Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con sede en Valladolid y en Las Palmas de Gran Canaria: atiendo en remoto a empresas de toda España y me desplazo de forma presencial cuando el proyecto lo pide. Aquí en Valladolid ayudo a empresas de la ciudad y la provincia con su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con la Junta de Castilla y León, el Ayuntamiento, la Diputación o la UVa sin quedar excluidas de los pliegos.
Valladolid no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es la capital de Castilla y León y la sede de la Junta de Castilla y León, el mayor gobierno autonómico del país por superficie. Eso significa que en la ciudad se localiza una parte muy significativa de la demanda de servicios digitales del sector público castellanoleonés: desde el mantenimiento de los sistemas de información de las distintas consejerías hasta el soporte de plataformas de administración electrónica utilizadas por toda la red de organismos autonómicos.
A la Junta de Castilla y León se suman tres grandes organismos contratantes de base local: la Diputación Provincial de Valladolid, que gestiona servicios digitales para los municipios de la provincia; el Ayuntamiento de Valladolid, con una agenda de transformación digital activa que se plasma en licitaciones de software, conectividad y ciberseguridad; y la Universidad de Valladolid (UVa), que como institución pública universitaria opera sistemas sensibles —expedientes académicos, plataformas de investigación, administración electrónica propia— y tiene la misma obligación de cumplir el ENS que cualquier otra entidad del sector público.
Alrededor de este ecosistema de administraciones se ha desarrollado un tejido de empresas TIC —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabajan o aspiran a trabajar con alguno de estos organismos. Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías y organismos dependientes de la Junta de Castilla y León exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Valladolid y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Valladolid, con sus campus en Valladolid, Palencia, Soria y Segovia, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de dar el paso conviene tener claro el marco completo: la guía ENS completa explica los fundamentos del Esquema, y el servicio de consultoría ENS para empresas detalla cómo trabajo la adecuación paso a paso.
El Esquema Nacional de Seguridad no se detiene en la puerta de las administraciones: llega hasta las empresas privadas que trabajan para ellas por contrato. En Valladolid y su provincia ese perímetro incluye a bastantes más compañías de las que uno imagina a primera vista.
Con los años he ido reconociendo un patrón entre quienes me llaman desde la provincia: casi siempre encajan en uno de estos cinco perfiles.
La disposición transitoria única del RD 311/2022 concedió 24 meses para poner al día los sistemas ya existentes, un plazo que venció el 5 de mayo de 2024; los sistemas nuevos, o los que sufrieron cambios de calado, debían cumplir desde el primer día de funcionamiento. Para quien todavía no haya arrancado el proceso, cada licitación publicada en el perfil del contratante es un aviso de que el margen se agota.
Sigo el recorrido que marcan las guías CCN-STIC, desde el primer diagnóstico hasta cerrar la declaración de conformidad o la auditoría que corresponda. El objetivo final es entregar una documentación tan sólida que aguante cualquier revisión, ya venga de la Junta de Castilla y León, del Ayuntamiento de Valladolid o de cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Empiezo confrontando tu situación real con las exigencias del ENS y acoto el alcance: fijo qué sistemas de información entran en el proyecto y cuáles quedan fuera. | Un informe que mide con precisión la distancia hasta el cumplimiento y jerarquiza las carencias detectadas. |
| Fase 02 Categorización | Someto cada sistema a las cinco dimensiones —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— y de esa valoración sale la categoría que le toca: básica, media o alta. | Queda todo por escrito según el Anexo I del ENS, marcando el nivel de exigencia y la vía de conformidad aplicable. |
| Fase 03 Análisis de riesgos | Mapeo activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. | Entrego el informe de análisis de riesgos junto con su plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Escribo la política de seguridad, decido qué medidas encajan y construyo la Declaración de Aplicabilidad (DdA), argumentando control por control por qué se aplica. | Con la guía CCN-STIC 806 como referencia, obtienes el plan de adecuación y la declaración de conformidad. |
| Fase 05 Implantación | Ponemos en marcha las medidas del Anexo II —organizativas, operacionales y de protección— y acompaño a tu equipo en cada paso del despliegue. | Recopilo la evidencia de implantación medida por medida, lista para aguantar una auditoría. |
| Fase 06 Conformidad final | Hago una última revisión de conjunto: si la categoría es básica, respaldo la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Según marca el Anexo III: yo te dejo la conformidad lista para presentar, pero quien firma la certificación en categoría media o alta es siempre un tercero acreditado por ENAC. |
Determinar la categoría de un sistema no es cuestión de gusto: se obtiene evaluando qué ocurriría en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)— si algo fallara, y la categoría final la marca siempre la dimensión que registre el nivel más elevado.
Corresponde a los casos en que un incidente causaría un daño limitado a las funciones de la organización, a sus activos o a las personas. La encuentro constantemente entre los proveedores de servicios auxiliares.
Entra en juego cuando el incidente provocaría un daño grave, porque una de las dimensiones alcanza el nivel medio. La veo con frecuencia en sistemas de gestión administrativa o en los que se manejan datos sensibles.
Se reserva para los casos en que el incidente causaría un daño muy grave, a veces irreparable, porque alguna dimensión toca el nivel alto. Es propia de sistemas críticos o de información especialmente delicada.
Para la categoría básica basta con una declaración de conformidad autoevaluada: la propia organización comprueba su cumplimiento apoyándose en las guías CCN-STIC. Mi papel consiste en dejarte lista la documentación y las evidencias para que esa declaración resista cualquier revisión, venga de la Junta de Castilla y León, del Ayuntamiento de Valladolid o de cualquier otro organismo contratante.
En las categorías media y alta, la conformidad solo se acredita con certificación de una entidad acreditada por ENAC, según la norma UNE-EN ISO/IEC 17065:2012. Preparo contigo el expediente y las evidencias para llegar a esa auditoría con garantías; ahora bien, quien firma la certificación es siempre la entidad acreditada, jamás el consultor.
Nada de un PDF decorativo destinado a un cajón. Te entrego el conjunto documental y técnico íntegro que respalda la conformidad, el mismo que pedirá ver el auditor, la Junta de Castilla y León, el Ayuntamiento de Valladolid o cualquier otro organismo contratante dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y trabajo como consultor independiente desde Valladolid, especializado en cumplimiento normativo y seguridad de la información. He recorrido de cerca la licitación pública de Castilla y León —sus plazos, sus pliegos, lo que suelen pedir organismos como la Junta de Castilla y León, la Diputación Provincial de Valladolid, el Ayuntamiento y la UVa—.
Trabajo con un acompañamiento real, de persona a persona: no entrego un manual y desaparezco. Estoy contigo en cada fase, convierto la norma en decisiones concretas y me aseguro de que tu equipo quede capacitado para sostener la conformidad cuando el proyecto termine.
Soy claro sobre lo que hago y lo que no: preparo y adecúo tu organización hasta dejarla lista para la conformidad, pero la certificación en categoría media o alta la firma siempre una entidad acreditada por ENAC, no yo. Esa honestidad, sumada al rigor con la norma vigente —RD 311/2022, sus Anexos I-IV y las guías CCN-STIC—, es lo que me diferencia de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con la Junta de Castilla y León o sus organismos dependientes y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el Parque Tecnológico de Boecillo o en la capital que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Diputación Provincial, el Ayuntamiento de Valladolid o la UVa, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Valladolid o provincia que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia la Administración. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa cerrada de antemano, y yo desconfiaría de quien te la ofrezca sin conocer tu caso. Lo que pagas depende del alcance —cuántos sistemas entran en juego—, de la categoría que te corresponda —básica, media o alta—, de tu punto de partida en materia de seguridad, y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categoría media o alta hay que añadir, aparte de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: lo factura directamente ese tercero independiente que realiza la auditoría de conformidad.
Sí. La Junta de Castilla y León, como administración autonómica, está plenamente sujeta al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus consejerías u organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Valladolid (UVa) es una institución pública universitaria que gestiona sistemas de información sujetos al ENS —expedientes académicos, plataformas de administración electrónica, sistemas de investigación—. Como entidad del sector público, debe cumplir el RD 311/2022 y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de los sistemas de información universitarios.
Sí. Tanto el Ayuntamiento de Valladolid como la Diputación Provincial son entidades locales sujetas al ENS por el RD 311/2022. Pueden —y cada vez lo hacen con mayor frecuencia— incluir la conformidad con el ENS como requisito de solvencia técnica en sus licitaciones TIC. Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvises. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con la Junta de Castilla y León o el Ayuntamiento de Valladolid, lo que el pliego exige es el ENS.
Reservamos una primera videollamada gratuita y sin compromiso para revisar el alcance de tus sistemas, estimar la categoría del ENS que previsiblemente te corresponde y entender qué tipo de contratación buscas. Si veo que puedo ayudarte, te preparo una propuesta cerrada; si no encajamos, te llevas igualmente una orientación clara para arrancar por tu cuenta.