Colegios profesionales y mutuas ante el ENS: dos casos que no se resuelven igual

Un colegio profesional no queda sujeto al Esquema Nacional de Seguridad por la puerta principal. El artículo 2.1 del Real Decreto 311/2022 dice que el ENS «es de aplicación a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015», y en ese artículo 2 no aparecen las corporaciones de derecho público. Una mutua colaboradora con la Seguridad Social, en cambio, entra de lleno: el artículo 80.4 del texto refundido de la Ley General de la Seguridad Social afirma que las mutuas «forman parte del sector público estatal de carácter administrativo». Dos regímenes jurídicos distintos que conviene no mezclar, porque las consecuencias prácticas —quién audita, cada cuánto y qué se publica— tampoco coinciden.

Por qué este sector queda en tierra de nadie

Colegios, consejos y mutuas comparten un rasgo incómodo: gestionan información que se parece mucho a la de una Administración, pero no son Administración. Quien pregunta dentro si «esto va con nosotros» recibe dos respuestas contradictorias: la del asesor jurídico, que no los ve en la lista, y la del responsable de sistemas, que ve llegar cláusulas de conformidad en cada convenio. Las dos pueden ser correctas, porque el ENS no se aplica por el nombre de la entidad, sino por el título jurídico que la conecta con el sector público.

Qué dice exactamente el ámbito de aplicación

El artículo 2 del Real Decreto 311/2022 tiene cuatro apartados. Para lo que nos ocupa importan dos.

El apartado 1 remite al sector público tal y como lo define la Ley 40/2015: Administración General del Estado, comunidades autónomas, entidades locales y sector público institucional, que a su vez se integra por organismos públicos y entidades de derecho público vinculados o dependientes, entidades de derecho privado vinculadas o dependientes, y universidades públicas. Tres apartados y punto. Las corporaciones de derecho público no figuran.

El apartado 3 abre la vía que sí alcanza a muchos colegios:

«Este real decreto también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas.»

Dos condiciones acumulativas: que exista relación contractual y que el servicio sirva al ejercicio de competencias y potestades administrativas de la entidad pública. El mismo apartado añade que los pliegos deben contemplar los requisitos necesarios para asegurar la conformidad, incluida la presentación de declaraciones o certificaciones, y que la cautela se extiende a la cadena de suministro del contratista «en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Es la misma puerta por la que entran las empresas privadas; la desarrollé en cuándo aplica el ENS al sector privado.

Merece la pena detenerse en «relación contractual». Muchos colegios se relacionan con la Administración mediante convenios, y un convenio de colaboración con una consejería o con la Administración de Justicia no es un contrato en el sentido de la legislación de contratos del sector público. En la práctica, la Administración firmante suele trasladar por convenio las mismas exigencias de seguridad, y ahí el ENS entra por vía obligacional: no porque la norma se lo imponga a la corporación, sino porque esta se ha comprometido a ello.

Colegios profesionales: corporación de derecho público, no Administración

El artículo 1.1 de la Ley 2/1974, sobre Colegios Profesionales, los define sin ambigüedad: «Los Colegios Profesionales son Corporaciones de derecho público, amparadas por la Ley y reconocidas por el Estado, con personalidad jurídica propia y plena capacidad para el cumplimiento de sus fines». Su apartado 3, tras la reforma de la Ley 25/2009, fija los fines esenciales: ordenación del ejercicio de la profesión, representación institucional exclusiva cuando la colegiación es obligatoria, defensa de los intereses de los colegiados y protección de los de consumidores y usuarios.

La mención específica a las corporaciones de derecho público en la legislación administrativa está en la Ley 39/2015, no en la 40/2015. Su artículo 2.4 dice:

«Las Corporaciones de Derecho Público se regirán por su normativa específica en el ejercicio de las funciones públicas que les hayan sido atribuidas por Ley o delegadas por una Administración Pública, y supletoriamente por la presente Ley.»

Es una precisión que se pasa por alto y que cambia el análisis. La ley de procedimiento administrativo común sí alcanza a los colegios de forma supletoria cuando ejercen funciones públicas: registro electrónico, identificación, notificaciones, expediente electrónico. La ley de régimen jurídico del sector público, a la que el ENS remite para delimitar su ámbito, no los incluye.

Eso no significa que un colegio pueda desentenderse, sino que su obligación, cuando existe, nace de otro sitio: del contrato o convenio con una Administración, de la normativa autonómica que le atribuye o delega funciones públicas, o de las condiciones de acceso a las plataformas y redes públicas a las que está conectado.

Y hay una obligación que sí es directa, no depende de ninguna relación con la Administración y se olvida a menudo en este análisis: el artículo 34.1.a) de la LOPDGDD impone delegado de protección de datos a los colegios profesionales y a sus consejos generales, sin excepción y sin umbral. No es ENS, es protección de datos, pero es el requisito más inmediato para el lector de esta página y suele ser también la palanca que ordena todo lo demás, porque obliga a tener identificado quién trata qué. Cómo encajan los dos marcos sin duplicar trabajo está en la guía de ENS y RGPD.

La ventanilla única: la función pública que casi todos ejercen

El artículo 10 de la Ley 2/1974, añadido por la Ley 25/2009, obliga a las organizaciones colegiales a disponer de una página web para que, a través de la ventanilla única prevista en la Ley 17/2009, los profesionales realicen por vía electrónica todos los trámites de colegiación, ejercicio y baja. La lista de lo exigible es reveladora en términos de seguridad de la información:

• Presentar toda la documentación y solicitudes, incluida la de colegiación.
• Conocer el estado de tramitación y recibir notificación de los actos de trámite preceptivos y de la resolución, incluida la de los expedientes disciplinarios cuando no fuera posible por otros medios.
• Acceder al registro de colegiados, permanentemente actualizado, con nombre y apellidos, número de colegiación, títulos oficiales, domicilio profesional y situación de habilitación.
• Acceder al registro de sociedades profesionales.

El apartado 3 obliga además a incorporar «las tecnologías precisas» y a crear y mantener «las plataformas tecnológicas que garanticen la interoperabilidad entre los distintos sistemas y la accesibilidad de las personas con discapacidad». Traducido a riesgo: un colegio notifica expedientes sancionadores por medios electrónicos y mantiene un registro público de habilitación del que dependen terceros. Si ese registro se altera, alguien puede aparecer como habilitado sin estarlo. Si la notificación disciplinaria falla o se repudia, el expediente se cae. Son exactamente los tipos de impacto —integridad, autenticidad, trazabilidad— que el anexo I del ENS usa para categorizar un sistema. Que la norma no lo imponga por título propio no hace que el riesgo desaparezca.

Mutuas colaboradoras: aquí no hay debate

El artículo 80.1 del texto refundido de la Ley General de la Seguridad Social define las mutuas como «asociaciones privadas de empresarios constituidas mediante autorización del Ministerio [...] que tienen por finalidad colaborar en la gestión de la Seguridad Social, bajo la dirección y tutela del mismo, sin ánimo de lucro». Naturaleza privada, por tanto. Pero el apartado 4 del mismo artículo cierra la cuestión:

«Las mutuas colaboradoras con la Seguridad Social forman parte del sector público estatal de carácter administrativo, de conformidad con la naturaleza pública de sus funciones y de los recursos económicos que gestionan, sin perjuicio de la naturaleza privada de la entidad.»

La Ley 47/2003, General Presupuestaria, va en la misma dirección: su artículo 2.2.h) integra en el sector público institucional estatal a «las entidades gestoras, servicios comunes y las mutuas colaboradoras con la Seguridad Social en su función pública de colaboración en la gestión de la Seguridad Social, así como sus centros mancomunados».

Para una mutua, en consecuencia, el ENS no es una cláusula de pliego: es su marco de referencia por pertenencia al sector público estatal. Y el catálogo de información que maneja empeora el punto de partida. El artículo 80.2 enumera su objeto: prestaciones económicas y asistencia sanitaria de accidentes de trabajo y enfermedades profesionales, incapacidad temporal por contingencias comunes, riesgo durante el embarazo y la lactancia, cese de actividad de autónomos y cuidado de menores con cáncer u otra enfermedad grave. Categorías especiales de datos personales en el vocabulario del RGPD, y funciones públicas en el del ENS.

Delimitar el alcance: qué sistemas entran y cuáles no

El error más caro en este sector es aplicar el ENS a toda la organización cuando solo una parte lo necesita, o al revés, dejar fuera lo que sostiene la función pública.

En un colegio profesional, la línea suele pasar por el ejercicio de funciones públicas. Dentro quedan la ventanilla única y el registro de colegiados, el expediente disciplinario, el visado cuando es preceptivo, los registros de peritos o de turno de oficio gestionados por encargo de una Administración y la infraestructura que los sostiene. Fuera pueden quedar la formación de pago, la revista o la bolsa de empleo, siempre que estén separados de verdad y no compartan directorio ni base de datos. Esa separación hay que demostrarla, no declararla.

En una mutua, el alcance tiende a ser mucho más amplio, porque casi toda su actividad es colaboración en la gestión de la Seguridad Social. La discusión útil no es qué queda fuera, sino cómo se segmenta lo asistencial de lo administrativo para que la categoría alta no arrastre a sistemas que no la necesitan. En ambos casos el punto de partida es un inventario real de activos y servicios; sin él, la valoración de impacto es una conjetura con formato de tabla.

Categoría del sistema: quién decide y con qué criterio

El artículo 40 establece que la categoría «modulará el equilibrio entre la importancia de la información que maneja y los servicios que presta y el esfuerzo de seguridad requerido», bajo el principio de proporcionalidad, y que se determina valorando el impacto que tendría un incidente sobre disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad, siguiendo el procedimiento del anexo I.

El artículo 41 reparte las competencias: la valoración de la información y los servicios corresponde a sus responsables; la determinación de la categoría del sistema, a partir de esas valoraciones, al responsable o responsables de la seguridad. No es una decisión del proveedor informático ni del consultor externo. En una organización pequeña esto obliga a nombrar formalmente esos roles, algo que en bastantes colegios no está hecho.

Como orientación, y sin sustituir al cálculo: un sistema que sostiene notificaciones disciplinarias y un registro público de habilitación difícilmente se queda en el nivel más bajo en integridad y trazabilidad; uno que trata datos de salud de trabajadores accidentados sube en confidencialidad. Pero la categoría se calcula, no se hereda de lo que hizo otra entidad parecida. El autodiagnóstico ENS da una primera idea del punto de partida antes de encargar nada.

Conformidad: declaración o certificación, y auditoría cada dos años

El artículo 38 fija el régimen. Los sistemas de categoría media o alta precisan de una auditoría para la certificación de su conformidad. Los de categoría básica solo requieren una autoevaluación para su declaración de conformidad, sin perjuicio de que puedan someterse igualmente a auditoría de certificación. Ambos procedimientos se realizan según el artículo 31 y el anexo III, y en los términos de la correspondiente Instrucción Técnica de Seguridad, que concreta además los requisitos exigibles a las entidades certificadoras. Su apartado 2 añade una obligación que se olvida a menudo: publicar las declaraciones y certificaciones en los portales de internet o sedes electrónicas correspondientes. Para un colegio con ventanilla única, ese portal ya existe.

Sobre la periodicidad, el artículo 31.1 es tajante y no distingue por categoría: «los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años», más una auditoría extraordinaria siempre que se produzcan modificaciones sustanciales en los sistemas que puedan repercutir en las medidas de seguridad requeridas. La extraordinaria reinicia el cómputo. El único margen es una prórroga de tres meses por impedimentos de fuerza mayor no imputables a la entidad titular.

Conviene entender bien cómo encaja eso con la categoría básica, porque es donde más gente se confunde en los dos sentidos. El ciclo de dos años no desaparece en básica: alcanza a todos los sistemas del ámbito. Lo que cambia es cómo se cumple.

El artículo 31.2 remite la forma de la auditoría a los anexos I y III, y el anexo III, apartado 2.1.a), es explícito: los sistemas de categoría básica «no necesitarán realizar una auditoría», basta una autoevaluación hecha por el propio personal que administra el sistema o en quien delegue, con su resultado documentado —qué medida está implantada, si está sujeta a revisión regular y con qué evidencias— y analizada por el responsable de la seguridad, que eleva las conclusiones al responsable del sistema. Es decir: en básica no hay auditor externo, pero sí hay ciclo, sí hay documento y sí hay que repetirlo.

Dos cautelas antes de firmar con nadie

La certificación no la emite cualquiera. La Instrucción Técnica de Seguridad de conformidad con el ENS, aprobada por Resolución de 13 de octubre de 2016, exige que las entidades certificadoras «deberán estar acreditadas por la Entidad Nacional de Acreditación (ENAC) para la certificación de sistemas conforme a la norma UNE-EN ISO/IEC 17065:2012». Ninguna consultora puede certificar el trabajo que ella misma ha implantado, y conviene comprobar en el registro de ENAC que el alcance de la acreditación cubre el ENS antes de firmar.

Y no queda colchón temporal del que tirar: la disposición transitoria única del Real Decreto 311/2022 dio veinticuatro meses de adecuación a los sistemas preexistentes, plazo agotado hace tiempo, mientras su apartado 3 exige que los nuevos apliquen el real decreto «desde su concepción».

Cómo abordarlo, en orden

1. Determinar el título de sujeción. En una mutua, por pertenencia al sector público estatal. En un colegio, revisando uno por uno los contratos y convenios con Administraciones, la normativa autonómica aplicable y las condiciones de las plataformas públicas a las que está conectado. Va primero: define el alcance de todo lo demás.
2. Nombrar los roles: responsable de la información, del servicio, de la seguridad y del sistema, con separación de funciones. Sin esto, el artículo 41 no puede cumplirse.
3. Aprobar la política de seguridad del artículo 12. En las entidades del artículo 2.3 la aprueba el órgano que ostente las máximas competencias ejecutivas; en una corporación colegial, la junta de gobierno.
4. Inventariar activos y servicios y valorar el impacto por dimensiones, siguiendo el anexo I.
5. Determinar la categoría y realizar el análisis de riesgos.
6. Análisis diferencial y plan de adecuación, priorizando lo que sostiene la función pública.
7. Autoevaluación o auditoría de certificación, según categoría, y publicación del distintivo.

La guía completa del Esquema Nacional de Seguridad desarrolla cada paso con el detalle que aquí no cabe, y el resto de materiales del área vive en el hub de cumplimiento del ENS. Para los pasos 5 y 7 en concreto, tienes cómo se elige la categoría en la guía de niveles y categorías del ENS y cómo se resuelve la vía de conformidad más ligera en la de declaración de conformidad por autoevaluación.

Un aviso de desambiguación, porque el término se presta a confusión: si has llegado aquí buscando colegios e institutos —centros educativos—, ese es otro sujeto jurídico y otro análisis, y está en la guía del ENS en centros educativos. Esta página trata de los colegios profesionales: abogados, médicos, arquitectos, graduados sociales.

Errores frecuentes en corporaciones y mutuas

1. Dar por hecho que colegios y mutuas comparten régimen. Es el error de partida y contamina el proyecto entero. Una mutua no es una corporación de derecho público: es una asociación privada de empresarios que forma parte del sector público estatal por mandato del artículo 80.4 del texto refundido.
2. Confundir la Ley 39/2015 con la Ley 40/2015. La mención a las corporaciones de derecho público está en la primera, que regula el procedimiento; el ENS remite a la segunda. Citarlo mal lleva a concluir que el ENS aplica de oficio a cualquier colegio, que no es el caso.
3. Firmar primero y descubrir el requisito después. Cuando la exigencia llega por contrato o convenio, la adecuación tiene que estar resuelta antes de la firma o de la licitación; un plan completo no se despacha en unas semanas.
4. Tratar la ventanilla única como una web informativa. Es un canal de notificación de actos administrativos y un registro público de habilitación; su exigencia en integridad, autenticidad y trazabilidad no se parece a la de un sitio corporativo.
5. Olvidar el ciclo. La conformidad no es un hito, es un régimen: el artículo 31 corre cada dos años aunque en categoría básica se cumpla con una autoevaluación, y la auditoría extraordinaria llega con cualquier cambio sustancial.

Preguntas frecuentes

Fuentes

Consolidados del BOE consultados el 31 de julio de 2026:

• Real Decreto 311/2022, del Esquema Nacional de Seguridad (BOE-A-2022-7191): artículos 2, 12, 31, 38, 40, 41 y disposición transitoria única.
• Ley 40/2015, de Régimen Jurídico del Sector Público (BOE-A-2015-10566): artículos 2 y 156.2.
• Ley 39/2015, del Procedimiento Administrativo Común (BOE-A-2015-10565): artículo 2.4.
• Ley 2/1974, sobre Colegios Profesionales (BOE-A-1974-289): artículos 1 y 10.
• Real Decreto Legislativo 8/2015, texto refundido de la Ley General de la Seguridad Social (BOE-A-2015-11724): artículo 80.
• Ley 47/2003, General Presupuestaria (BOE-A-2003-21614): artículo 2.2.h), en la redacción dada por la disposición final 8.ª1 de la Ley 40/2015, con efectos de 2 de octubre de 2016.
• Resolución de 13 de octubre de 2016, Instrucción Técnica de Seguridad de conformidad con el ENS (BOE-A-2016-10109): requisitos de las entidades certificadoras y publicidad de los distintivos.
• Entidad Nacional de Acreditación (ENAC): buscador de entidades acreditadas.