Ángel Ortega Castro, consultor ENS independiente: trabajo mano a mano con empresas de Toledo y su provincia para completar la adecuación al Esquema Nacional de Seguridad (RD 311/2022) y dejarlas en condiciones de licitar y trabajar con la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Toledo, la Diputación Provincial o el SESCAM, sin quedar fuera de los pliegos por incumplimiento.
Toledo no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es la capital de Castilla-La Mancha y la sede del Gobierno regional, cuya presidencia se ubica en el histórico Palacio de Fuensalida. Eso significa que en la ciudad se concentra buena parte de la demanda de servicios digitales del sector público castellanomanchego: desde el mantenimiento de los sistemas de información de las consejerías —entre ellas la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, responsable de buena parte de la contratación TIC autonómica— hasta el soporte de las plataformas de administración electrónica que usan el resto de organismos dependientes.
A la Junta de Comunidades de Castilla-La Mancha se suman otros grandes organismos contratantes de base local: el Ayuntamiento de Toledo, con una agenda de digitalización que se traduce en licitaciones de software, conectividad y ciberseguridad; la Diputación Provincial de Toledo, que gestiona un proyecto de transformación digital de más de 4,9 millones de euros para los municipios de la provincia de menos de 20.000 habitantes dentro del PRTR; y el Campus de Toledo de la Universidad de Castilla-La Mancha (UCLM), que agrupa la Facultad de Ciencias Jurídicas y Sociales, la Escuela de Ingeniería Industrial y Aeroespacial y la Facultad de Terapia Ocupacional, Logopedia y Enfermería, y que como institución pública universitaria está sujeta al ENS igual que cualquier otra entidad del sector público.
A ese ecosistema se añade el Servicio de Salud de Castilla-La Mancha (SESCAM), con dos centros de referencia en la ciudad: el Complejo Hospitalario de Toledo, que gestiona la historia clínica electrónica de sus pacientes a través del sistema Mambrino XXI, y el Hospital Nacional de Parapléjicos, centro de referencia nacional en lesión medular. Ambos manejan sistemas de información sanitaria especialmente sensibles y trasladan la exigencia de conformidad con el ENS a sus proveedores TIC. Para las empresas —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabajan o aspiran a trabajar con alguno de estos organismos, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías y organismos dependientes de la Junta de Comunidades de Castilla-La Mancha exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Toledo y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
El Complejo Hospitalario de Toledo y el Hospital Nacional de Parapléjicos gestionan historia clínica electrónica sujeta al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de arrancar el proceso conviene tener claro el marco completo: puedes repasar la guía ENS completa y consultar en detalle en qué consiste la consultoría ENS para empresas.
La obligación del ENS recae sobre todo el sector público y también sobre las empresas privadas que trabajan para él por vía contractual. En Toledo ese perímetro alcanza a un número considerable de compañías de la ciudad y de su provincia: la mayoría cae en categoría básica cuando el servicio es auxiliar, y sube a media o alta en cuanto entran datos sensibles en juego.
Estos son algunos de los perfiles con los que me cruzo con más frecuencia:
El RD 311/2022 marcó, en su disposición transitoria única, 24 meses para poner al día los sistemas ya existentes; ese plazo se cerró el 5 de mayo de 2024. Los sistemas nuevos, o los que sufran cambios sustanciales, deben cumplir desde su primer día en producción. Si tu empresa todavía no ha empezado, cada convocatoria que sale en el perfil del contratante es un aviso de que el margen se agota.
Sigo el orden que marcan las guías CCN-STIC: empiezo por el diagnóstico y termino en la preparación de la declaración de conformidad o de la auditoría, según la categoría que resulte al final. La meta es que tu empresa llegue a la conformidad con documentación sólida, la misma que pedirán ver la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Toledo, el SESCAM o cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito qué sistemas de información entran en el alcance del proyecto. | Un informe que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y de ahí sale la categoría: básica, media o alta. | Conforme al Anexo I del ENS. Esa categoría fija el nivel de exigencia y la vía de conformidad que tocará seguir. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Un informe de análisis de riesgos con su plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas que aplican y justifico cada control en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Se despliegan las medidas del Anexo II —marco organizativo, operacional y de protección— con acompañamiento a tu equipo en cada paso. | Evidencia documental de cada medida implantada, ya lista para el momento de la auditoría. |
| Fase 06 Conformidad final | Revisión final antes de cerrar el proceso: en categoría básica te ayudo con la declaración autoevaluada; en media o alta te acompaño durante la auditoría que realiza la entidad acreditada. | Conforme al Anexo III. Yo preparo el expediente de conformidad; la certificación en media o alta la firma un tercero acreditado por ENAC. |
La categoría no se elige a ojo: sale de valorar qué impacto tendría un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. La dimensión que llegue más alto es la que determina la categoría final.
Es la categoría que corresponde cuando un incidente causaría un perjuicio limitado a la organización, a sus activos o a las personas. En Toledo la encuentro sobre todo en proveedores de servicios auxiliares de la Junta de Comunidades de Castilla-La Mancha, del Ayuntamiento o de la Diputación Provincial.
Aparece cuando alguna dimensión llega al nivel medio, es decir, cuando un incidente supondría un perjuicio grave. Es habitual en sistemas de gestión administrativa o en tratamientos que incluyen datos sensibles.
Se activa cuando alguna dimensión toca el nivel alto, es decir, cuando un fallo de seguridad sería muy grave, incluso irreparable. En Toledo aparece con frecuencia en los sistemas de historia clínica electrónica que maneja el ámbito del SESCAM.
Cuando la categoría es básica, basta con una declaración de conformidad autoevaluada: es tu propia organización quien verifica que cumple, siguiendo las guías CCN-STIC. Yo me encargo de dejar la documentación y las evidencias en condiciones de resistir cualquier revisión del organismo contratante.
En categoría media o alta no vale la autoevaluación: hace falta una certificación de una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es prepararte para superarla con garantías; quien la expide siempre es la entidad acreditada, nunca el consultor.
Aquí no acaba todo en un PDF que se queda sin abrir en una carpeta. Lo que entrego es el cuerpo documental y técnico que sostiene la conformidad, el mismo que pedirá ver el auditor, la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Toledo o el organismo contratante que corresponda dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y Las Palmas, trabajo en remoto con empresas de toda España y me desplazo cuando el proyecto lo pide —Toledo y el resto de Castilla-La Mancha incluidos—. Los tiempos, los pliegos y las exigencias de organismos como la Junta de Comunidades de Castilla-La Mancha, el Ayuntamiento de Toledo, la Diputación Provincial, el SESCAM o el Campus de Toledo de la UCLM son terreno que piso con frecuencia.
Trabajo con acompañamiento real, persona a persona: no entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, cuando cierro el proyecto, tu equipo ya sabe sostener la conformidad por sí solo.
Soy claro sobre dónde llega mi papel: preparo y adecúo tu organización hasta dejarla lista para la conformidad; en categoría media o alta, quien certifica es una entidad acreditada por ENAC, no yo. Esa honestidad, sumada al rigor con la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con la Junta de Comunidades de Castilla-La Mancha —muy a menudo con la Consejería de Hacienda, Administraciones Públicas y Transformación Digital— y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas de ciberseguridad gestionada o soporte de infraestructura que trabajan con el Complejo Hospitalario de Toledo o el Hospital Nacional de Parapléjicos, gestionando sistemas de historia clínica electrónica (Mambrino XXI) sujetos a categorías media o alta del ENS por la sensibilidad de los datos que manejan.
Empresas de base tecnológica del corredor logístico de Illescas o de otras zonas industriales de la provincia, como Talavera de la Reina, que hasta ahora han trabajado con clientes privados y quieren ampliar su cartera hacia el Ayuntamiento de Toledo, la Diputación o el Consorcio de la Ciudad de Toledo. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra fija, y yo desconfiaría de cualquiera que te la diera sin haber visto tu caso primero. Lo que determina la inversión es el alcance (número de sistemas), la categoría resultante (básica, media o alta), tu punto de partida en madurez y si el camino pasa por certificación acreditada o le basta con la declaración de conformidad.
En las categorías media y alta, a mis honorarios se suma el coste de la entidad certificadora acreditada por ENAC: es una partida aparte, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. La Junta de Comunidades de Castilla-La Mancha, como administración autonómica con sede en Toledo, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. El Servicio de Salud de Castilla-La Mancha (SESCAM) gestiona sistemas de información sanitaria sujetos al ENS —historia clínica electrónica, receta interoperable, administración electrónica—, y esa obligación alcanza a centros de referencia como el Complejo Hospitalario de Toledo o el Hospital Nacional de Parapléjicos. Como entidades del sector público, pueden requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de datos clínicos.
Sí. Tanto el Ayuntamiento de Toledo como la Diputación Provincial de Toledo son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación; los proveedores con acceso a datos clínicos del SESCAM suelen situarse en categorías media o alta.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Comunidades de Castilla-La Mancha o el Ayuntamiento de Toledo, lo que el pliego exige es el ENS.
La primera conversación no tiene coste ni compromiso: repasamos el alcance de tu empresa en Toledo, la categoría de sistemas que previsiblemente te aplicará y el tipo de contratación pública al que aspiras. Si tu proyecto encaja, te llevas una propuesta cerrada; si no es el momento, te llevas igualmente pautas claras para arrancar por tu cuenta.