Consultor ENS en Vitoria-Gasteiz

El Gobierno Vasco y el Parlamento Vasco tienen aquí su sede. El ENS también.

Vitoria-Gasteiz ocupa un lugar que no tiene ninguna otra ciudad del País Vasco: es la sede oficial del Gobierno Vasco / Eusko Jaurlaritza —con sus departamentos concentrados en el complejo administrativo de Lakua, al norte de la ciudad— y del Parlamento Vasco / Eusko Legebiltzarra, cuya sede está en el Palacio de la Villa de Gasteiz. El Departamento de Gobernanza Pública y Autogobierno, que dirige la política de administración electrónica y de seguridad de la información de toda la CAPV, tiene su gabinete en esta misma ciudad. Eso convierte a Vitoria-Gasteiz en el nudo desde el que se generan las decisiones normativas y tecnológicas que afectan a todos los proveedores TIC del sector público vasco.

La diferencia fundamental respecto a Bilbao —que es la capital económica de la CAPV y la sede del tejido financiero e industrial— es que Vitoria-Gasteiz es la capital administrativa y legislativa: aquí están los ministerios autonómicos, el Parlamento y los organismos que dictan las políticas de digitalización, seguridad y compra pública. Para un proveedor TIC que quiere contratar directamente con los departamentos del Eusko Jaurlaritza, la demanda surge en Vitoria-Gasteiz con mayor intensidad que en ningún otro punto del territorio histórico. El Departamento de Salud, con sede aquí, coordina Osakidetza a nivel autonómico y establece los requisitos técnicos que los hospitales de todo el País Vasco trasladan a sus contratos.

A este entramado institucional se añade la Diputación Foral de Álava (Arabako Foru Aldundia), con su sede principal en el Palacio de la Provincia de Vitoria-Gasteiz. La Diputación Foral gestiona la Hacienda Foral de Álava —con competencias plenas sobre el IRPF, el IS y el IVA en el territorio histórico de Álava— y sus propios sistemas de administración electrónica, completamente independientes de los de las diputaciones forales de Bizkaia y Gipuzkoa. Eso genera una capa propia de licitaciones TIC con requisitos ENS específicos para este territorio. El Ayuntamiento de Vitoria-Gasteiz (Gasteizko Udala), que fue la primera ciudad española en obtener el Premio Capital Verde Europea de la Comisión Europea, tiene una agenda activa de digitalización que se traduce en contratos de software, conectividad y ciberseguridad con exigencias ENS crecientes.

En el plano sanitario, el Hospital Universitario Araba (HUA) —resultado de la fusión del Hospital de Txagorritxu y el Hospital Santiago— es el hospital de referencia de Osakidetza en el territorio alavés. Sus sistemas de historia clínica electrónica, imagen médica (PACS/RIS) y laboratorio clínico digital tratan datos de salud que elevan la categoría ENS a media de forma casi sistemática para los ISV que le prestan servicio. El HUA no es un hospital de la red de Bilbao: tiene su propio Servicio de Informática, sus propios pliegos y sus propios ritmos de contratación dentro de Osakidetza.

El ecosistema tecnológico alavés se completa con el Parque Tecnológico de Álava — Álava Innovación, conocido como Parque de Miñano por su ubicación en el municipio de Miñano Mayor, a nueve kilómetros del centro de Vitoria-Gasteiz. El Parque alberga alrededor de 150 empresas especializadas en tecnologías de la información, ciberseguridad, biociencias (con centros de investigación como CIC bioGUNE y CIC Nanogune), energía y aeronáutica. Aernnova, uno de los fabricantes aeronáuticos de mayor volumen en España, tiene aquí su central de ingeniería. Y la planta de Mercedes-Benz Vitoria (Vitoria Wagen), que fabrica las furgonetas Vito, Clase V y los modelos eléctricos EQV y eSprinter, es uno de los grandes empleadores industriales de la ciudad y contrata servicios TIC de soporte a procesos. Cuando cualquiera de estas empresas trabaja también con la Administración vasca, la conformidad ENS pasa a ser un requisito de solvencia técnica que no admite excepción.

El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo), no distingue entre la sede institucional de Vitoria-Gasteiz y el resto del territorio: obliga a toda la cadena de suministro de las administraciones sujetas al mismo. Pero la concentración de organismos contratantes en esta ciudad hace que, en la práctica, sea el principal punto de entrada para los proveedores TIC que quieren trabajar con el sector público de la CAPV. Iniciar el proceso de adecuación con antelación marca la diferencia entre presentarse a un pliego con la documentación lista o quedar fuera de él por falta de tiempo.

Si quieres repasar el marco normativo antes de seguir, la guía ENS completa te da el contexto general. Si ya tienes claro lo que necesitas, el servicio de consultoría ENS para empresas explica el proceso de principio a fin.

Tres tipos de expediente habituales en la contratación vasca desde Vitoria.

El portal KEJI — Contratación Pública en Euskadi es la fuente para localizar pliegos del Gobierno Vasco, la Diputación Foral de Álava y sus organismos dependientes. La peculiaridad de Vitoria-Gasteiz es que aquí se publican los contratos más estratégicos de la CAPV —los que afectan a la infraestructura central del Ejecutivo autonómico—, a menudo con la exigencia ENS más elevada del territorio vasco. La aduana principal del País Vasco tiene además su sede en Vitoria-Gasteiz, lo que añade un perfil de contratación estatal con sus propios requisitos de seguridad.

• Contratos de los departamentos del Gobierno Vasco con sede en Lakua (Vitoria-Gasteiz). El Departamento de Gobernanza Pública y Autogobierno y el Departamento de Salud —ambos radicados en Vitoria-Gasteiz— publican o instrumentan licitaciones de sistemas de administración electrónica, portales de servicios ciudadanos y plataformas de gestión sanitaria para toda la CAPV. A diferencia de los contratos instrumentados a través de EJIE desde Bilbao, estos expedientes los adjudica directamente el órgano de contratación del departamento, con sus propios pliegos y sus propios criterios de solvencia técnica. La conformidad ENS aparece con creciente frecuencia como requisito de acceso. Puedes consultar los expedientes activos en el perfil del contratante del Gobierno Vasco en KEJI, filtrando por departamento.
• Licitaciones del HUA (Hospital Universitario Araba) y de Osakidetza para sistemas sanitarios en Álava. El HUA publica sus propias licitaciones de mantenimiento de sistemas de historia clínica electrónica, imagen médica (PACS/RIS) y laboratorio clínico dentro de la red de Osakidetza, pero con un Servicio de Informática propio y plazos independientes de los hospitales de Bizkaia o Gipuzkoa. El tratamiento de datos de salud coloca sistemáticamente la categoría ENS en nivel medio, lo que exige certificación por entidad acreditada por ENAC. Sus expedientes están disponibles en KEJI bajo el órgano de contratación «Osakidetza — HUA». También pueden aparecer referencias en la Plataforma de Contratación del Sector Público para contratos que superen los umbrales europeos.
• Expedientes de la Diputación Foral de Álava para la Hacienda Foral y sus sistemas de gestión tributaria. La Hacienda Foral de Álava gestiona la recaudación del IRPF, el IS y el IVA en el territorio histórico de Álava con plena autonomía respecto a las haciendas forales de Bizkaia y Gipuzkoa. Sus sistemas de información tributaria tienen una criticidad muy alta y la categoría ENS resultante raramente baja de media. Además, la Diputación Foral de Álava tiene sus propios pliegos —distintos de los de las otras diputaciones forales vascas— con ritmos de convocatoria propios. Es decir, un proveedor que trabaje simultáneamente con la Hacienda Foral de Álava y con la de Bizkaia puede encontrarse con dos expedientes ENS ante dos organismos contratantes independientes, con calendarios distintos. Consulta los expedientes de la Diputación Foral de Álava en KEJI.

Si tu empresa ya está presente en alguno de estos expedientes o quiere entrar en ellos, el primer paso es un diagnóstico GAP que mida la distancia real entre tu situación actual y la conformidad que pide el pliego. La primera llamada es sin coste y sin compromiso.

El expediente documental que sostiene tu conformidad ante el Gobierno Vasco, el HUA y la Diputación Foral.

No entrego un dossier genérico adaptado con sustitución de nombres. Construyo el expediente técnico sobre tus sistemas, tu alcance y las particularidades de los organismos alaveses con los que trabajas. Los técnicos del Departamento de Gobernanza Pública, los responsables de contratación del HUA y los auditores ENAC detectan en pocos minutos un expediente fabricado en serie. Cada documento refleja tus decisiones concretas, tus evidencias reales y la argumentación que sostiene cada medida del Anexo II.

• Informe de diagnóstico (análisis GAP): cuantifica la distancia entre tu situación de partida y los requisitos del ENS, con especial atención a la delimitación de responsabilidades cuando hay infraestructura gestionada por el propio departamento del Gobierno Vasco.
• Documento de categorización: valoración de las cinco dimensiones CIDAT para cada sistema dentro del alcance, con la categoría resultante referenciada al Anexo I del RD 311/2022.
• Análisis de riesgos MAGERIT v3: inventario de activos, mapa de amenazas —incluyendo vectores específicos de OT/IT o de biotecnología en entornos del Parque de Miñano si aplica—, valoración del riesgo residual y plan de tratamiento.
• Política de seguridad de la información aprobada por dirección y la normativa derivada que el ENS exige como marco organizativo.
• Plan de adecuación conforme a CCN-STIC 806: calendario, responsables y criterios de aceptación para cada hito, con los plazos ajustados a las fechas del pliego o la licitación que persigues en Vitoria-Gasteiz o en el resto de Álava.
• Declaración de Aplicabilidad (DdA): justificación individualizada de cada medida del Anexo II —aplicable o excluida, y por qué—, con la coherencia interna que los auditores ENAC comprueban en primer lugar.
• Evidencias de implantación de las medidas organizativas, operacionales y de protección, organizadas y referenciadas para facilitar la revisión.
• Declaración de conformidad o expediente de auditoría ENAC según la categoría resultante, con revisión previa y acompañamiento hasta cerrar el proceso de conformidad.

Administración autonómica, industria de automoción, aeronáutica y biotecnología: cuatro sectores con demanda ENS específica.

Vitoria-Gasteiz tiene una estructura económica peculiar que no se da en ninguna otra capital vasca. La coexistencia de la sede del Gobierno Vasco —el mayor empleador público de la CAPV— con una base industrial de primer nivel convierte a la ciudad en un mercado donde la demanda de ENS viene tanto de la Administración como de las empresas que le proveen servicios TIC, lo que amplía el radio de alcance de la norma más allá del sector público estricto.

La planta de Mercedes-Benz Vitoria (Vitoria Wagen), una de las factorías de furgonetas más grandes de Europa y primera unidad productiva certificada con nivel Platinum por la VDA en el País Vasco, genera una demanda intensa de servicios TIC de integración de sistemas, mantenimiento de infraestructura industrial y conectividad. Cuando los proveedores de estos servicios trabajan también con organismos del sector público alavés —algo frecuente en un ecosistema industrial tan concentrado—, el ENS puede alcanzarles desde ese flanco contractual.

Aernnova, con su sede de ingeniería en Vitoria-Gasteiz y posición de primer nivel en la cadena de valor aeronáutica de Airbus y Boeing, opera en un entorno donde la seguridad de la información es un requisito estructural. Sus proveedores TIC de ingeniería, simulación o conectividad de red que también licitan con la Administración vasca pueden encontrarse con el ENS como requisito en un pliego, con la especificidad de que el mapa de amenazas en ese entorno incluye vectores de seguridad industrial propios del sector aeronáutico.

El clúster de investigación del Parque Tecnológico de Álava cuenta con CIC Nanogune y CIC bioGUNE, dos centros de investigación cooperativa de referencia en nanociencia y biociencias respectivamente. Sus sistemas de gestión de datos de investigación, propiedad intelectual y colaboraciones con administraciones públicas les sitúan en un escenario donde el ENS puede ser exigible cuando la financiación o la colaboración proviene de organismos del sector público vasco. La gestión correcta del alcance en estos entornos requiere distinguir entre los datos de investigación propios y los que forman parte de proyectos cofinanciados con fondos públicos.

La Aduana de Vitoria-Gasteiz, una de las más activas de España por su posición en la ruta de mercancías entre la Península y Europa, gestiona sistemas de información aduanera del Estado que, aunque no son contratos del sector público vasco, añaden un perfil de contratación estatal con sus propios requisitos de seguridad. Los proveedores TIC de servicios aduaneros que también trabajan con la Administración vasca deben comprobar si sus sistemas quedan dentro del ámbito de aplicación del ENS por esa vía.

El sector de servicios universitarios en el Campus de Álava de la UPV/EHU —con la Escuela de Ingeniería de Vitoria-Gasteiz, la Facultad de Farmacia, la Facultad de Letras, la Facultad de Educación y Deporte y la Facultad de Economía y Empresa— genera contratos de plataformas educativas, gestión de expedientes académicos y administración electrónica universitaria. La UPV/EHU es una institución pública universitaria sujeta al ENS, y sus pliegos de servicios TIC incorporan con creciente frecuencia la exigencia de conformidad ENS a sus proveedores.