Soy Ángel Ortega Castro. Tengo despacho en Valladolid —es donde vivo, donde pago mis impuestos— y desde aquí acompaño a empresas de la ciudad y la provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022). Valladolid es la única ciudad del clúster de capitales castellanoleonesas donde trabajo de forma presencial sin coste de desplazamiento: podemos arrancar el análisis de riesgos esta misma semana en tu oficina.
Valladolid. Foto: User:Queninosta · CC BY-SA 3.0 · Wikimedia Commons
Por qué Valladolid es el epicentro del ENS en Castilla y León
Capital administrativa, polo industrial y nodo de contratación pública.
Valladolid concentra una combinación de factores que no se repite en ninguna otra capital de Castilla y León: es la sede permanente de la Junta de Castilla y León, el gobierno autonómico con mayor superficie de España, y al mismo tiempo alberga uno de los mayores polos de fabricación de automóviles del país —la planta de Renault en el polígono San Cristóbal y la factoría de Iveco en la avenida de Madrid—. Esta doble identidad —administración autonómica e industria pesada— genera una demanda de cumplimiento ENS que tiene rasgos muy específicos.
Las empresas de software y servicios gestionados que quieren trabajar con las consejerías de la Junta —Hacienda, Sanidad, Educación, Agricultura— necesitan acreditar su conformidad con el Real Decreto 311/2022 (BOE-A-2022-7191) antes de presentar oferta a ningún pliego. Pero los proveedores de primer nivel que atienden a Renault o Iveco también están expuestos: si su cadena de suministro incluye tratamiento de datos de la Administración o acceso a sistemas críticos, el ENS entra en el perímetro contractual de forma directa o como condición de elegibilidad.
Además de la Junta, en Valladolid tienen su sede o sus oficinas centrales otras instituciones públicas de primer nivel: las Cortes de Castilla y León —en el Castillo de Fuensaldaña, a diez kilómetros de la capital—, la Agencia de Innovación, Financiación e Internacionalización Empresarial de Castilla y León (ADE), que instrumenta las ayudas a la digitalización de pymes castellanoleonesas, y el Servicio de Salud de Castilla y León (Sacyl), cuya estructura de gobierno y gran parte de sus sistemas de información están gestionados desde Valladolid. El Ayuntamiento de Valladolid y la Diputación Provincial de Valladolid añaden una capa adicional de licitaciones locales. Y la Universidad de Valladolid (UVa), con el campus científico-tecnológico Miguel Delibes como referente, conecta con el tejido de startups y pymes TIC del Parque Tecnológico de Boecillo.
Junta de Castilla y León
Con doce consejerías y decenas de organismos dependientes, es el mayor demandante de servicios TIC de la comunidad. Sus pliegos incorporan el ENS como requisito de solvencia técnica desde la entrada en vigor del RD 311/2022.
Universidad de Valladolid
La UVa gestiona plataformas de enseñanza, administración electrónica propia y sistemas de investigación sobre los que sus proveedores TIC deben acreditar conformidad. El campus Miguel Delibes es el polo tecnológico de referencia.
Sacyl y hospitales de referencia
El Servicio de Salud de Castilla y León gestiona desde Valladolid los sistemas que articulan la atención sanitaria de los hospitales Clínico Universitario y Río Hortega. Los ISV del ámbito sanitario deben cumplir el ENS para acceder a sus licitaciones.
ADE y Cortes de Castilla y León
La Agencia ADE canaliza los programas de digitalización de pymes, y las Cortes de Castilla y León —en el Castillo de Fuensaldaña— contratan servicios TIC propios. Ambas instituciones son organismos públicos sujetos al ENS y cada vez más exigentes con sus cadenas de suministro tecnológico.
La presencia física aquí marca una diferencia real: no cobro desplazamiento ni necesito coordinación de agendas para una reunión inicial. Puedo estar en tu oficina del polígono San Cristóbal o del Parque de Boecillo en el mismo día en que decidamos empezar. Ningún otro consultor del clúster ENS de Castilla y León opera desde Valladolid.
¿Te alcanza el ENS?
Qué tipo de empresa de Valladolid tiene obligación de cumplir.
La disposición adicional primera del RD 311/2022 deja claro que la obligación no recae solo en las administraciones: se extiende a cualquier entidad privada que les preste servicios o soluciones. En Valladolid ese perímetro es amplio porque la demanda pública es extraordinariamente concentrada en la capital.
A lo largo de los proyectos que he acompañado en la provincia, el perfil que más se repite agrupa a empresas encuadrables en alguna de estas categorías:
Desarrolladoras de software o integradores que mantienen aplicaciones de gestión para alguna consejería de la Junta de Castilla y León, para la ADE o para el Ayuntamiento de Valladolid, bien en modalidad SaaS o como proveedor de licencias y soporte.
Empresas del sector sanitario tecnológico —ISV o consultoras de TI sanitaria— que dan servicio al Hospital Clínico Universitario de Valladolid o al Hospital Río Hortega a través de contratos con Sacyl.
Proveedores de infraestructura cloud, centros de datos o conectividad que alojan sistemas de información de la Diputación Provincial de Valladolid o del Ayuntamiento, con acceso técnico a entornos de datos de ciudadanos.
Empresas del Parque Tecnológico de Boecillo con contratos vigentes o próximos a renovarse con organismos de la Junta, la UVa o las Cortes de Castilla y León, que necesitan acreditar la conformidad antes del siguiente pliego.
Subcontratistas o proveedores de segundo nivel de empresas del sector de automoción —cadena de suministro de Renault o Iveco— que gestionan datos de sistemas conectados a redes o aplicaciones de origen público, bien por exigencia del cliente principal o por sus propias relaciones directas con la Administración.
El periodo transitorio de veinticuatro meses que concedió el RD 311/2022 para poner al día los sistemas preexistentes venció el 5 de mayo de 2024. Cualquier pliego publicado a partir de esa fecha puede exigir conformidad vigente desde el primer día, sin aceptar el "estamos en proceso" como respaldo suficiente. La herramienta de consultoría ENS para empresas y la guía completa del ENS ofrecen el marco de referencia para entender dónde queda tu organización.
Base legal: Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE-A-2022-7191). Coordinado por el Centro Criptológico Nacional (CCN). Las entidades de certificación están acreditadas por ENAC conforme a UNE-EN ISO/IEC 17065:2012.
El ENS en la contratación pública vallisoletana
Pliegos de la Junta, Sacyl y la UVa que ya exigen conformidad.
El Esquema Nacional de Seguridad no es únicamente una norma en el BOE: se materializa en pliegos de prescripciones técnicas que los organismos contratantes publican en el Perfil del Contratante y en la Plataforma de Contratación del Sector Público. En los últimos ejercicios, la Junta de Castilla y León, Sacyl y la Universidad de Valladolid han incorporado el requisito de conformidad ENS de forma sistemática en sus contratos TIC de mayor envergadura.
A modo de referencia concreta —sin ser una lista exhaustiva—, el tipo de expedientes donde aparece el requisito ENS con regularidad en el ámbito vallisoletano incluye:
Contratos de mantenimiento de sistemas de información de la Junta de Castilla y León (Consejería de Hacienda y Función Pública, Consejería de Sanidad). Los pliegos de prescripciones técnicas de este tipo de contratos establecen que el adjudicatario debe acreditar que sus herramientas, procesos y personal cumplen las medidas del Anexo II del ENS aplicables a la categoría del sistema, y exigen declaración de conformidad o certificado emitido por entidad acreditada según la categoría. Búscalos en la Plataforma de Contratación del Sector Público filtrando por el órgano de contratación "Junta de Castilla y León" y la materia "sistemas de información".
Expedientes de Sacyl (Servicio de Salud de Castilla y León) para adquisición y mantenimiento de sistemas de historia clínica electrónica y de gestión de citas para el Hospital Clínico Universitario y el Hospital Río Hortega. La Consejería de Sanidad de la Junta ha publicado en su perfil del contratante contratos de soporte a plataformas sanitarias que incluyen cláusulas de seguridad de la información alineadas con el ENS categoría media o alta, dada la naturaleza especialmente sensible de los datos de salud.
Licitaciones de la Universidad de Valladolid para servicios cloud, actualización de infraestructura de red y plataformas de administración electrónica universitaria. La UVa, como institución pública universitaria, está obligada por el ENS y ha incorporado en sus pliegos más recientes la exigencia de conformidad como criterio de solvencia técnica. Consulta el perfil del contratante de la UVa en la Plataforma de Contratación del Sector Público para acceder a los pliegos vigentes.
Si tu empresa compite o quiere competir en alguno de estos sectores y aún no ha arrancado la adecuación, el primer paso es un diagnóstico GAP que mida exactamente cuánto terreno hay que cubrir. La primera llamada es gratuita y sin compromiso.
Cómo trabajamos, de principio a fin
De la categorización de tus sistemas a la conformidad documentada.
El itinerario sigue las guías CCN-STIC del Centro Criptológico Nacional, que es la referencia técnica que tomarán como baremo la Junta de Castilla y León, Sacyl o la UVa cuando revisen tu expediente. Cada fase genera entregables concretos: no hay documentación genérica reutilizada de otro cliente. Escribo un expediente específico para tus sistemas, tu alcance y tu categoría.
Itinerario de adecuación ENS · fases y entregables · Valladolid
Fase
En qué consiste
Qué obtienes
Fase 01 Análisis GAP
Revisamos juntos el inventario de sistemas de información que entran en el alcance y los contrastamos con los requisitos del Anexo II. Identifico los controles no implantados y los ordeno por criticidad.
Informe GAP con la distancia real hasta la conformidad: qué falta, cuánto cuesta y en qué orden conviene atacarlo para optimizar tiempo y presupuesto.
Fase 02 Categorización
Aplico las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— a cada sistema de información del alcance. El nivel más alto de cualquier dimensión fija la categoría final del sistema.
Documento de categorización conforme al Anexo I del RD 311/2022, firmado y listo para adjuntarse al expediente de licitación que lo solicite.
Fase 03 Análisis de riesgos
Identifico activos, amenazas y vulnerabilidades aplicando la metodología MAGERIT v3, y calculo la exposición al riesgo residual de cada activo crítico del alcance.
Informe de análisis de riesgos más plan de tratamiento, con las salvaguardas priorizadas según el coste-beneficio para tu tipo de organización.
Fase 04 Política y DdA
Redacto la política de seguridad de la información adaptada a tu organización y construyo la Declaración de Aplicabilidad (DdA), justificando control por control la decisión de incluir o excluir cada medida del Anexo II.
Política de seguridad aprobable por la dirección y DdA lista para presentar junto con la declaración de conformidad o para someterla a auditoría externa.
Fase 05 Implantación
Acompaño a tu equipo en la puesta en marcha de las medidas organizativas, operacionales y de protección establecidas en el plan de adecuación, resolviendo las dudas de interpretación normativa que aparecen en esta fase.
Evidencias de implantación medida por medida —registros, configuraciones, actas de formación—, reunidas en el expediente de conformidad.
Fase 06 Conformidad final
Hago una revisión integral antes del cierre: en categoría básica respaldo la declaración autoevaluada; en media o alta te preparo para la auditoría de la entidad acreditada y te acompaño durante el proceso.
Declaración de conformidad lista para presentar (básica) o expediente completo para la entidad acreditada por ENAC (media/alta). La certificación la firma siempre el tercero acreditado, no el consultor.
¿Tu empresa de Valladolid necesita categoría básica, media o alta?
La categoría no la elige la empresa: se calcula a partir del impacto que tendría un incidente de seguridad sobre los sistemas de información dentro del alcance. En el ámbito de la contratación pública vallisoletana, la mayoría de los proveedores de servicios de gestión o software de apoyo se encuentran en categoría básica, aunque los ISV que tratan datos de Sacyl o gestionan sistemas de la Junta con dimensiones de disponibilidad crítica pueden aterrizar en categoría media.
Categoría básica
Impacto limitado
La más frecuente entre proveedores de software de gestión municipal, aplicaciones de tramitación auxiliar o servicios de soporte TIC a organismos de la Junta de Castilla y León o del Ayuntamiento de Valladolid.
Ninguna dimensión CIDAT supera el nivel bajo
Se acredita con declaración de conformidad autoevaluada
El paquete de medidas exigido es proporcionado al tamaño de la pyme
Categoría media
Impacto grave
Habitual en sistemas que acceden a datos de salud de Sacyl, en plataformas de gestión académica de la UVa con expedientes de alumnos, o en servicios que afectan a procesos críticos de la ADE.
Al menos una dimensión llega al nivel medio
La conformidad exige certificación por entidad acreditada por ENAC
Auditoría de conformidad cada dos años
Categoría alta
Impacto muy grave
Reservada a sistemas cuyo fallo causaría consecuencias irreparables. En el contexto vallisoletano aparece en sistemas de infraestructura crítica o en servicios esenciales del sector sanitario de alto nivel.
Al menos una dimensión alcanza el nivel alto
Certificación obligatoria por entidad acreditada por ENAC
Auditoría bienal de conformidad
Las dos vías hacia la conformidad
Básica → declaración de conformidad autoevaluada
En categoría básica, tu organización acredita el cumplimiento mediante una declaración de conformidad propia, apoyada en las guías CCN-STIC y en la documentación y evidencias que yo preparo. El órgano contratante —la Junta de Castilla y León, la Diputación o el Ayuntamiento— puede pedir esa declaración en cualquier momento del proceso de licitación. Mi trabajo consiste en dejarte el expediente tan robusto que resista cualquier revisión sin necesidad de explicaciones adicionales.
Media / alta → certificación acreditada por ENAC
Cuando la categoría es media o alta, la conformidad solo puede acreditarse mediante certificación emitida por una entidad acreditada por ENAC conforme a UNE-EN ISO/IEC 17065:2012. Preparo contigo la totalidad del expediente y te acompaño durante la auditoría; la firma del certificado corresponde siempre a la entidad acreditada, nunca al consultor. Quien prometa garantizar la certificación está mintiendo, y conviene saberlo antes de firmar ningún contrato de servicios.
Lo que te llevas cuando terminamos
Un expediente de conformidad que aguanta cualquier revisión.
No entrego una carpeta de plantillas rellenas. Cada documento refleja los sistemas reales de tu empresa, las decisiones específicas que hemos tomado juntos y las evidencias que respaldan cada medida implantada. Es el mismo expediente que revisará el auditor de la entidad acreditada o el técnico de la Junta que evalúe tu oferta.
Informe de diagnóstico (análisis GAP): distancia real entre tu punto de partida y los requisitos del ENS, con la brecha cuantificada fase a fase.
Documento de categorización: valoración de las cinco dimensiones CIDAT por sistema de información y categoría resultante, referenciada al Anexo I del RD 311/2022.
Análisis de riesgos MAGERIT con inventario de activos, mapa de amenazas, valoración del riesgo residual y plan de tratamiento priorizado.
Política de seguridad de la información, aprobada por la dirección, y toda la normativa derivada que el ENS exige como marco organizativo.
Plan de adecuación según CCN-STIC 806, con calendario, responsables y criterios de aceptación para cada hito.
Declaración de Aplicabilidad (DdA) con la justificación individualizada de cada medida del Anexo II: aplicable o excluida, y por qué.
Evidencias de implantación de las medidas organizativas, operacionales y de protección, listas para presentar en auditoría.
Declaración de conformidad o expediente para auditoría según la categoría, con revisión previa y acompañamiento hasta el cierre del proceso.
Ángel Ortega Castro consultor ENS · Valladolid
Por qué trabajar conmigo en Valladolid
El único consultor ENS del clúster que tiene despacho aquí.
Me llamo Ángel Ortega Castro y vivo en Valladolid. No es una delegación ni un perfil de LinkedIn con la ciudad como localizador comercial: mi domicilio fiscal, mi IRPF y mis desplazamientos cotidianos están aquí. Eso significa que cuando un cliente de la Junta de Castilla y León o del Parque Tecnológico de Boecillo necesita una reunión presencial, no hay billetes de avión ni dietas de desplazamiento que añadir al presupuesto.
He acompañado procesos de adecuación al ENS a empresas que trabajan con la Junta de Castilla y León, la ADE, el Ayuntamiento de Valladolid, la Diputación Provincial y la Universidad de Valladolid. Conozco los plazos reales que manejan sus servicios de contratación, lo que suelen pedir en la fase de revisión documental y los puntos donde los expedientes mal construidos suelen romperse.
Soy claro sobre el límite entre lo que hago yo y lo que hace la entidad certificadora: yo preparo el expediente y acompaño hasta la conformidad, pero quien firma la certificación en categoría media o alta es siempre la entidad acreditada por ENAC. Esa transparencia, junto al hecho de que no subcontrato el trabajo técnico a terceros, es lo que me diferencia de las consultoras de implantación genérica que hacen ENS como uno más de sus treinta servicios.
Consultor ENS independienteSede física en ValladolidRD 311/2022 · Anexos I-IVMAGERIT v3 · análisis de riesgosGuías CCN-STICDisponible sin coste de desplazamiento
Escenarios que acompaño con frecuencia en Valladolid
Tres perfiles que reconocerás si eres de aquí.
TIC · San Cristóbal / Argales · ADE y Junta
Empresa tecnológica del polígono que licita con la ADE o con las consejerías.
Integradoras o desarrolladoras con sede en los polígonos industriales de Valladolid que tienen contratos vigentes o pendientes de renovar con la ADE Castilla y León, la Consejería de Hacienda o la de Educación. Necesitan cerrar la adecuación antes del siguiente pliego, sin paralizar la operación diaria. La categoría básica es la más habitual; en algunos casos la gestión de datos del Registro de la Propiedad Intelectual o de la Agencia Tributaria autonómica eleva la categoría a media.
ISV sanitario · Hospital Clínico · Río Hortega
Proveedor de gestión hospitalaria para los hospitales de referencia de Sacyl.
Empresas que venden o mantienen soluciones de historia clínica electrónica, sistemas de citación o software de gestión de quirófanos al Hospital Clínico Universitario de Valladolid o al Hospital Río Hortega, ambos bajo el paraguas de Sacyl. El tratamiento de datos de salud eleva la categoría del sistema de información, lo que implica certificación por entidad acreditada por ENAC. El expediente documental debe ser especialmente robusto en las dimensiones de confidencialidad y disponibilidad.
Consultora o integradora que trabaja con las tres administraciones de Valladolid capital y provincia.
Empresas de servicios que tienen clientes simultáneos entre las Cortes de Castilla y León en Fuensaldaña, el Ayuntamiento de Valladolid y la Diputación Provincial, y que necesitan una sola acreditación ENS que cubra el perímetro completo sin duplicar el expediente. La complejidad está en definir bien el alcance de los sistemas de información comunes y en categorizar con criterio cuando los contratos con distintos organismos implican niveles de impacto diferentes.
Inversión, sin sorpresas
¿Cuánto cuesta adecuarse al ENS desde Valladolid?
El presupuesto final depende de cuatro variables: el número de sistemas de información dentro del alcance, la categoría ENS que corresponda —básica, media o alta—, el nivel de madurez en seguridad del que parte tu organización, y si el contrato que persigues requiere solo declaración de conformidad o certificación acreditada por ENAC. Sin conocer esas cuatro variables, cualquier cifra que te den es una estimación en el vacío.
Presupuesto cerrado, una vez hecho el diagnóstico GAPSin sorpresas · sin cláusulas de ajuste por ampliación de alcance no prevista
En categoría media o alta hay que añadir, separado de mis honorarios, el coste de la entidad certificadora acreditada por ENAC. Ese importe lo factura directamente el tercero que realiza la auditoría de conformidad; yo no lo intermedie ni cobro comisión sobre él.
La primera videollamada —o reunión presencial en Valladolid si lo prefieres— es gratuita. En ella revisamos el alcance de tus sistemas, la categoría probable y el tipo de contratación que persigues. Si encajamos, te preparo una propuesta cerrada; si no, te llevas igualmente orientación clara para arrancar por tu cuenta.
Dudas concretas sobre el ENS en el contexto vallisoletano.
¿La Junta de Castilla y León acepta declaración de conformidad ENS para proveedores de servicios de la ADE?+
En categoría básica, la Junta de Castilla y León y sus organismos dependientes —incluida la ADE Castilla y León— aceptan la declaración de conformidad autoevaluada que emite la propia empresa, siempre que la documentación y las evidencias de implantación estén en regla conforme a las guías CCN-STIC. El órgano contratante puede solicitar esa documentación en cualquier fase del proceso de adjudicación o durante la ejecución del contrato.
En categoría media o alta, la declaración de conformidad autoevaluada no es suficiente: se exige certificación emitida por una entidad acreditada por ENAC. Si no conoces tu categoría, el primer paso es el análisis de categorización de sistemas, que yo realizo durante la fase de diagnóstico. Puedes iniciar el proceso desde la página de reservas.
¿Cómo se acredita el ENS ante Sacyl para un ISV que sirve a los hospitales de referencia de Valladolid?+
Sacyl, como parte de la estructura de la Consejería de Sanidad de la Junta de Castilla y León, está sujeta al ENS y traslada ese requisito a los proveedores TIC que acceden o tratan sus sistemas de información. Los sistemas hospitalarios —historia clínica electrónica, sistemas de imagen médica, plataformas de citación— manejan datos de salud especialmente sensibles, lo que generalmente sitúa la dimensión de confidencialidad en nivel medio o alto.
Para un ISV que sirve a los hospitales Clínico Universitario o Río Hortega, la acreditación ante Sacyl requiere habitualmente certificación emitida por una entidad acreditada por ENAC —no basta la declaración autoevaluada en esa categoría—. El proceso incluye categorización formal de los sistemas, análisis de riesgos, implantación de medidas y auditoría de conformidad bienal. Puedo acompañarte en cada una de esas fases y dejarte listo el expediente antes de la auditoría.
¿Hace falta desplazamiento a Valladolid o se puede hacer el análisis de riesgos a distancia?+
Aquí está la diferencia principal con el resto de consultores del clúster: tengo despacho en Valladolid y el desplazamiento para reuniones presenciales no tiene coste adicional. Si tu empresa está en la capital, en el Parque Tecnológico de Boecillo o en cualquier punto de la provincia, podemos empezar con una reunión en tu sede esta misma semana.
Dicho esto, la mayor parte del análisis de riesgos —revisión documental, entrevistas con el equipo técnico, categorización de sistemas— se puede hacer perfectamente en remoto mediante videollamada y trabajo colaborativo sobre documentos compartidos. La presencia física es especialmente útil en la fase de inventario de activos cuando hay infraestructura en local que no está totalmente documentada, y en la revisión del expediente antes de la auditoría de conformidad. Si prefieres un modelo completamente remoto, también funciona.
¿Qué exige la Universidad de Valladolid a los proveedores TIC que alojan infraestructura o SaaS académico?+
La Universidad de Valladolid, como institución pública universitaria, está plenamente sujeta al ENS conforme al RD 311/2022. Sus pliegos de contratación de servicios cloud, infraestructura de red y plataformas de administración electrónica incluyen con creciente regularidad la conformidad ENS como requisito de solvencia técnica.
En la práctica, los proveedores que alojan sistemas de la UVa —expedientes académicos, plataformas de enseñanza, administración electrónica del campus Miguel Delibes— suelen necesitar acreditar categoría básica como mínimo. Si el sistema gestiona datos especialmente sensibles o tiene alta dependencia operativa para la actividad universitaria, la categoría puede subir a media. Te recomiendo consultar el perfil del contratante de la UVa en la Plataforma de Contratación del Sector Público para revisar los pliegos vigentes y ver qué nivel se exige en el contrato concreto que te interesa. La guía del proceso de adecuación te da el contexto completo.
¿En cuánto tiempo se obtiene una declaración de conformidad ENS categoría básica para una pyme de Valladolid?+
Para una pyme de Valladolid en categoría básica con un alcance de uno o dos sistemas de información, el proceso completo —desde el análisis GAP hasta la declaración de conformidad firmada— suele completarse en un plazo de ocho a doce semanas, asumiendo que el equipo de la empresa puede dedicar el tiempo necesario a las sesiones de trabajo y a la revisión de documentación.
El factor que más alarga el proceso no suele ser la complejidad normativa, sino la disponibilidad interna del equipo técnico para las entrevistas y la implantación de medidas. Si la empresa ya tiene cierto nivel de madurez en seguridad —copias de seguridad documentadas, control de accesos formalizado, política de contraseñas vigente—, el recorrido puede ser más corto. Si partes de cero en documentación, conviene contar con tres meses como margen. En la primera llamada podemos estimar el plazo concreto para tu situación.
¿El ENS que exige la Junta de Castilla y León es compatible con la ISO 27001 que ya tenemos implantada?+
Son marcos con una superposición significativa, y si tu empresa ya tiene implantada la ISO 27001, ese trabajo acelera la adecuación al ENS de forma notable. La política de seguridad, el análisis de riesgos, la declaración de aplicabilidad y las evidencias de controles organizativos son elementos que se reutilizan —con las adaptaciones necesarias a la terminología y estructura del Anexo II del RD 311/2022—.
La diferencia principal es que la ISO 27001 es voluntaria e internacional, mientras que el ENS es obligatorio para quien trabaja con la Administración pública española. Para licitar con la Junta de Castilla y León, la ADE o el Ayuntamiento de Valladolid, lo que el pliego exige es la conformidad con el ENS, no la certificación ISO. Aun así, tener las dos acreditaciones simultáneamente refuerza tu propuesta comercial y abre puertas tanto en el sector público como en el privado.
Capitales vecinas de CyL · Guías y pillar ENS
Consultoría ENS en otras provincias y recursos clave.
Reserva una primera videollamada gratuita —o una reunión presencial en tu oficina de Valladolid, sin coste de desplazamiento— para revisar el alcance de tus sistemas, estimar la categoría ENS que previsiblemente te corresponde y entender qué pliego o contrato tienes en el horizonte. Si veo que puedo ayudarte, te preparo una propuesta cerrada. Si no encajamos, te llevas igualmente una orientación clara sobre cómo arrancar.
Si necesitas la mirada completa a nivel autonómico, consulta la página de Consultor ENS en Castilla y León: órganos regionales, hospitales de referencia, universidades públicas y pliegos marco.
