Soy Ángel Ortega Castro, consultor ENS independiente con base en Valladolid y Las Palmas de Gran Canaria: trabajo en remoto con empresas de toda España y me desplazo de forma presencial cuando el proyecto lo requiere. En Zaragoza acompaño a empresas de la ciudad y de toda la provincia en su adecuación al Esquema Nacional de Seguridad (RD 311/2022) para que puedan licitar y trabajar con el Gobierno de Aragón, el Ayuntamiento de Zaragoza, la Diputación Provincial o la Universidad de Zaragoza sin quedar excluidas de los pliegos.
Zaragoza no es una ciudad cualquiera dentro del mapa de la contratación pública en España. Es la capital de Aragón y la sede del Gobierno de Aragón, con sus consejerías y organismos dependientes concentrados en la ciudad. El propio Gobierno de Aragón cuenta con un medio propio tecnológico, la Aragonesa de Servicios Telemáticos (AST), que presta los servicios TIC, de hosting y de conectividad a toda la Administración autonómica y que mantiene su propia certificación ENS en categoría alta: una referencia directa de hasta dónde llega la exigencia de seguridad que se traslada después a los proveedores privados que trabajan para el sector público aragonés.
A ese núcleo autonómico se suman otros grandes organismos contratantes de base local: el Ayuntamiento de Zaragoza, que ha puesto en marcha la estrategia de transformación digital Zityverse —con una inversión prevista de 70 millones de euros hasta 2030— y que incluye entre sus ejes explícitos el «gobierno de la seguridad y adecuación al Esquema Nacional de Seguridad» junto con la implantación de un Centro de Operaciones de Ciberseguridad (SOC); la Diputación Provincial de Zaragoza (DPZ), que gestiona servicios digitales para los municipios de la provincia; y la Universidad de Zaragoza, única universidad pública de Aragón, que opera a través de su Servicio de Informática y Comunicaciones (SICUZ) sistemas sensibles —expedientes académicos, investigación, administración electrónica propia— sujetos a la misma obligación de cumplir el ENS que cualquier otra entidad del sector público.
Alrededor de este ecosistema de administraciones se ha desarrollado un tejido de empresas TIC —integradoras, desarrolladoras de software, consultoras tecnológicas, proveedores de servicios gestionados— que trabajan o aspiran a trabajar con alguno de estos organismos, muchas de ellas instaladas en el entorno logístico e industrial de la ciudad (PLAZA, el eje de Malpica o los polígonos próximos a Figueruelas). Para todas ellas, el Esquema Nacional de Seguridad ya no es una opción: el Real Decreto 311/2022 (BOE-A-2022-7191, de 3 de mayo) extiende su obligación a la cadena de suministro, y los pliegos de contratación lo recogen como requisito de solvencia técnica. Quedar fuera del ENS es, en la práctica, quedar fuera de la licitación.
Los contratos TIC de las consejerías y de la Aragonesa de Servicios Telemáticos (AST) exigen conformidad con el ENS. Tenerla abre la puerta; no tenerla la cierra.
El Ayuntamiento de Zaragoza —con su estrategia Zityverse— y la Diputación Provincial incorporan cada vez con más frecuencia la conformidad con el ENS en sus pliegos de prescripciones técnicas.
La Universidad de Zaragoza, única pública de Aragón, con campus en Zaragoza, Huesca y Teruel, está sujeta al ENS y traslada ese requisito a sus proveedores TIC.
Las empresas que completen su adecuación ahora se posicionan por delante de competidores que aún no han comenzado. La conformidad vigente refuerza la propuesta comercial.
Antes de dar el primer paso conviene tener claro el marco completo: puedes repasarlo en la guía ENS completa y, si ya buscas acompañamiento, aquí tienes el detalle del servicio de consultoría ENS para empresas.
El Esquema Nacional de Seguridad no se detiene en la puerta de la Administración: llega también a cada empresa privada que le presta servicio bajo contrato. En Zaragoza y el resto de la provincia, esa cadena de proveedores es larga y cubre perfiles muy distintos.
Trabajando aquí, reconozco enseguida qué tipo de negocio zaragozano queda atrapado en ese alcance:
La disposición transitoria única del RD 311/2022 dio 24 meses de margen para adaptar los sistemas que ya funcionaban; ese plazo terminó el 5 de mayo de 2024. Todo sistema puesto en marcha desde entonces, o modificado de forma sustancial, tiene que nacer ya conforme. Si tu adecuación sigue en el cajón, cada licitación aragonesa que se publica es un aviso de que el reloj no se ha detenido.
Sigo el orden que marcan las guías CCN-STIC: arranco con un diagnóstico y cierro con la auditoría o la declaración de conformidad ya preparada. El objetivo es que tu empresa llegue con documentación sólida, la misma que te va a pedir el Gobierno de Aragón, el Ayuntamiento de Zaragoza o cualquier otro organismo contratante zaragozano.
| Etapa | En qué consiste | Entregable y referencia |
|---|---|---|
| Fase 01 Diagnóstico (gap) | Coloco tu situación actual frente a lo que pide el ENS y acoto el alcance: qué sistemas de información entran en juego. | Informe de diagnóstico con la distancia real hasta el cumplimiento y las brechas ordenadas por prioridad. |
| Fase 02 Categorización | Reviso, sistema por sistema, el efecto que tendría un fallo de seguridad sobre las cinco dimensiones —CIDAT— y de ahí sale su categoría: básica, media o alta. | Aplicación práctica del Anexo I: fija el nivel de exigencia y la vía de conformidad que corresponde a cada sistema. |
| Fase 03 Análisis de riesgos | Localizo activos, amenazas y salvaguardas siguiendo la metodología MAGERIT. | Informe de análisis de riesgos y su correspondiente plan de tratamiento. |
| Fase 04 Plan de adecuación + DdA | Construyo la política de seguridad, decido qué medidas aplican y dejo lista la Declaración de Aplicabilidad (DdA), justificando control por control. | Siguiendo la guía CCN-STIC 806: plan de adecuación más la declaración de conformidad. |
| Fase 05 Implantación | Pongo en marcha las medidas del Anexo II —marco organizativo, operacional y de protección— junto a tu equipo, paso a paso. | Evidencias de implantación medida por medida, ya listas para la auditoría. |
| Fase 06 Conformidad final | Repaso todo antes del cierre: en básica, ayudo con la declaración autoevaluada; en media o alta, acompaño durante la auditoría de la entidad acreditada. | Según el Anexo III: dejo lista la conformidad, aunque la certificación en media o alta la firma siempre un tercero acreditado por ENAC. |
Ningún sistema se cataloga a ojo. La categoría sale de valorar, dimensión por dimensión, qué ocurriría si algo fallara: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad (CIDAT). La dimensión que llegue más alto marca la categoría final del conjunto.
Corresponde a los casos en los que un fallo dejaría un perjuicio limitado sobre funciones, activos o personas de la organización. Es el escenario más frecuente entre quienes prestan servicios auxiliares.
Aparece cuando una dimensión sube a nivel medio: un fallo aquí dejaría un perjuicio grave. Es habitual en sistemas de gestión administrativa o que manejan datos sensibles.
Se da cuando alguna dimensión toca el nivel alto: un fallo aquí acarrearía un perjuicio muy grave, a veces sin marcha atrás. Aparece en sistemas críticos o con información especialmente delicada.
Para básica, con una declaración de conformidad autoevaluada es suficiente: la organización comprueba por su cuenta que cumple, apoyándose en las guías CCN-STIC. Mi papel es dejar la documentación y las evidencias preparadas para aguantar cualquier revisión del organismo contratante.
En media o alta cambia la vía: se necesita una certificación de una entidad acreditada por ENAC, conforme a la norma UNE-EN ISO/IEC 17065:2012. Yo preparo el terreno para superarla; la certificación en sí la firma siempre la entidad acreditada, nunca yo.
No entrego un PDF para el cajón. Entrego el conjunto documental y técnico que respalda tu conformidad —el mismo que revisará el auditor, o que pedirá ver el Gobierno de Aragón, el Ayuntamiento de Zaragoza o cualquier otro organismo contratante dentro del expediente de licitación.
Soy Ángel Ortega Castro, consultor independiente especializado en cumplimiento normativo y seguridad de la información. Tengo base en Valladolid y en Las Palmas de Gran Canaria, y trabajo en toda España. Con las empresas de Zaragoza y su provincia colaboro en remoto —y me desplazo cuando el proyecto lo pide—, y conozco de primera mano cómo funciona la contratación pública aragonesa: sus plazos, sus pliegos y lo que suelen exigir organismos como el Gobierno de Aragón, la Aragonesa de Servicios Telemáticos (AST), el Ayuntamiento de Zaragoza, la Diputación Provincial de Zaragoza y la Universidad de Zaragoza.
Mi forma de trabajar es de acompañamiento cercano, persona a persona: no te entrego un manual y me desentiendo. Estoy contigo en cada fase, convierto la norma en decisiones concretas y, cuando el proyecto termina, dejo a tu equipo capacitado para sostener la conformidad por sí mismo.
Soy transparente sobre los límites de mi trabajo: preparo y adecúo tu organización de cara a la conformidad, pero en categorías media o alta es una entidad acreditada por ENAC quien emite la certificación, nunca yo. Esa honestidad, sumada al rigor con la norma vigente —RD 311/2022, sus Anexos I-IV y las guías CCN-STIC—, es lo que me diferencia de las consultoras genéricas.
Integradoras o desarrolladoras de software que tienen contratos con el Gobierno de Aragón, con alguna de sus consejerías o con su medio propio tecnológico, la Aragonesa de Servicios Telemáticos (AST), y necesitan acreditar conformidad con el ENS para renovarlos o ampliarlos. Suelen estar en categoría básica o media.
Empresas tecnológicas con sede en el entorno de PLAZA (Plataforma Logística de Zaragoza), el eje de Malpica o los polígonos próximos a Figueruelas, que prestan servicios de mantenimiento, ciberseguridad o soporte TIC a la Diputación Provincial, el Ayuntamiento de Zaragoza o la Universidad, y que necesitan iniciar o completar su adecuación antes del siguiente pliego.
Organizaciones privadas de Zaragoza o provincia que hasta ahora han trabajado en el sector privado y quieren ampliar su cartera hacia la Administración, aprovechando iniciativas como Zityverse en el Ayuntamiento. La adecuación al ENS es el primer requisito de solvencia técnica que encontrarán en los pliegos.
No existe una cifra cerrada válida para todos, y deberías desconfiar de quien te la dé sin conocer tu situación. Lo que pagues depende del alcance —cuántos sistemas entran en juego—, de la categoría —básica, media o alta—, de tu punto de partida y de si necesitas una certificación acreditada o te basta con la declaración de conformidad.
En las categorías media y alta hay que sumar además el coste de la entidad certificadora acreditada por ENAC: ese importe es independiente de mis honorarios y lo factura directamente el tercero que audita la conformidad.
Sí. El Gobierno de Aragón, como administración autonómica, está plenamente sujeto al ENS y traslada esa obligación a sus proveedores y contratistas de servicios TIC. Su propio medio tecnológico, la Aragonesa de Servicios Telemáticos (AST), mantiene certificación ENS en categoría alta, lo que da una idea del nivel de exigencia que se traslada después a la cadena de suministro. Si tu empresa presta o aspira a prestar servicios digitales a cualquiera de las consejerías u organismos dependientes, la conformidad con el RD 311/2022 es un requisito de solvencia técnica que los pliegos ya incluyen de forma habitual. Lo amplío en el servicio de consultoría ENS para empresas.
Sí. La Universidad de Zaragoza, única universidad pública de Aragón, gestiona a través de su Servicio de Informática y Comunicaciones (SICUZ) sistemas de información sujetos al ENS —expedientes académicos, plataformas de administración electrónica, sistemas de investigación—. Como entidad del sector público, debe cumplir el RD 311/2022 y puede requerir a sus proveedores de servicios TIC que acrediten conformidad, especialmente en contratos que implican acceso o tratamiento de los sistemas de información universitarios.
Sí. Tanto el Ayuntamiento de Zaragoza como la Diputación Provincial de Zaragoza son entidades locales sujetas al ENS por el RD 311/2022. El Ayuntamiento, además, ha hecho explícita esa exigencia dentro de su estrategia de transformación digital Zityverse, que incluye como eje propio el «gobierno de la seguridad y adecuación al Esquema Nacional de Seguridad» junto con la implantación de un Centro de Operaciones de Ciberseguridad (SOC). Si tu empresa trabaja o quiere trabajar con alguna de estas entidades, conviene anticipar la adecuación antes de que aparezca el siguiente pliego.
Depende del impacto que tendría un incidente de seguridad en los sistemas que gestionas: si el perjuicio sería limitado, la categoría es básica; si sería grave, media; si sería muy grave, alta. La categoría la determino en la fase de categorización aplicando el Anexo I del RD 311/2022. Muchos proveedores de servicios auxiliares o software de gestión se sitúan en categoría básica, con declaración de conformidad autoevaluada como vía de acreditación.
Sí, y es la decisión más inteligente. Iniciar la adecuación antes de presentarse a un concurso permite acreditar la conformidad desde el primer pliego en que se exija, sin prisas ni improvisar. Además, el proceso de adecuación tiene un recorrido mínimo de varias semanas —incluso meses en sistemas más complejos—, por lo que empezar con antelación evita quedar fuera por falta de tiempo.
Son marcos compatibles y comparten una parte significativa de controles. Si tu empresa ya tiene o está trabajando la ISO 27001, ese trabajo se aprovecha en la adecuación al ENS y viceversa. El ENS es obligatorio para quien trabaja con la Administración pública española; ISO 27001 es voluntaria e internacional. Para licitar con el Gobierno de Aragón, el Ayuntamiento de Zaragoza o la Diputación Provincial, lo que el pliego exige es el ENS.
Reserva una primera llamada sin coste ni compromiso. En ella repasamos el alcance de tus sistemas, la categoría que previsiblemente les corresponde y el tipo de contratación pública que persigues en Zaragoza. Si encajamos, sales con una propuesta cerrada; si no, sales igualmente con una hoja de ruta clara para arrancar por tu cuenta.