La Diputación de León, el Ayuntamiento de León y la Universidad de León (ULE) son entidades sujetas al Esquema Nacional de Seguridad. Esto significa que cualquier empresa que les suministre software, servicios tecnológicos o soluciones de tratamiento de datos debe adecuarse al RD 311/2022 (BOE-A-2022-7191) para poder licitar y operar con ellas.
La Diputación de León, el Ayuntamiento y la Universidad de León están sujetos al Esquema Nacional de Seguridad y lo trasladan a sus proveedores (RD 311/2022). Para el ENS en León trabajamos la categorización del sistema, las medidas del Anexo II y la preparación de la declaración o certificación de conformidad.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Documento que justifica la categoría asignada —básica, media o alta— valorando el impacto en las cinco dimensiones CIDAT para cada servicio prestado a organismos públicos de León, con metodología trazable y referenciada al RD 311/2022.
Tabla cruzada de las 73 medidas del Anexo II del ENS con los controles de tu sistema ISO 27001:2022, identificando reutilizaciones directas, brechas parciales y controles ausentes, con esfuerzo estimado para cerrar cada gap antes de la auditoría de conformidad.
Documento formal que recoge, para cada medida del Anexo II del ENS y cada control del Anexo A de la ISO 27001:2022, si aplica al sistema, el grado de implantación y la justificación de las exclusiones, en el formato esperado por auditores de conformidad y por la CCN-STIC 809.
Política corporativa redactada según los requisitos del artículo 12 del RD 311/2022, adaptada a la estructura y cultura de la organización: propósito, alcance, roles, compromisos de la dirección, ciclo de revisión bienal y alineación con los contratos de prestación de servicios a la Administración leonesa.
Conjunto completo de procedimientos operativos y registros que acreditan la implantación real de los controles: gestión de usuarios y accesos, copias de seguridad, gestión de vulnerabilidades, control de cambios, gestión de incidentes, formación del personal y seguimiento de indicadores del SGSI.
Para sistemas de categoría media o alta, auditoría interna previa que simula el proceso de la entidad acreditada ENAC conforme a la UNE-EN ISO/IEC 17065: revisión de evidencias, identificación de puntos débiles y corrección antes de la auditoría de certificación, minimizando el riesgo de no conformidades.
Analizamos el alcance de los servicios que prestas a organismos públicos leoneses —Diputación de León, Ayuntamiento de León, ULE u otros— y los datos que gestionas por su cuenta. Con esa información, aplicamos la metodología del Anexo I del RD 311/2022 para valorar el impacto en las cinco dimensiones CIDAT y determinar la categoría del sistema (básica, media o alta). Si ya tienes una certificación ISO 27001 o prácticas de seguridad documentadas, identificamos en este paso qué trabajo ya está hecho y qué brecha real existe hacia el ENS.
Mapeamos los controles del Anexo II del ENS —73 medidas en 16 familias— contra los controles de tu sistema de gestión ISO 27001:2022 o contra las prácticas de seguridad existentes. El resultado es una tabla priorizada de brechas con el esfuerzo estimado para cerrar cada gap, distinguiendo lo que puede reutilizarse directamente, lo que requiere ajuste documental y lo que exige implantación técnica nueva. Este análisis es el punto de partida del plan de proyecto con hitos, responsables y fechas realistas.
Diseñamos o actualizamos el sistema de gestión de la seguridad de la información para que cubra las medidas del Anexo II del ENS, y los requisitos de la ISO 27001:2022 si ya la tienes. Elaboramos la Declaración de Aplicabilidad del ENS, que justifica la selección y exclusión de controles en el formato esperado por los auditores de conformidad, y redactamos la política de seguridad de la información conforme al artículo 12 del RD 311/2022, incluyendo los roles y responsabilidades propios de tu estructura organizativa.
Acompañamos la implantación de las medidas de seguridad pendientes —organizativas, operacionales y de protección— y generamos la documentación de evidencias exigida: procedimientos, registros, informes de análisis de riesgos, actas de revisión por la dirección, registros de formación y planes de continuidad. Para los aspectos técnicos de implantación —hardening, monitorización, gestión de vulnerabilidades, controles cloud de la familia op.nub— coordinamos con Summum Sistemas, que cubre el plano técnico-operativo del proyecto.
Summum Calidad acompaña a empresas leonesas y del entorno provincial en ese proceso desde el enfoque del sistema de gestión de la seguridad de la información (SGSI), centrado en los requisitos del ENS y, si ya tienes ISO 27001, aprovechando sus controles comunes para evitar duplicidades. Si quieres seguir siendo proveedor de la Administración en León, la adecuación al ENS no es optativa: te ayudamos a afrontarla con orden, rigor y el menor impacto posible en tu operativa diaria.
En León no hay un único interlocutor ENS. Conviven tres marcos de seguridad aprobados por separado, y el punto de entrada de una empresa proveedora cambia según con quién contrate.
El Ayuntamiento de León tiene Política de Seguridad publicada en su sede electrónica, versión 1.1, revisada por el Responsable de Seguridad el 18 de septiembre de 2023 y aprobada por el Comité de Seguridad el 20 de septiembre de 2023. Su marco normativo cita expresamente el RD 311/2022.
Ese documento contiene la cláusula que más afecta a una empresa leonesa: el Ayuntamiento exige que los operadores del sector privado que presten servicios a las entidades públicas estén en condiciones de exhibir la Declaración de Conformidad con el ENS para sistemas de categoría básica, o la Certificación de Conformidad para categorías media o alta. En la práctica, el papel de conformidad deja de ser una mejora de la oferta y pasa a ser condición de contrato.
La Universidad de León aprobó el 27 de noviembre de 2023 una nueva Política de Seguridad que sustituye a la vigente desde el 14 de diciembre de 2018, y creó un Comité de Seguridad de la Información presidido por el rector.
La ULE declara que trabaja en la adecuación de sus sistemas al ENS como proceso de mejora continua, apoyándose en el RD 311/2022 y en la guía CCN-STIC 881 para universidades.
La Diputación de León remite al ENS en su política de identificación y firma electrónica, pero no publica una política ENS propia. El pequeño municipio leonés es aquí el eslabón débil: en febrero de 2026, ALETIC propuso a la Diputación un servicio provincial de asistencia técnica que iría desde el cumplimiento del Esquema Nacional de Seguridad hasta auditorías de protección de datos. A día de hoy es una propuesta, no un servicio adjudicado.
Un matiz autonómico que conviene no confundir. El Decreto 22/2021 aprueba la política de seguridad de la Administración de Castilla y León, pero su artículo 2 la limita a la Administración General de la Comunidad, sus organismos autónomos y entes públicos de derecho privado. No alcanza a las entidades locales ni a la Universidad.
Summum Calidad acompaña a la empresa leonesa en el diagnóstico, la categorización y la preparación de la evidencia. La declaración la firma la organización; la certificación, una entidad acreditada.
Desde Summum Calidad abordamos la adecuación al ENS desde el enfoque del sistema de gestión, que es el mismo que rige la ISO 27001:2022: política de seguridad, análisis de riesgos, selección de medidas proporcionales al nivel de impacto del sistema, implantación con evidencias auditables y ciclo de revisión y mejora continua.
El Anexo II del RD 311/2022 recoge 73 medidas de seguridad organizadas en tres marcos —organizativo, operacional y de protección— y 16 familias, incluyendo la familia op.nub específica para servicios en la nube.
La consultoría ISO 27001 es un servicio distinto del ENS: si ya tienes el SGSI o quieres certificarlo, se puede integrar con la adecuación.
Si tratas datos personales por cuenta de la Administración, el sistema de gestión de privacidad ISO 27701 es otra norma que puede sumarse al mismo proyecto.
Esta estructura es compatible con el Anexo A de la ISO 27001:2022, lo que permite construir un único sistema de gestión que cumpla con ambas normas. Para una empresa proveedora de la Administración leonesa, trabajar con ese enfoque integrado no solo ahorra tiempo y coste: también posiciona a la organización para responder con agilidad cuando los pliegos de contratación exijan acreditación de conformidad con el ENS.
El proceso de adecuación comienza con la categorización del sistema según el Anexo I del RD 311/2022: se evalúa el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para cada servicio en alcance, y el resultado determina si el sistema es de categoría básica, media o alta.
La categoría define tanto el subconjunto de medidas del Anexo II que son obligatorias como la vía de conformidad requerida: para sistemas de categoría básica, basta con una declaración de conformidad autoevaluada siguiendo la guía CCN-STIC 809; para sistemas de categoría media o alta, la conformidad debe certificarla una entidad de certificación acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Calidad acompaña todo ese proceso —diagnóstico, categorización, implantación, documentación y preparación para la auditoría— pero no emite certificados de conformidad, que son competencia exclusiva de las entidades acreditadas.
Para saber en qué categoría estás puedes probar el autodiagnóstico de la categoría ENS.
Adecuación al ENS en León: sistema de gestión de la seguridad para proveedores de la Administración
Porque el artículo 2 del RD 311/2022 extiende el ámbito de aplicación del ENS a las entidades privadas que presten servicios o suministren productos a entidades del sector público sujetas a la norma. La Diputación de León, el Ayuntamiento de León y la Universidad de León (ULE) son organismos públicos sujetos al ENS; por tanto, cualquier empresa que les proporcione software, servicios de alojamiento, mantenimiento de sistemas o tratamiento de datos por su cuenta debe adecuarse. Si participas en licitaciones de estos organismos y no puedes acreditar tu adecuación, puedes quedar excluido de esos procedimientos de contratación.
El ENS establece tres categorías: básica, media y alta. La categoría se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para los servicios en alcance. Si el impacto máximo en cualquier dimensión es bajo, el sistema es básico; si alguna dimensión llega a impacto medio, es medio; si alguna alcanza impacto alto, es alto. Para una empresa de servicios tecnológicos que trabaja con el Ayuntamiento de León en un sistema de gestión documental, por ejemplo, la categoría habitual suele ser básica o media. La categoría define qué medidas del Anexo II son obligatorias y si basta con una declaración de conformidad autoevaluada (categoría básica) o se necesita certificación por entidad acreditada por ENAC (media y alta).
El Anexo II del RD 311/2022 recoge las 73 medidas de seguridad que los sistemas sujetos al ENS deben aplicar en función de su categoría. Estas medidas se organizan en tres marcos —organizativo (4 familias), operacional (7 familias, incluyendo op.nub para servicios en la nube) y de protección (5 familias)— con un total de 16 familias. No todas las medidas son obligatorias para todos los sistemas: el Anexo II indica para cada medida si aplica a sistemas de categoría básica, media, alta o a todas. El trabajo de análisis de brechas consiste precisamente en identificar cuáles de esas medidas aplican al sistema de tu organización y cuáles ya están cubiertas por los controles de tu sistema de gestión ISO 27001.
Sí. La Universidad de León es una universidad pública y, como tal, está sujeta al ENS. Eso implica que sus proveedores de sistemas de información —software de gestión académica, servicios en la nube, mantenimiento de infraestructuras, procesamiento de datos de estudiantes— deben acreditar su adecuación al ENS si sus sistemas entran en contacto con los de la ULE. La exigencia concreta depende del pliego de cada contratación, pero la tendencia regulatoria es que los requisitos de conformidad con el ENS aparezcan de forma progresiva en los contratos de servicios TIC de las universidades públicas españolas.
Sí, y es la forma más eficiente de hacerlo. La ISO 27001:2022 y el ENS comparten una estructura de gestión muy similar: política de seguridad, análisis de riesgos, selección de controles proporcionales, implantación con evidencias y revisión periódica. Muchos controles del Anexo A de la ISO 27001:2022 coinciden con medidas del Anexo II del ENS, por lo que el gap se concentra en los aspectos específicos del marco español: la categorización del Anexo I, las medidas sin equivalente exacto en ISO 27001 y el formato de documentación requerido por la CCN. Summum Calidad realiza el análisis de brechas preciso y cierra únicamente lo que falta, sin rehacer lo que ya funciona en tu SGSI.
No. Summum Calidad no emite certificados de conformidad con el ENS ni realiza auditorías de certificación. Para sistemas de categoría básica, preparamos la documentación necesaria para que tu organización emita su propia declaración de conformidad autoevaluada conforme a la CCN-STIC 809. Para sistemas de categoría media o alta, realizamos una revisión pre-auditoría exhaustiva y te acompañamos durante el proceso, pero la certificación la emite una entidad de certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 que la organización elige libremente. Nuestro papel es prepararte para superar ese proceso con las mayores garantías y el menor riesgo de no conformidades.
La adecuación al ENS desde el sistema de gestión se completa con la implantación técnica de las medidas del Anexo II que realiza Summum Sistemas: análisis de riesgos con metodología MAGERIT y herramienta PILAR, hardening de sistemas y servicios, monitorización de eventos de seguridad, controles cloud de la familia op.nub y preparación del paquete de evidencias técnicas para la auditoría de conformidad. Los dos equipos trabajan coordinados en un único proyecto que cubre el plano documental-normativo y el plano técnico-operativo, sin duplicar esfuerzo ni transferir la responsabilidad de un equipo a otro.
Página principal del servicio ENS de Summum Calidad: el marco completo de la adecuación al Esquema Nacional de Seguridad, con el detalle de categorías, medidas del Anexo II y vías de conformidad para cualquier organización proveedora de la Administración española.
Ver servicio →calidadAcompañamiento en adecuación al ENS para empresas proveedoras de organismos públicos de Palencia, con el mismo enfoque de sistema de gestión de la seguridad que aplicamos en León y el entorno provincial castellanoleonés.
Ver servicio →calidadAdecuación al ENS para proveedores de la Administración en Valladolid: Junta de Castilla y León, Diputación de Valladolid y Ayuntamiento de Valladolid, con enfoque de sistema de gestión de la seguridad.
Ver servicio →