Me llamo Ángel Ortega Castro y trabajo como consultor ENS independiente, con sede en Valladolid y en Las Palmas de Gran Canaria: llevo proyectos en remoto con empresas de cualquier punto de España y me desplazo en persona cuando el proyecto lo pide. Acompaño a empresas de Zamora y su provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Ayuntamiento de Zamora, la Diputación de Zamora, la Delegación Territorial de la Junta de Castilla y León o el Centro Asociado de la UNED sin quedar excluidas de los pliegos.
Zamora no es la sede del Gobierno de Castilla y León —esa condición corresponde a Valladolid—, pero es una de las nueve capitales de provincia de la comunidad autónoma y sostiene su propio ecosistema de administración pública y tecnología. Es la ciudad con mayor número y calidad de templos románicos de Europa —23 en el término municipal, 14 en el casco histórico— y su Semana Santa, con origen en el siglo XIII, es la única de España que reúne a la vez la declaración de Bien de Interés Cultural y de Fiesta de Interés Turístico Internacional, con 17 cofradías y más de 40 pasos procesionales recorriendo cada año el casco antiguo. Junto a ese perfil patrimonial y turístico conviven organismos públicos con obligaciones de ciberseguridad muy concretas: el Ayuntamiento de Zamora, la Diputación de Zamora —con sede electrónica propia y servicios de administración electrónica para los municipios de la provincia—, la Delegación Territorial única de la Junta de Castilla y León en Zamora, con sede en la calle Leopoldo Alas Clarín y servicios territoriales de Hacienda, Sanidad y otras materias, y el Centro Asociado de la UNED en Zamora, activo desde principios de los años noventa en el Colegio Universitario y gestionado en consorcio por la Diputación de Zamora, el Ayuntamiento de Zamora y la propia UNED.
A este ecosistema institucional se suma un tejido empresarial de más de 10.400 empresas registradas en la provincia, con la industria agroalimentaria como motor económico principal: la fabricación de piensos y alimentación animal, el comercio de ganado vivo y, sobre todo, la industria quesera —empresas como Quesos del Duero, Quesos El Pastor, Lácteas Cobreros, Leche Gaza o Moralejo Selección— concentran buena parte de la facturación provincial. En la propia capital, el Polígono Industrial de Los Llanos es el principal motor económico de la ciudad y aloja, junto a empresas industriales y logísticas, un grupo creciente de compañías de ingeniería y sistemas informáticos que impulsan la digitalización del propio polígono. Alrededor de esta actividad conviven proveedores de servicios TIC, integradores y consultoras que, además de sus clientes privados, prestan servicios digitales a la Administración local y autonómica.
Para todas estas empresas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los servicios territoriales de Hacienda, Sanidad y el resto de áreas de la Delegación Territorial de la Junta de Castilla y León en Zamora exigen conformidad con el ENS a sus proveedores TIC.
El Ayuntamiento de Zamora y la Diputación de Zamora incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
El Centro Asociado de la UNED en Zamora, gestionado en consorcio por la Diputación, el Ayuntamiento y la UNED, está sujeto al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial ante la Administración castellanoleonesa.
Antes de dar el primer paso conviene tener claro el marco completo: puedes repasarlo con calma en la guía ENS completa y ver qué incluye exactamente el servicio de consultoría ENS para empresas.
Quedarte fuera de un pliego zamorano rara vez es cuestión de precio: casi siempre es que el proveedor no acredita el ENS. La norma obliga a todo el sector público y, por relación contractual, a cualquier empresa privada que le preste servicios — y en Zamora ese círculo alcanza a un número considerable de negocios de la capital y de la provincia.
En la práctica, esto es a quién veo llegar con esta necesidad:
El plazo transitorio ya se agotó: la disposición transitoria única del RD 311/2022 dio 24 meses para adecuar los sistemas preexistentes, y ese margen terminó el 5 de mayo de 2024. Los sistemas nuevos, o los que hayan sufrido cambios significativos, deben cumplir desde el primer día de funcionamiento. Si tu empresa todavía no ha empezado, cada licitación que aparece en el perfil del contratante zamorano es una oportunidad menos hasta que la conformidad esté cerrada.
Un pliego zamorano no perdona una declaración de conformidad floja o mal argumentada, así que trabajo siguiendo el orden que marcan las guías CCN-STIC: del diagnóstico inicial hasta la preparación de la auditoría o de la declaración. La meta es entregarte, paso a paso, la documentación sólida que necesitarás mostrar ante el Ayuntamiento de Zamora, la Diputación de Zamora, la Delegación Territorial de la Junta de Castilla y León o cualquier otro organismo contratante de la provincia.
| Fase | Qué hacemos | Referencia y entregable |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Comparo tu situación actual con lo que exige el ENS y delimito el alcance: qué sistemas de información quedan dentro del proyecto. | Un informe que mide la distancia real hasta el cumplimiento y ordena las brechas por prioridad. |
| Fase 02 Categorización | Valoro cada sistema en las cinco dimensiones de seguridad —CIDAT— y de ahí sale la categoría: básica, media o alta. | Conforme al Anexo I del ENS. Este resultado fija el nivel de exigencia y la vía de conformidad que te corresponde. |
| Fase 03 Análisis de riesgos | Con la metodología MAGERIT, identifico activos, amenazas y las salvaguardas que ya tienes o que te faltan. | Informe de análisis de riesgos, con su plan de tratamiento correspondiente. |
| Fase 04 Plan de adecuación + DdA | Redacto la política de seguridad, selecciono las medidas aplicables y justifico cada control en la Declaración de Aplicabilidad (DdA). | Siguiendo la guía CCN-STIC 806: plan de adecuación más declaración de conformidad. |
| Fase 05 Implantación | Desplegamos juntos las medidas del Anexo II —marco organizativo, operacional y de protección—, acompañando a tu equipo en cada paso. | Evidencias de implantación, medida por medida, ya preparadas para la auditoría. |
| Fase 06 Conformidad final | Revisión previa completa. Si tu categoría es básica, te ayudo con la declaración autoevaluada; si es media o alta, te acompaño durante la auditoría de la entidad acreditada. | Conforme al Anexo III. Yo preparo el terreno para la conformidad; la certificación en categoría media o alta la firma un tercero acreditado por ENAC. |
Nadie asigna la categoría de un sistema a ojo, y tampoco deberías dejar que te la asignen así en Zamora: se calcula midiendo el impacto de un incidente sobre las cinco dimensiones de seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT)—, y la categoría final la marca la dimensión que alcance el nivel más alto.
Se aplica cuando un incidente solo causaría un perjuicio limitado a las funciones, los activos o las personas de la organización. Es la categoría que más veces encuentro entre proveedores de servicios auxiliares.
Aquí un incidente supondría un perjuicio grave, porque al menos una dimensión llega al nivel medio. Es habitual en sistemas de gestión administrativa o en los que tratan datos sensibles.
La más exigente: aquí un incidente causaría un perjuicio muy grave, a veces irreparable, porque alguna dimensión llega al nivel alto. Es propia de sistemas críticos o con datos especialmente sensibles.
Si tu sistema es de categoría básica, acreditas la conformidad con una declaración de conformidad autoevaluada: es tu propia organización la que verifica el cumplimiento siguiendo las guías CCN-STIC. Mi trabajo es dejarte la documentación y las evidencias tan sólidas que resistan cualquier revisión posterior del organismo contratante.
En categoría media o alta el camino cambia: la conformidad exige una certificación emitida por una entidad acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065:2012. Mi papel es prepararte para superarla con garantías; quien certifica siempre es la entidad acreditada, nunca el consultor.
Un informe que acaba en un cajón no te ayuda a ganar un concurso en Zamora. Por eso entrego el cuerpo documental y técnico completo que sostiene la conformidad — el mismo que el auditor, la Delegación Territorial de la Junta de Castilla y León, el Ayuntamiento de Zamora o cualquier otro organismo contratante va a pedir ver en el expediente de licitación.
Me llamo Ángel Ortega Castro y soy consultor independiente especializado en cumplimiento normativo y seguridad de la información. Trabajo con base en Valladolid y Las Palmas: en remoto con empresas de toda España, y en persona cuando el proyecto lo pide —también en Zamora y en el resto de Castilla y León—. Los tiempos, los pliegos y las exigencias habituales de organismos como el Ayuntamiento de Zamora, la Diputación de Zamora, la Delegación Territorial de la Junta de Castilla y León en Zamora o el Centro Asociado de la UNED en Zamora forman parte de mi día a día en la contratación pública castellanoleonesa.
Acompaño de verdad, persona a persona: no entrego un manual y desaparezco. Estoy a tu lado en cada fase, convierto la norma en decisiones concretas, y cuando el proyecto termina tu equipo se queda con la capacidad de mantener la conformidad por sí mismo.
Soy claro sobre los límites de mi trabajo: preparo y adecúo tu organización hasta la conformidad; la certificación en categorías media o alta la emite siempre una entidad acreditada por ENAC, nunca yo. Esa honestidad, sumada al rigor sobre la norma vigente (RD 311/2022, sus Anexos I-IV y las guías CCN-STIC), es lo que me diferencia de las consultoras genéricas.
Integradoras o consultoras que dan soporte a la sede electrónica del Ayuntamiento de Zamora o de la Diputación de Zamora —incluido su proyecto de correo corporativo y colaboración en la nube para los municipios de la provincia— y necesitan acreditar conformidad con el ENS para renovar o ampliar esos contratos. Suelen estar en categoría básica o media.
Empresas tecnológicas de la ciudad que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Delegación Territorial de la Junta de Castilla y León en Zamora o al Centro Asociado de la UNED, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Empresas instaladas en el Polígono Industrial de Los Llanos o proveedoras de la industria agroalimentaria y quesera zamorana que, además de sus clientes privados, quieren ampliar su cartera hacia el Ayuntamiento de Zamora o la Diputación. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en esos pliegos.
Quien te dé una cifra cerrada sin conocer tu caso te está adivinando, no presupuestando. Lo que sí determina la inversión es el alcance —cuántos sistemas entran en el proyecto—, la categoría que te toque —básica, media o alta—, tu madurez de partida y si necesitas certificación acreditada o te basta con la declaración de conformidad.
En categoría media o alta hay que sumar, además de mis honorarios, el coste de la entidad certificadora acreditada por ENAC: es una factura independiente que emite directamente el tercero que realiza la auditoría de conformidad.
Sí. El Ayuntamiento de Zamora, como entidad local, está sujeto al ENS por el RD 311/2022 y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Si tu empresa presta o aspira a prestar servicios digitales al Consistorio o a sus organismos dependientes, la conformidad con el Esquema Nacional de Seguridad es un requisito de solvencia técnica que sus pliegos ya recogen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Diputación de Zamora presta servicios de administración electrónica a los 248 municipios de la provincia a través de su sede electrónica, y en los últimos años ha impulsado un proyecto de correo corporativo y colaboración en la nube para ayuntamientos y entidades locales, financiado con fondos europeos NextGenerationEU. Como entidad local sujeta al ENS, puede exigir a sus proveedores de servicios TIC que acrediten conformidad con el RD 311/2022, especialmente en los contratos de gestión de expedientes, sede electrónica y servicios en la nube que presta a los municipios de la provincia.
Sí. El Centro Asociado de la UNED en Zamora es una institución pública universitaria, gestionada en consorcio por la Diputación de Zamora, el Ayuntamiento de Zamora y la UNED, que gestiona sistemas de información sensibles —expedientes académicos, sede electrónica, gestión de matrícula—. Como entidad del sector público, está sujeta al RD 311/2022 y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de sus sistemas de información.
Sí. Aunque la sede del Gobierno de Castilla y León está en Valladolid, la Junta mantiene en Zamora una Delegación Territorial única —con sede en la calle Leopoldo Alas Clarín— que agrupa servicios territoriales como el de Hacienda, Sanidad y otras materias. Cualquier proveedor TIC que preste servicios digitales a estos servicios territoriales debe acreditar conformidad con el RD 311/2022, con independencia de dónde tenga la sede su empresa.
Sí, si tus sistemas prestan servicio a una administración pública o a un organismo del sector público. El Polígono Industrial de Los Llanos y la industria agroalimentaria y quesera zamorana emplean sobre todo a proveedores privados, pero también a empresas TIC que en muchos casos trabajan para el Ayuntamiento de Zamora o la Diputación. Si tu empresa está en alguno de estos entornos y presta servicios al sector público, el ENS te aplica igual que a cualquier otro proveedor TIC.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Ayuntamiento de Zamora, la Diputación de Zamora o la Delegación Territorial de la Junta de Castilla y León, lo que el pliego exige es el ENS.
Empezamos con una primera videollamada, sin coste ni compromiso, en la que repasamos el alcance de tus sistemas, estimamos la categoría que previsiblemente te corresponde y el tipo de contrato público que persigues. Si encajamos, te llevas una propuesta cerrada; si no encajamos, te llevas igualmente una orientación clara para arrancar por tu cuenta.