Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y Las Palmas de Gran Canaria, en remoto con empresas de toda España y de forma presencial cuando el proyecto lo requiere. Entre mis clientes hay compañías de Valencia y la Comunitat Valenciana que necesitan adecuarse al Esquema Nacional de Seguridad (RD 311/2022) para licitar y trabajar con la Generalitat Valenciana, el Ayuntamiento de Valencia, la Diputació de València o las universidades públicas sin quedar excluidas de los pliegos.
Valencia es la sede de la Generalitat Valenciana, el gobierno autonómico de la Comunitat Valenciana, con sus principales consellerias y organismos dependientes localizados en la ciudad. Eso concentra en Valencia una parte muy significativa de la demanda de servicios digitales del sector público valenciano: desde el mantenimiento de los sistemas de información de las distintas consellerias hasta el soporte de las plataformas de administración electrónica que da servicio a toda la Comunitat Valenciana.
A la Generalitat Valenciana se suman otros grandes organismos contratantes de base local: el Ayuntamiento de Valencia, con una agenda activa de digitalización municipal —el propio consistorio ha licitado recientemente el mantenimiento de sus sistemas informáticos corporativos, que gestionan ingresos municipales, patrimonio, gestión administrativa y recursos humanos—; la Diputació de València, que impulsa proyectos de digitalización turística y territorial para los municipios de la provincia; y las dos grandes universidades públicas de la ciudad, la Universitat de València (UV) y la Universitat Politècnica de València (UPV), que como instituciones públicas operan sistemas sensibles —expedientes académicos, plataformas de investigación, administración electrónica propia— y están sujetas al mismo cumplimiento del ENS que cualquier otra entidad del sector público.
A este ecosistema administrativo se añade la Autoridad Portuaria de Valencia (Valenciaport), que gestiona el primer puerto de España en tráfico de contenedores y uno de los diez principales de Europa: un organismo público que, por su volumen de operaciones logísticas y su digitalización creciente, es también sujeto y tractor de proveedores TIC obligados por el ENS. Alrededor de todas estas administraciones se ha desarrollado un tejido empresarial —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabaja o aspira a trabajar con alguna de ellas. Para todas estas empresas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consellerias y sus organismos dependientes exigen conformidad con el ENS, tal y como recoge el Decreto 130/2012 de organización de la seguridad de la información de la Generalitat. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Valencia y la Diputació de València incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas para servicios digitales.
La Universitat de València, la Universitat Politècnica de València y la Autoridad Portuaria de Valencia están sujetas al ENS y trasladan ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de avanzar con tu adecuación en Valencia, conviene tener claro el marco completo: puedes consultar la guía ENS completa o revisar en detalle cómo trabajo en el servicio de consultoría ENS para empresas.
La obligación del ENS recae sobre todo el sector público, pero se transmite por contrato a las empresas privadas que les prestan servicios. En Valencia, esa cadena contractual llega a un número considerable de compañías de la ciudad y de su área metropolitana, repartidas entre los sectores que sostienen la economía local.
Así es como reconozco, en la práctica, a las empresas que deben adecuarse:
El plazo que marcaba la disposición transitoria única del RD 311/2022 —24 meses para adecuar los sistemas ya existentes— venció el 5 de mayo de 2024; los sistemas nuevos o modificados sustancialmente deben cumplir desde su puesta en marcha. Quien todavía no haya empezado tiene, en cada nueva licitación que publica el Ayuntamiento, la Generalitat o Valenciaport, un aviso de que el plazo ya corrió.
Sigo el orden que marcan las guías CCN-STIC: arranco con el diagnóstico y termino en la preparación de la declaración de conformidad o de la auditoría. La meta es llegar a la conformidad con paso firme y con documentación capaz de sostenerse ante la Generalitat Valenciana, el Ayuntamiento de Valencia o cualquier otro organismo contratante.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Informe de diagnóstico con la distancia real al cumplimiento y las brechas que hay que priorizar. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad (CIDAT) y le asigno categoría: básica, media o alta. | Anexo I del ENS. De aquí sale el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de análisis de riesgos y plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y elaboro la Declaración de Aplicabilidad (DdA), justificando cada control que aplica. | Guía CCN-STIC 806. Plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección—, con acompañamiento a tu equipo en cada paso. | Evidencias de implantación por medida, listas para su revisión en auditoría. |
| Fase 06 Conformidad final | Reviso y preparo el cierre: en categoría básica, apoyo la declaración autoevaluada; en media o alta, acompaño el proceso ante la entidad acreditada. | Anexo III. Yo preparo la conformidad; quien certifica media/alta es siempre un tercero acreditado por ENAC. |
La categoría de un sistema no se decide a criterio del consultor: resulta de valorar qué pasaría si un incidente afectara a las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—. Manda la dimensión que alcance el nivel más alto.
Se aplica cuando un incidente causaría un perjuicio limitado a la organización, a sus activos o a las personas. Es la categoría que más se repite entre proveedores de servicios auxiliares.
Entra en juego cuando alguna dimensión llega a nivel medio y el perjuicio previsible sería grave. Suele darse en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a sistemas donde una dimensión llega a nivel alto: un incidente resultaría muy grave, incluso irreparable. Es habitual en sistemas críticos o con información especialmente sensible.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización quien verifica el cumplimiento, siguiendo las guías CCN-STIC. Mi trabajo aquí es dejarte la documentación y las evidencias tan sólidas que resistan cualquier revisión del organismo contratante.
En categoría media o alta hace falta certificación por una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Te preparo para superarla con garantías, pero quien emite la certificación es siempre la entidad acreditada, nunca el consultor.
Aquí no hay un PDF que se queda cerrado para siempre. Te entrego el cuerpo documental y técnico que sostiene la conformidad y que el auditor, la Generalitat Valenciana, el Ayuntamiento de Valencia o el organismo contratante que corresponda va a pedir ver en el expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente especializado en cumplimiento normativo y seguridad de la información, con clientes repartidos por toda España. Habitualmente trabajo en remoto, y me desplazo a Valencia cuando el proyecto lo pide de verdad —una auditoría, una reunión con el organismo contratante, una sesión de trabajo con tu equipo técnico—. Conozco de cerca cómo funciona la licitación pública valenciana: sus tiempos, sus pliegos y lo que suelen exigir organismos como la Generalitat Valenciana, el Ayuntamiento de Valencia, la Diputació de València, la Universitat de València, la Universitat Politècnica de València y la Autoridad Portuaria de Valencia.
Trabajo con un acompañamiento real, persona a persona: no entrego un manual y desaparezco. Estoy contigo en cada fase, convierto la norma en decisiones concretas y dejo a tu equipo capacitado para sostener la conformidad una vez terminado el proyecto.
Soy claro sobre lo que hago y lo que no: preparo y adecúo a tu organización para la conformidad; la certificación en categorías media o alta la emite una entidad acreditada por ENAC. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, Anexos I-IV y guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con alguna conselleria de la Generalitat Valenciana o con organismos dependientes como el IVACE, y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas de Valencia que prestan servicios de trazabilidad, conectividad o ciberseguridad gestionada a Valenciaport o a operadores logísticos vinculados al puerto, y que necesitan iniciar o completar su adecuación antes del siguiente contrato.
Empresas de los sectores turístico y agroalimentario —motores económicos de la ciudad— que desarrollan plataformas de gestión turística inteligente o de trazabilidad alimentaria para el Ayuntamiento de Valencia o la Diputació de València, y encuentran el ENS como primer requisito de solvencia técnica en el pliego.
No existe una cifra cerrada de antemano, y conviene desconfiar de quien te la ofrezca sin haber visto tu caso. Lo que cuesta el proyecto depende del alcance (cuántos sistemas entran), de la categoría (básica, media o alta), de tu punto de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
A mis honorarios de consultoría se suma, en categorías media o alta, el coste de la entidad certificadora acreditada por ENAC: es un coste independiente del mío, que factura directamente el tercero que realiza la auditoría de conformidad.
Sí. La Generalitat Valenciana, como administración autonómica, está plenamente sujeta al ENS —su organización de seguridad de la información se regula además en el Decreto 130/2012, de 24 de agosto, del Consell— y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consellerias u organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. Tanto la Universitat de València (UV) como la Universitat Politècnica de València (UPV) son instituciones públicas universitarias que gestionan sistemas de información sujetos al ENS —expedientes académicos, plataformas de administración electrónica, sistemas de investigación—. Como entidades del sector público, deben cumplir el RD 311/2022 y pueden requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Tanto el Ayuntamiento de Valencia como la Diputació de València son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC, como en los contratos de mantenimiento de sistemas corporativos municipales. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Sí. La Autoridad Portuaria de Valencia es un organismo público que gestiona el primer puerto de España en tráfico de contenedores, con una digitalización creciente de sus sistemas de gestión logística. Como entidad del sector público, está sujeta al ENS y puede exigir conformidad a los proveedores TIC que dan servicio a su infraestructura, sus plataformas de trazabilidad o sus sistemas de conectividad.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvises. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Reservamos una primera conversación sin coste ni compromiso para revisar el alcance de tus sistemas, la categoría que previsiblemente les corresponde y qué tipo de contratación buscas. Si encaja, recibes una propuesta cerrada; si no encaja, te llevas orientación útil para dar los primeros pasos por tu cuenta.