Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con base en Valladolid y Las Palmas y clientes en toda España en remoto —y de forma presencial en Vitoria-Gasteiz cuando el proyecto lo pide—. Ayudo a empresas de la ciudad y de toda Álava a lograr la adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar con el Gobierno Vasco (Eusko Jaurlaritza), el Ayuntamiento de Vitoria-Gasteiz, la Diputación Foral de Álava o la UPV/EHU sin quedarse fuera de los pliegos por incumplimiento.
Vitoria-Gasteiz no es una ciudad cualquiera dentro del mapa de la contratación pública vasca. Es la capital de la Comunidad Autónoma del País Vasco desde 1980 y la sede del Gobierno Vasco (Eusko Jaurlaritza), con sus departamentos, viceconsejerías y organismos autónomos concentrados en la ciudad. Eso significa que en Vitoria-Gasteiz se localiza una parte muy significativa de la demanda de servicios digitales del sector público vasco: desde el mantenimiento de los sistemas de información de los distintos departamentos hasta el soporte de las plataformas de administración electrónica que utiliza toda la red de organismos autonómicos.
A la sede del Gobierno Vasco se suma la Diputación Foral de Álava, con sede también en la capital: a diferencia de una diputación provincial ordinaria, la Diputación Foral ejerce competencias fiscales propias en virtud del Concierto Económico vasco y gestiona sus propios sistemas de recaudación y de administración electrónica. Se suman además el Ayuntamiento de Vitoria-Gasteiz, con una agenda activa de transformación digital que se traduce en licitaciones de software, conectividad y ciberseguridad; y la Universidad del País Vasco / Euskal Herriko Unibertsitatea (UPV/EHU), cuyo Campus de Álava —con la Escuela de Ingeniería de Vitoria-Gasteiz, la Facultad de Farmacia, la Facultad de Economía y Empresa, la Facultad de Educación y Deporte y la Facultad de Letras, entre otras— gestiona expedientes académicos y plataformas de administración electrónica sujetos al mismo marco normativo que cualquier otra entidad del sector público.
Alrededor de este entramado institucional se ha desarrollado un ecosistema TIC propio: el Parque Tecnológico de Álava, en Miñano, a nueve kilómetros de la capital, reúne alrededor de 150 empresas de tecnologías de la información, ciberseguridad, salud y biociencias, energía y medioambiente, y aeronáutica, y alberga el Centro Vasco de Ciberseguridad (Basque Cybersecurity Centre), con compañías especializadas como Globe Testing, Encriptia o Eurocybcar. A ese tejido tecnológico se añade una base industrial potente —Vitoria-Gasteiz concentra en torno al 11,5 % del PIB vasco, con la planta de Mercedes-Benz (furgonetas Vito, Clase V y modelos eléctricos EQV y eVito) y la fábrica de neumáticos de Michelin como referencias industriales— que también contrata servicios TIC y de mantenimiento con proveedores que, cuando trabajan además con la Administración, quedan alcanzados por el ENS.
El Esquema Nacional de Seguridad ya no es una opción para quien presta servicios TIC a este ecosistema: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación del Gobierno Vasco, la Diputación Foral de Álava o el Ayuntamiento de Vitoria-Gasteiz lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de los departamentos y organismos autónomos del Gobierno Vasco (Eusko Jaurlaritza), con sede en Vitoria-Gasteiz, exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
La Diputación Foral de Álava y el Ayuntamiento de Vitoria-Gasteiz incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad del País Vasco, con su Campus de Álava en la ciudad, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas TIC y de ciberseguridad de Miñano, en el entorno del Centro Vasco de Ciberseguridad, encuentran en la conformidad ENS un requisito de entrada a la contratación pública vasca.
Antes de arrancar el proyecto conviene tener claro el marco completo: te dejo la guía ENS completa y, si prefieres ver el servicio con todo el detalle, la ficha de consultoría ENS para empresas.
El Esquema Nacional de Seguridad alcanza a todas las administraciones públicas y, por extensión contractual, a las empresas privadas que trabajan para ellas. En Álava esa extensión llega a un número considerable de compañías locales, no solo a las grandes integradoras.
Estos son los perfiles con los que más me cruzo en la provincia:
El plazo de 24 meses que la disposición transitoria única del RD 311/2022 concedió para adecuar los sistemas ya existentes se cerró el 5 de mayo de 2024; los sistemas nuevos o con modificaciones sustanciales están obligados desde su puesta en marcha. Si tu empresa todavía no ha empezado, cada licitación que se publica en el perfil del contratante vasco es una ventana que se va cerrando: iniciar ahora marca la diferencia entre llegar con la documentación lista o quedarte fuera del pliego por falta de tiempo.
Trabajo siguiendo el orden que marcan las guías CCN-STIC: del diagnóstico inicial hasta dejar lista la declaración de conformidad o la auditoría. La meta es una conformidad ordenada, con la documentación que te pedirán el Gobierno Vasco, el Ayuntamiento de Vitoria-Gasteiz, la Diputación Foral de Álava o cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con las exigencias del ENS y delimito el alcance: qué sistemas de información entran en el proyecto. | Informe que cuantifica la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— para fijar su categoría: básica, media o alta. | Documento conforme al Anexo I del ENS, que fija el nivel de exigencia y la vía de conformidad que corresponde. |
| Fase 03 Análisis de riesgos | Identifico activos, amenazas y salvaguardas aplicando la metodología MAGERIT. | Informe de riesgos con su plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas y justifico cada control en la Declaración de Aplicabilidad (DdA). | Conforme a la guía CCN-STIC 806: plan de adecuación y declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección— con tu equipo acompañado en cada paso. | Evidencia documental de cada medida implantada, lista para presentarse a auditoría. |
| Fase 06 Conformidad final | Reviso todo antes del cierre: en categoría básica te ayudo con la declaración autoevaluada; en media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III: preparo el expediente de conformidad; la certificación media/alta la firma el tercero acreditado por ENAC. |
La categoría de un sistema no es una decisión subjetiva: resulta de valorar el impacto de un incidente en las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la dimensión que alcance el nivel más alto determina la categoría final.
Se aplica cuando un incidente tendría un perjuicio limitado sobre las funciones de la organización, sus activos o las personas afectadas. Es la categoría más habitual entre proveedores de servicios auxiliares y de soporte.
Aplica si un incidente supondría un perjuicio grave, porque alguna dimensión de seguridad llega al nivel medio. Es frecuente en sistemas de gestión administrativa o que tratan datos sensibles.
Corresponde a sistemas donde un incidente causaría un perjuicio muy grave, a veces irreparable, porque alguna dimensión llega al nivel alto. Es propio de sistemas críticos o con información especialmente sensible.
En categoría básica basta con una declaración de conformidad autoevaluada: es la propia organización quien verifica su cumplimiento siguiendo las guías CCN-STIC. Preparo contigo la documentación y las evidencias para que esa declaración aguante cualquier revisión del organismo contratante, sea el Gobierno Vasco, la Diputación Foral de Álava o el Ayuntamiento.
En categoría media o alta hace falta certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi trabajo es dejarte preparado para superarla con garantías; quien emite la certificación es la entidad acreditada, nunca el consultor que te acompaña.
No entrego un PDF que se queda cerrado en un cajón. Te dejo el cuerpo documental y técnico que sostiene la conformidad: lo mismo que pedirá el auditor, el Gobierno Vasco, el Ayuntamiento de Vitoria-Gasteiz, la Diputación Foral de Álava o cualquier otro organismo contratante dentro del expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente de cumplimiento normativo y seguridad de la información. Opero desde Valladolid y Las Palmas para clientes de toda España, y combino el trabajo en remoto con visitas presenciales a Vitoria-Gasteiz cuando el proyecto lo pide. He seguido de cerca cómo licita el sector público vasco —sus tiempos, sus pliegos, lo que exigen de forma habitual organismos como el Gobierno Vasco (Eusko Jaurlaritza), la Diputación Foral de Álava, el Ayuntamiento de Vitoria-Gasteiz y la UPV/EHU.
Trabajo codo con codo, sin desaparecer tras la primera reunión: te acompaño en cada fase, convierto la norma en decisiones prácticas y dejo a tu equipo capacitado para sostener la conformidad cuando el proyecto termine.
Soy claro sobre los límites de mi papel: preparo y adecúo a tu organización, pero la certificación en categoría media o alta la firma una entidad acreditada por ENAC, no yo. Esa claridad, sumada al rigor con la norma vigente —RD 311/2022, Anexos I-IV y guías CCN-STIC—, es lo que me diferencia de una consultora genérica.
Integradoras o desarrolladoras de software que tienen contratos con departamentos del Gobierno Vasco o con organismos autónomos como Osakidetza, y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el Parque Tecnológico de Álava, en el entorno del Centro Vasco de Ciberseguridad, que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Diputación Foral de Álava, el Ayuntamiento de Vitoria-Gasteiz o la UPV/EHU, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Vitoria-Gasteiz o Álava que hasta ahora han trabajado en el sector privado —incluida la cadena de proveedores TIC del tejido industrial de la ciudad— y quieren ampliar su cartera hacia la Administración. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una tarifa fija, y yo desconfiaría de cualquiera que te diera un número sin conocer tu caso. Lo que pagues depende del alcance —cuántos sistemas entran en juego—, de la categoría —básica, media o alta—, de tu madurez de partida y de si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categorías media o alta hay que sumar, aparte de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: ese importe lo factura directamente el tercero que realiza la auditoría de conformidad, y es independiente de mi consultoría.
Sí. El Gobierno Vasco, como administración autonómica con sede en Vitoria-Gasteiz desde 1980, está plenamente sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de sus departamentos u organismos autónomos —como Osakidetza—, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí, con una particularidad propia del territorio: al ser una diputación foral —no una diputación provincial ordinaria—, la Diputación Foral de Álava ejerce competencias fiscales propias en virtud del Concierto Económico vasco y gestiona sus propios sistemas de recaudación y de administración electrónica. Esa singularidad no la exime del ENS: como entidad del sector público, debe cumplir el RD 311/2022 y puede requerir a sus proveedores TIC que acrediten conformidad, especialmente en contratos que implican acceso a sus sistemas de información.
Sí. El Ayuntamiento de Vitoria-Gasteiz es una entidad local sujeta al ENS por el RD 311/2022 y puede incluir la conformidad como requisito de solvencia técnica en sus licitaciones TIC. La Universidad del País Vasco (UPV/EHU), con su Campus de Álava en la ciudad —Escuela de Ingeniería, Facultad de Farmacia, Facultad de Economía y Empresa, entre otras—, es una institución pública universitaria que gestiona sistemas sensibles y traslada el mismo requisito a sus proveedores de servicios TIC.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría se determina valorando las cinco dimensiones de seguridad (CIDAT) conforme al Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o de software de gestión que trabajan con el Gobierno Vasco, el Ayuntamiento de Vitoria-Gasteiz o la Diputación Foral de Álava se sitúan en categoría básica, con declaración de conformidad autoevaluada.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarte a un concurso del Gobierno Vasco, el Ayuntamiento de Vitoria-Gasteiz o la Diputación Foral de Álava te permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. El proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; la ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno Vasco, el Ayuntamiento de Vitoria-Gasteiz o la Diputación Foral de Álava, lo que el pliego exige es el ENS.
La primera conversación no tiene coste ni compromiso: repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de contratación pública al que aspiras. Si veo que encajamos, te llevas una propuesta cerrada; si no es el momento, sales con una hoja de ruta clara para arrancar por tu cuenta.