medida, ordenadas para pasar la auditoría. |
| Fase 06 Conformidad final | Reviso contigo todo antes del cierre. Si tu categoría es básica, te sostengo en la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Anexo III. Yo dejo la conformidad preparada; el certificado en media/alta lo emite un tercero acreditado por ENAC. |
La categoría no se decide a ojo: se calcula midiendo qué pasaría si un incidente afectara a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión peor parada es la que marca el nivel final.
Es el nivel que corresponde cuando un incidente causaría un perjuicio limitado a la organización, a sus activos o a las personas. Lo veo con frecuencia en proveedores de servicios auxiliares que trabajan con la Administración turolense.
Aparece cuando alguna dimensión alcanza el nivel medio y el daño de un incidente sería grave. Es habitual en sistemas de gestión administrativa o en tratamientos con datos sensibles.
Corresponde a sistemas donde un incidente tendría un impacto muy grave, incluso irreparable, porque alguna dimensión llega al nivel alto. Suele darse en sistemas críticos o con información especialmente sensible.
Si tu sistema es de categoría básica, la conformidad se acredita con una declaración de conformidad autoevaluada: es tu propia organización quien verifica el cumplimiento, siguiendo las guías CCN-STIC. Yo me siento contigo a preparar esa documentación y esas evidencias para que aguante cualquier revisión del organismo contratante.
Cuando el sistema es de categoría media o alta, la conformidad exige certificación por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo para llegar con garantías; el certificado lo firma la entidad acreditada, nunca yo como consultor.
Nada de un PDF que se archiva y no vuelve a abrirse. Cierro el proyecto contigo con el cuerpo documental y técnico que sostiene la conformidad, el mismo que el auditor, el Gobierno de Aragón, el Ayuntamiento de Teruel, la Diputación Provincial o cualquier otro organismo contratante van a pedirte en el expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y en Las Palmas de Gran Canaria, trabajo con empresas de toda España en remoto y me desplazo a Teruel cuando el proyecto lo pide. Conozco de primera mano cómo funciona la licitación pública aragonesa —sus plazos, sus pliegos y lo que suelen pedir organismos como el Gobierno de Aragón, la Diputación Provincial de Teruel, el Ayuntamiento y la Universidad de Zaragoza.
Trabajo con acompañamiento real, persona a persona, en cada una de las fases: no te entrego un manual y desaparezco. Estoy contigo mientras dura el proyecto, convierto la norma en decisiones que puedes ejecutar y me aseguro de que tu equipo sepa mantener la conformidad cuando yo ya no esté.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización hasta dejarla lista para la conformidad; en categorías media o alta, quien certifica es una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Empresas de desarrollo de software o soporte de sistemas que trabajan con la Delegación Territorial del Gobierno de Aragón en Teruel o con alguno de sus Servicios Provinciales —Agricultura, Sanidad, Industria y Comercio, Educación y Cultura— y necesitan acreditar conformidad con el ENS para renovar o ampliar el contrato. Suelen estar en categoría básica o media.
Empresas tecnológicas que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Plataforma Logístico-Industrial de Teruel (PLATEA), gestionada por la empresa pública Aragón Plataforma Logística S.A.U., o que trabajan en el entorno del Aeropuerto de Teruel —donde Tarmac Aerosave opera uno de los mayores centros europeos de almacenamiento y reciclaje de aeronaves— y necesitan iniciar o completar su adecuación antes del siguiente pliego con administraciones aragonesas.
Empresas de Teruel y su provincia vinculadas al sector agroalimentario —con la Denominación de Origen Protegida Jamón de Teruel como referencia, cerca del 16 % del PIB provincial— o al ecosistema turístico que articulan Dinópolis y la Sierra de Albarracín, y que quieren ampliar su cartera de clientes hacia contratos TIC con el Ayuntamiento de Teruel, la Diputación Provincial o el Gobierno de Aragón. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra fija, y yo desconfiaría de cualquiera que te la diera sin conocer tu caso. Lo que pagas depende del alcance (número de sistemas), de la categoría (básica, media o alta), de tu punto de partida y de si necesitas certificación acreditada o te basta la declaración de conformidad.
Además de mis honorarios, en categoría media o alta hay que contar con el coste de la entidad certificadora acreditada por ENAC, que factura de forma independiente el tercero que realiza la auditoría de conformidad.
Sí. Aunque la sede central del Gobierno de Aragón está en Zaragoza, la Delegación Territorial del Gobierno de Aragón en Teruel y sus Servicios Provinciales —Agricultura, Sanidad, Industria y Comercio, Educación y Cultura, entre otros— están plenamente sujetos al ENS y trasladan esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de estos organismos, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí, o cada vez más. La Diputación Provincial de Teruel opera una sede electrónica y una plataforma de administración electrónica que da servicio a más de un centenar de los 236 municipios de la provincia —ayuntamientos y entidades locales menores—. Como entidad del sector público sujeta al RD 311/2022, puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de los sistemas que sostienen esa red de municipios.
Sí. El Ayuntamiento de Teruel es una entidad local sujeta al ENS por el RD 311/2022 y ya ha dado un paso concreto en esta línea: con financiación de los fondos Next Generation EU del Plan de Recuperación, Transformación y Resiliencia, implantó un Centro de Operaciones de Ciberseguridad (SOC) que emplea las herramientas LUCIA y microCLAUDIA del Centro Criptológico Nacional. Este tipo de proyectos incorpora la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con el Ayuntamiento, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvises. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de Aragón, el Ayuntamiento de Teruel o la Diputación Provincial, lo que el pliego exige es el ENS.
La primera llamada no tiene coste ni compromiso. En ella repasamos el alcance de tus sistemas, estimamos la categoría que previsiblemente te corresponde y el tipo de contratos que persigues con el Gobierno de Aragón, el Ayuntamiento o la Diputación de Teruel. Si el proyecto encaja, recibes una propuesta cerrada; si no es el momento, sales con criterio claro para dar los siguientes pasos.