Si tu empresa en Burgos presta servicios, suministra software o gestiona sistemas de información para la Diputación de Burgos, el Ayuntamiento de Burgos o la Universidad de Burgos (UBU), el Esquema Nacional de Seguridad te aplica con plena vigencia. El RD 311/2022 (BOE-A-2022-7191) exige que tanto las entidades del sector público como sus proveedores y contratistas adecuen sus sistemas al ENS, en los niveles básico, medio o alto según el impacto potencial de un incidente.
Si prestas servicios tecnológicos o suministras software a la Diputación, al Ayuntamiento o a la Universidad de Burgos (UBU), el ENS en Burgos te afecta de lleno (RD 311/2022). Te acompañamos en la categorización del sistema, las medidas del Anexo II y la preparación de la declaración o certificación de conformidad.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Documento que justifica la categoría asignada —básico, medio o alto— valorando el impacto CIDAT para cada servicio prestado a organismos del sector público burgalés, con metodología trazable y referenciada al RD 311/2022.
Tabla cruzada de las 73 medidas del Anexo II del ENS frente a los controles de tu sistema de gestión, identificando reutilizaciones directas, brechas parciales y controles ausentes, con esfuerzo estimado para cerrar cada gap.
Documento formal que recoge la selección y exclusión justificada de controles conforme al formato esperado por los auditores de conformidad y la CCN-STIC 809, integrado con la Declaración de Aplicabilidad ISO 27001:2022 cuando procede.
Política corporativa redactada según el artículo 12 del RD 311/2022 y adaptada a la cultura y estructura de tu organización: propósito, alcance, roles, compromisos de la dirección y ciclo de revisión bienal.
Conjunto completo de procedimientos operativos, registros y evidencias que acreditan la implantación real de los controles: gestión de usuarios y accesos, copias de seguridad, gestión de vulnerabilidades, control de cambios, gestión de incidentes y formación del personal.
Para sistemas de categoría media o alta, auditoría interna previa que simula el proceso de la entidad acreditada ENAC: revisión de evidencias, detección de puntos débiles y corrección antes de que llegue el auditor externo, minimizando el riesgo de no conformidades.
Analizamos los servicios que prestas a organismos burgaleses —Diputación, Ayuntamiento, UBU u otras entidades del sector público provincial— y los sistemas de información implicados. Aplicamos el Anexo I del RD 311/2022 para determinar la categoría ENS que corresponde a tu caso, valorando el impacto en las cinco dimensiones CIDAT. Si ya dispones de ISO 27001 certificada, identificamos desde este momento qué controles se reutilizan y qué brechas específicas del ENS quedan por cubrir.
Mapeamos las 73 medidas del Anexo II del RD 311/2022 contra los controles de tu SGSI ISO 27001 o contra las prácticas de seguridad actuales si aún no tienes la norma certificada. El resultado es una tabla priorizada de brechas —controles ausentes, parcialmente cubiertos y directamente reutilizables— con el esfuerzo estimado para cerrar cada gap antes de la auditoría de conformidad. Prestamos especial atención a la familia op.nub si tus servicios se prestan desde la nube.
Diseñamos o actualizamos el sistema de gestión de la seguridad para que cubra los requisitos del ENS, y los de la ISO 27001:2022 si ya la tienes. Elaboramos la Declaración de Aplicabilidad del ENS, que justifica la selección y exclusión de controles conforme al formato esperado por los auditores de conformidad ENS y la CCN-STIC 809, y redactamos la política de seguridad de la información conforme al artículo 12 del RD 311/2022.
Acompañamos la implantación de las medidas de seguridad del Anexo II que quedan pendientes —organizativas, operacionales y de protección— y generamos la documentación de evidencias: procedimientos, registros, informes de análisis de riesgos, actas de revisión por la dirección y registros de formación. La parte técnica de implantación (hardening, monitorización, herramientas PILAR/MAGERIT) la coordina, cuando el proyecto lo requiere, con Summum Sistemas.
Summum Calidad te acompaña desde el ángulo del sistema de gestión de la seguridad de la información (SGSI): integrado con ISO 27001 cuando ya la tienes, construido desde cero cuando aún no. Un proyecto estructurado, sin duplicidades y orientado a que superes la declaración o certificación de conformidad que exige tu categoría.
Burgos es, probablemente, la capital de Castilla y León sobre la que existe más información pública contrastable en materia de seguridad de la información. Y esa información dibuja un mapa muy concreto de lo que una administración burgalesa espera hoy de sus proveedores.
El Consejo de Cuentas de Castilla y León auditó la seguridad informática del Ayuntamiento de Burgos y aprobó el informe en Pleno el 20 de diciembre de 2022, dentro del Plan Anual de Fiscalizaciones de 2021. El documento reconoce avances: el Ayuntamiento tenía una política de seguridad formalmente aprobada desde el 4 de marzo de 2021, conforme al artículo 11 del ENS, y una declaración de aplicabilidad conforme al artículo 27.4.
También señala lo que faltaba. El informe recomienda «culminar el proceso mediante la realización de auditorías o autoevaluaciones de cumplimiento del ENS» y evalúa el control de cumplimiento normativo en un nivel de madurez L2, cuando la metodología de los órganos de control externo exige L3 para un sistema de categoría media. Otras dos áreas —configuraciones seguras y registro de actividad de los usuarios— quedaron en L1. En total, ocho recomendaciones.
Para cualquier empresa que preste servicios informáticos al Ayuntamiento, la séptima recomendación es la que cambia el trabajo diario: el órgano de control pide impulsar «la inclusión en la contratación de los servicios informáticos de las cláusulas que permitan realizar un control de cómo se llevan a cabo los servicios y el uso y control de los privilegios de administración de acuerdo a lo especificado en el ENS». Traducido: los pliegos burgaleses tienden a exigir evidencia, no declaraciones.
El resto del mapa local completa el cuadro. La Universidad de Burgos publica su Política de Seguridad de la Información y su Reglamento de Uso de los Sistemas de Información bajo el RD 311/2022, con un Comité de Seguridad de la Información constituido. Nueve municipios de la provincia —Atapuerca, Buniel, Busto de Bureba, Carcedo de Burgos, Frías, Estépar, Frandovínez, Merindad de Cuesta Urría y Tardajos— obtuvieron certificación ENS por AENOR.
En el plano autonómico conviene no confundirse. Castilla y León cuenta con el Decreto 22/2021, de 30 de septiembre, que aprueba la política de seguridad de la información de la Administración de la Comunidad, pero su artículo 2 limita el ámbito a la Administración General autonómica, sus organismos autónomos y entes públicos de derecho privado.
Los ayuntamientos y la Diputación de Burgos responden directamente ante el RD 311/2022.
En Grupo Summum acompañamos a las empresas proveedoras a preparar esa evidencia. La certificación la emite una entidad acreditada; nosotros preparamos el camino.
El Esquema Nacional de Seguridad organiza sus requisitos en torno a un sistema de gestión de la seguridad: política, análisis de riesgos, selección proporcional de medidas, operación, vigilancia y mejora continua. Este enfoque es estructuralmente idéntico al ciclo PDCA de la ISO 27001:2022, lo que convierte la integración de ambas normas en la vía más eficiente para una empresa proveedora de la Administración.
El Anexo II del RD 311/2022 recoge 73 medidas de seguridad organizadas en tres marcos (organizativo, operacional y de protección) y 16 familias, de las cuales 7 familias y 33 medidas corresponden al marco operacional —incluyendo la familia op.nub de seguridad en servicios en la nube, especialmente relevante para proveedores SaaS que alojan aplicaciones para entidades burgalesas—. Cuando una organización ya dispone de un SGSI ISO 27001, muchas de esas medidas quedan ya cubiertas o necesitan únicamente una adaptación documental al contexto del ENS.
La consultoría ISO 27001 es un servicio distinto del ENS: si ya tienes el SGSI o quieres certificarlo, se puede integrar con la adecuación.
Si tratas datos personales por cuenta de la Administración, el sistema de gestión de privacidad ISO 27701 es otra norma que puede sumarse al mismo proyecto.
La categoría del sistema —básico, medio o alto— se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para cada servicio en alcance. La categoría no es un detalle menor: determina qué medidas del Anexo II son obligatorias y, sobre todo, qué forma de conformidad se exige.
Para sistemas de categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada conforme a la CCN-STIC 809.
Para sistemas de categoría media o alta, es obligatoria la certificación por una entidad de certificación acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad no emite certificados de conformidad —eso es competencia exclusiva de los terceros acreditados—, pero prepara tu organización para llegar a ese proceso en las mejores condiciones: sistema documentado, evidencias completas y brechas cerradas antes de que llegue el auditor externo.
Atendemos a las empresas burgalesas en nuestro punto de atención concertada en Burgos.
Adecuación al ENS en Burgos: sistema de gestión de la seguridad para proveedores de la Administración local
Sí. El RD 311/2022 establece que el ENS aplica no solo a las entidades del sector público, sino también a sus proveedores y contratistas cuando los sistemas de información de la empresa privada entran en contacto con los del sector público. Si prestas servicios tecnológicos, gestionas datos de ciudadanos o suministras software a la Diputación de Burgos, al Ayuntamiento de Burgos o a la Universidad de Burgos (UBU), tu obligación de adecuación al ENS es plena. El plazo para sistemas ya existentes expiró el 5 de mayo de 2024; los nuevos sistemas deben cumplir desde el primer día de operación.
Sí. La Universidad de Burgos es una entidad del sector público universitario y queda expresamente incluida en el ámbito de aplicación del artículo 2 del RD 311/2022. Esto significa que sus sistemas de información deben adecuarse al ENS y que los proveedores que gestionan o acceden a esos sistemas —plataformas de gestión académica, servicios en la nube, mantenimiento de infraestructuras TIC— están igualmente obligados a cumplir con el nivel de categoría que corresponda a esos servicios.
Depende del servicio y de los datos que gestiona, pero los proveedores SaaS que alojan aplicaciones para entidades del sector público suelen categorizar sus sistemas como básico o medio. Si la aplicación gestiona datos de carácter personal de ciudadanos, información presupuestaria o expedientes administrativos con cierta criticidad, la categoría media es frecuente. La categoría alta es menos habitual en el ámbito local, pero puede darse en sistemas de gestión de infraestructuras críticas o servicios de emergencias. La categorización final requiere valorar las cinco dimensiones CIDAT caso a caso, que es el primer paso que hacemos en el proyecto.
La ventaja principal es la eficiencia. Ambas normas comparten una estructura de gestión muy similar —política de seguridad, análisis de riesgos, selección de controles, auditoría y mejora continua— y muchos controles del Anexo II del ENS tienen equivalentes directos o parciales en el Anexo A de la ISO 27001:2022. Con un SGSI ISO 27001 certificado o en proceso, el gap hacia el ENS se concentra únicamente en los aspectos específicos del marco español. Abordar ambas normas en un único proyecto evita duplicar análisis de riesgos, documentación y auditorías internas, con un ahorro estimado de entre el 30 % y el 40 % respecto a dos proyectos independientes.
Las entidades que pueden certificar la conformidad con el ENS para sistemas de categoría media o alta son exclusivamente entidades de inspección acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad no emite ese certificado. Lo que hacemos es preparar tu sistema —documentación, controles implantados, evidencias y revisión pre-auditoría— para que superes el proceso de certificación con la entidad acreditada que tú elijas. Para sistemas de categoría básica, la conformidad se acredita mediante una declaración de conformidad autoevaluada conforme a la CCN-STIC 809, que sí preparamos y acompañamos íntegramente.
El cumplimiento del ENS es un requisito de solvencia técnica en los pliegos de contratos públicos que afectan a sistemas de información. Si quieres licitar con la Diputación de Burgos, el Ayuntamiento de Burgos o la UBU en contratos que impliquen gestión de datos o sistemas de la Administración, es habitual que los pliegos exijan la acreditación de adecuación al ENS en la categoría que corresponda al contrato. No haberla completado puede excluirte de plano de esa licitación. Iniciar el proyecto con suficiente antelación —mínimo tres a seis meses para categoría básica, nueve a dieciocho para media o alta— es la única garantía de llegar a tiempo.
La adecuación al ENS en Burgos desde el sistema de gestión se complementa con la implantación técnica de las medidas del Anexo II que ejecuta Summum Sistemas: análisis de riesgos con MAGERIT y la herramienta PILAR, hardening de sistemas, configuración de la monitorización y preparación del paquete de evidencias técnicas. Juntos, los dos equipos cubren el plano documental-normativo y el plano técnico-operativo en un único proyecto coordinado, sin que tengas que gestionar dos proveedores distintos para la misma adecuación.
La página central del servicio ENS de Summum Calidad: marco normativo completo del RD 311/2022, proceso de adecuación, diferencias entre categorías y vías de conformidad para proveedores de la Administración Pública española.
Ver servicio →calidadAdecuación al ENS en Valladolid: acompañamiento para proveedores de la Junta de Castilla y León, la Diputación de Valladolid y el Ayuntamiento de Valladolid desde el enfoque de sistema de gestión de Summum Calidad.
Ver servicio →calidadAdecuación al ENS en Palencia: servicio local para proveedores de la Diputación de Palencia y el Ayuntamiento de Palencia, orientado a la declaración o certificación de conformidad según categoría.
Ver servicio →