La Diputación Provincial de Palencia y el Ayuntamiento de Palencia están sujetos al Esquema Nacional de Seguridad. Eso significa que las empresas que les prestan servicios tecnológicos, gestionan sus sistemas de información o quieren acceder a sus licitaciones deben adecuarse también al ENS. En Summum Calidad abordamos esa adecuación desde el sistema de gestión de la seguridad de la información (SGSI).
Quien presta servicios tecnológicos a la Diputación Provincial o al Ayuntamiento de Palencia comparte su obligación de cumplir el Esquema Nacional de Seguridad (RD 311/2022). Abordamos el ENS en Palencia desde la categorización del sistema hasta la declaración o certificación de conformidad que corresponda.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Documento que justifica la categoría asignada —básica, media o alta— valorando el impacto en las cinco dimensiones CIDAT para cada servicio en alcance vinculado a la Administración pública de Palencia, con metodología trazable y referenciada al RD 311/2022.
Tabla cruzada de los 73 controles del Anexo II del ENS con los controles de tu sistema de gestión existente, identificando reutilizaciones, brechas parciales y controles ausentes, con esfuerzo estimado para cerrar cada gap antes de la auditoría de conformidad.
Documento formal que recoge la selección y exclusión justificada de los controles del ENS y del Anexo A de la ISO 27001:2022, conforme al formato esperado por los auditores de conformidad y por la CCN-STIC 809.
Política corporativa redactada según los requisitos del artículo 12 del RD 311/2022 y adaptada a la estructura y cultura de tu organización: propósito, alcance, roles, compromisos de la dirección y ciclo de revisión bienal.
Conjunto estructurado de procedimientos operativos y registros que acreditan la implantación real de los controles del Anexo II: gestión de usuarios y accesos, copias de seguridad, gestión de vulnerabilidades, control de cambios, gestión de incidentes y formación del personal.
Para categoría media o alta, auditoría interna previa que simula el proceso de la entidad acreditada ENAC: revisión de evidencias, detección de puntos débiles y corrección antes de que llegue el auditor externo, reduciendo el riesgo de no conformidades en la auditoría de certificación.
Analizamos el alcance real de los servicios que prestas a la Diputación Provincial de Palencia, al Ayuntamiento de Palencia o a cualquier otro organismo público local, identificamos los sistemas de información implicados y determinamos la categoría ENS que les corresponde según el Anexo I del RD 311/2022, valorando el impacto en las cinco dimensiones CIDAT. Si dispones de una certificación ISO 27001 vigente, evaluamos en paralelo el punto de partida para aprovechar controles ya implantados y reducir el alcance del proyecto.
Mapeamos los 73 controles del Anexo II del ENS contra las prácticas de seguridad y los controles de tu sistema de gestión existente. El resultado es una tabla priorizada de brechas —controles ausentes, parcialmente implantados y reutilizables directamente— con el esfuerzo estimado para cerrar cada gap y un plan de trabajo estructurado con plazos realistas orientados a la conformidad.
Diseñamos o actualizamos el sistema de gestión de la seguridad de la información para que cubra los requisitos del ENS, y los de la ISO 27001:2022 si ya la tienes. Elaboramos la Declaración de Aplicabilidad del ENS, que justifica la selección y exclusión de cada control del Anexo II conforme al formato esperado por los auditores de conformidad, y redactamos la política de seguridad de la información adaptada al artículo 12 del RD 311/2022.
Acompañamos la implantación de las medidas de los tres marcos del Anexo II —organizativo, operacional y de protección— y generamos la documentación de evidencias requerida: procedimientos de gestión de accesos, copias de seguridad, gestión de vulnerabilidades, control de cambios y gestión de incidentes. La parte técnica de implantación de controles la coordinamos con Summum Sistemas para que el plano normativo y el plano técnico avancen juntos.
Palencia es un caso poco habitual. Mientras en buena parte de España la implantación del ENS en municipios pequeños sigue pendiente, aquí se probó primero. En noviembre de 2022, cinco ayuntamientos palentinos —Villamuera de la Cueza, Cardeñosa de Volpejera, Riberos de la Cueza, Valle de Retortillo y Villanueva del Rebollar— fueron los primeros de España en obtener el certificado de conformidad con el ENS aprobado por el RD 311/2022. El Centro Criptológico Nacional certificó sus sistemas en categoría básica, conforme al perfil de cumplimiento específico de requisitos esenciales de seguridad, dentro de un plan piloto del CCN-CERT para implantar MicroCENS en la provincia. En el mismo programa participaron Saldaña, Astudillo, Baltanás, Villalobón y Villaumbrales.
El Ayuntamiento de Palencia anunció en marzo de 2023 el certificado ENS de su Servicio de Informática, con una inversión superior a 300.000 euros procedente de los fondos Next Generation del Plan de Recuperación. El proyecto incluyó una Oficina Técnica de Seguridad de la Información (OTSI) y la contratación de un centro de operaciones de seguridad con vigilancia 24x7. La categoría del sistema certificado no consta publicada.
A escala provincial, la Diputación de Palencia declaró en marzo de 2025 que el 80% de los ayuntamientos de la provincia cuenta ya con la certificación, y que su SOC monitoriza los sistemas de 190 ayuntamientos palentinos. Conviene saber, en cambio, que la declaración de conformidad publicada en su sede electrónica sigue fechada el 27 de diciembre de 2011 y se emite al amparo del artículo 41 del RD 3/2010, con un plan de adecuación con horizonte en enero de 2014.
Qué cambia esto si eres proveedor. Cuando el cliente ya está certificado y vigilado por un SOC, la exigencia no llega como una cláusula de estilo: llega como una comprobación. Los pliegos concretan el nivel que debe acreditar el proveedor y en qué momento.
Normativa autonómica que se suma al ENS. Castilla y León tiene política propia: el Decreto 22/2021, de 30 de septiembre. Su artículo 2 la aplica a la Administración General de la Comunidad, sus organismos autónomos y entes públicos de derecho privado cuando ejerzan potestades administrativas —no a las entidades locales—, así que pesa si contratas con la Delegación Territorial de la Junta en Palencia o con el Complejo Asistencial Universitario de Palencia (Sacyl), no con el Ayuntamiento ni con la Diputación.
En Summum acompañamos la adecuación y preparamos la evidencia; la conformidad la declara o certifica quien tiene competencia para hacerlo.
Summum Calidad trata la adecuación al ENS como lo que es: la construcción o actualización de un sistema de gestión de la seguridad de la información orientado al contexto de la Administración Pública española. El ENS articula sus requisitos en torno a los mismos pilares que la ISO 27001:2022 —política de seguridad, análisis de riesgos, selección proporcional de medidas y mejora continua—, lo que permite integrar ambas normas en un único proyecto.
La consultoría ISO 27001 es un servicio distinto del ENS: si ya tienes el SGSI o quieres certificarlo, se puede integrar con la adecuación.
Si tratas datos personales por cuenta de la Administración, el sistema de gestión de privacidad ISO 27701 es otra norma que puede sumarse al mismo proyecto.
El Anexo II del RD 311/2022 recoge 73 medidas estructuradas en tres marcos (organizativo, operacional y de protección) y 16 familias, incluyendo la familia op.nub para servicios en la nube. Cuando una empresa proveedora de la Diputación o el Ayuntamiento de Palencia ya tiene la ISO 27001 certificada o en curso, el solapamiento con las medidas del Anexo II del ENS es significativo: el análisis de brechas identifica con precisión qué falta y qué puede reutilizarse directamente, reduciendo el coste y el tiempo del proyecto.
La categoría del sistema —básica, media o alta— se determina valorando el impacto que un incidente de seguridad tendría sobre las cinco dimensiones CIDAT (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) para cada servicio en alcance, conforme al Anexo I del RD 311/2022.
Esa categoría define las medidas del Anexo II que son obligatorias y la vía de conformidad exigible: para sistemas de categoría básica es suficiente una declaración de conformidad autoevaluada según la CCN-STIC 809; para categoría media o alta se requiere certificación por una entidad de certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065. Summum Calidad no emite ese certificado —eso es competencia exclusiva de los terceros acreditados—, pero prepara el sistema de la organización para afrontar ese proceso con garantías: desde el diagnóstico inicial hasta la revisión previa a la auditoría de conformidad.
Atendemos a las empresas palentinas en nuestro punto de atención concertada en Palencia.
Adecuación al ENS en Palencia: sistema de gestión para proveedores de la Administración
La Diputación Provincial de Palencia y el Ayuntamiento de Palencia son administraciones territoriales del sector público español y quedan directamente sujetas al ENS conforme al artículo 2 del RD 311/2022. Además, están sujetos otros organismos dependientes o vinculados, como patronatos, consorcios y entidades instrumentales de la Administración local palentina. Cualquier empresa que preste servicios tecnológicos, gestione sistemas de información o procese datos de ciudadanos en nombre de esos organismos comparte la obligación de adecuarse al ENS en lo que les afecte.
Depende de la categoría del sistema de información implicado en el contrato. Si los sistemas son de categoría básica, es suficiente una declaración de conformidad autoevaluada conforme a la CCN-STIC 809; no se necesita certificación por tercero acreditado. Si son de categoría media o alta, la certificación por una entidad de certificación acreditada por ENAC conforme a la UNE-EN ISO/IEC 17065 es obligatoria. Los pliegos de contratación de cada licitación suelen especificar el nivel de exigencia concreto; es recomendable revisarlos antes de iniciar el proceso de adecuación.
Porque el ENS y la ISO 27001:2022 comparten la misma arquitectura de gestión: política de seguridad, análisis de riesgos, selección proporcional de controles y mejora continua. Muchos controles del Anexo II del ENS tienen su equivalente directo en el Anexo A de la ISO 27001:2022, de modo que quien ya tiene la norma certificada puede cerrar el gap hacia el ENS concentrándose solo en los aspectos específicos del marco español. Abordarlos de forma integrada evita duplicar documentación, reduce la carga de auditoría y optimiza el coste total del proyecto.
El Anexo II del RD 311/2022 recoge 73 medidas de seguridad distribuidas en tres marcos y 16 familias. El marco organizativo agrupa las medidas de política, normativa, procedimientos y autorización; el marco operacional incluye 7 familias con 33 medidas que cubren la planificación, control de acceso, explotación, recursos externos, continuidad y la familia op.nub para servicios en la nube; el marco de protección recoge las medidas de protección de activos concretos. No todas las medidas son obligatorias para todos los sistemas: el subconjunto aplicable depende de la categoría (básica, media o alta) asignada al sistema en el proceso de categorización del Anexo I.
El plazo depende de la categoría del sistema, el tamaño de la organización y el punto de partida en materia de seguridad. Para sistemas de categoría básica con prácticas de seguridad ya implantadas, el proceso puede completarse en tres a seis meses. Para categoría media o alta, sin ISO 27001 previa, el proceso suele requerir entre nueve y dieciocho meses, incluyendo el análisis de riesgos, la implantación de medidas y la auditoría de conformidad por la entidad acreditada. Con ISO 27001 certificada, los plazos se reducen de forma significativa.
Cuando una empresa ya tiene la ISO 27001 certificada o en proceso de certificación, Summum Calidad realiza un análisis de brechas preciso que mapea los controles del Anexo II del ENS contra los controles ya implantados en el SGSI. El resultado es un inventario de lo que puede reutilizarse directamente —sin trabajo adicional—, lo que requiere ajuste documental y lo que es genuinamente nuevo respecto al ENS. De ese modo, el proyecto se concentra en cerrar únicamente los gaps reales, sin rehacer lo que ya funciona, y el coste se reduce de forma considerable respecto a un proyecto de adecuación desde cero.
La adecuación al ENS desde el sistema de gestión se refuerza cuando va acompañada de la implantación técnica de las medidas del Anexo II que ejecuta Summum Sistemas: análisis de riesgos con MAGERIT y PILAR, hardening de sistemas, monitorización de eventos de seguridad y preparación del paquete de evidencias técnicas. Los dos equipos cubren el plano normativo-documental y el plano técnico-operativo en un único proyecto coordinado, evitando huecos entre marcos.
Página principal de la práctica ENS de Summum Calidad: marco normativo completo, metodología de adecuación y diferencias entre la declaración de conformidad autoevaluada y la certificación por entidad acreditada ENAC.
Ver servicio →calidadAdecuación al ENS en Valladolid para proveedores de la Junta de Castilla y León y otras administraciones de la capital regional, con el mismo enfoque de sistema de gestión de la seguridad.
Ver servicio →calidadAdecuación al ENS en Burgos: acompañamiento a proveedores de la Diputación Provincial de Burgos y el Ayuntamiento de Burgos desde el sistema de gestión de la seguridad de la información.
Ver servicio →