El ENS en la administración pública de Las Palmas de Gran Canaria
Trabajar con la administración desde Las Palmas de Gran Canaria significa tratar con un mapa de órganos muy concreto, y cada uno va a distinto ritmo en su adecuación al ENS.
El Cabildo de Gran Canaria recoge expresamente el Real Decreto 311/2022 entre la normativa reguladora de su sede electrónica, aunque no publica en ella declaración ni certificación de conformidad. La Universidad de Las Palmas de Gran Canaria reconoce en su Servicio de Informática que se encuentra «en plena adecuación de sus sistemas de información al Esquema Nacional de Seguridad»; su página pública todavía cita el derogado RD 3/2010, lo que indica que la documentación de adecuación no se ha revisado contra el marco vigente.
Hay una capa canaria que no existe en otras comunidades. La Orden de 31 de julio de 2013 fija el marco común y las directrices básicas de la política de seguridad de la información en la Administración Electrónica de la Comunidad Autónoma de Canarias, y sigue figurando como normativa reguladora vigente junto al propio RD 311/2022. Quien presta servicios a un organismo autonómico con sede en la ciudad tiene que encajar en ambos marcos, no solo en el estatal.
El factor que más está moviendo el mercado local es CSIRT-CAN. El Gobierno de Canarias creó este centro de respuesta a incidentes con 7,49 millones de euros de fondos Next Generation EU, y entre sus servicios declarados figura prestar asistencia y realizar auditorías para la certificación con el ENS. El Ayuntamiento de Las Palmas de Gran Canaria aprobó su adhesión en Junta de Gobierno en abril de 2026, con un convenio vigente hasta el 31 de diciembre de 2027 y prorrogable cuatro años más.
Para un proveedor esto se traduce en algo práctico: las administraciones de la isla están entrando en un circuito que incluye auditoría. El momento de ordenar la categorización, la Declaración de Aplicabilidad y las evidencias no es cuando llega el auditor. En Summum acompañamos ese trabajo previo —diagnóstico, análisis de brechas frente a ISO 27001 y preparación de la documentación—; la certificación la emite una entidad acreditada, nunca nosotros.
Summum Calidad aborda la adecuación al ENS desde la perspectiva del sistema de gestión de la seguridad de la información, el mismo eje que articula la ISO 27001:2022. El ENS no es un checklist técnico desconectado de la gestión; su estructura —política de seguridad, análisis de riesgos, categorización del sistema, selección de medidas proporcionales, revisión y mejora continua— reproduce el ciclo PDCA que la ISO 27001 lleva décadas aplicando al contexto corporativo. Cuando una empresa proveedora ya dispone de la norma ISO 27001 certificada, o trabaja activamente hacia ella, el camino hacia el ENS se acorta de forma significativa: los controles del Anexo A de la ISO 27001:2022 cubren directamente muchas de las 73 medidas del Anexo II del ENS, distribuidas en tres marcos (organizativo, operacional y de protección) y dieciséis familias, incluida la familia op.nub, que regula el uso de servicios en la nube —especialmente relevante para empresas que prestan servicios cloud a la Administración canaria.
La categoría ENS del sistema —básica, media o alta, según el impacto en las cinco dimensiones de seguridad CIDAT— determina tanto las medidas exigibles como la vía de conformidad. Para sistemas de categoría básica, la norma permite una declaración de conformidad autoevaluada conforme a la CCN-STIC 809, sin intervención de un tercero acreditado. Para categoría media o alta, la certificación debe realizarla una entidad de inspección acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065. Summum Calidad no emite certificados de conformidad —esa es competencia exclusiva de los terceros acreditados—; nuestro trabajo consiste en preparar el sistema de gestión de la organización para que, cuando llegue ese auditor externo, encuentre controles realmente implantados, documentación rigurosa y evidencias auditables. El objetivo es que la auditoría de conformidad sea la culminación natural de un trabajo bien hecho, no una prueba de improviso.