Bizkaia no tiene diputación provincial de régimen común: tiene Diputación Foral, con competencias y estructura propias, y una sociedad pública de informática — Lantik, S.A.M.P. — que concentra buena parte de los sistemas de información forales. Ese detalle, que parece administrativo, decide cómo se entra: el interlocutor técnico real de muchos contratos tecnológicos del territorio histórico no es la consejería, es la sociedad foral. Y Lantik publica en su web un certificado de conformidad con el ENS —ENS-2018/0011, categoría MEDIA— junto a su certificado ISO 27001 SI-0007/2011 (consultado el 13 de agosto de 2026). Lantik no publica la ventana de validez de ese certificado, así que conviene confirmar su estado vigente antes de apoyarse en él. Cuando el sistema con el que te vas a interconectar lleva años certificado, las preguntas que te van a hacer en la fase técnica no son genéricas. Summum Sistemas prepara esa parte: la implantación real de las medidas del Anexo II del RD 311/2022 sobre tus sistemas.
El sector público sujeto al ENS en el entorno de Bilbao tiene varias capas y conviene no mezclarlas. Está el Gobierno Vasco y sus departamentos; está la Diputación Foral de Bizkaia, con su régimen foral propio y sus sociedades públicas, entre ellas Lantik; está el Ayuntamiento de Bilbao; está la Universidad del País Vasco / Euskal Herriko Unibertsitatea; y está Osakidetza, el servicio vasco de salud. Todas son entidades del sector público a efectos del artículo 2.1 del RD 311/2022, que remite al artículo 2 de la Ley 40/2015. Lo que las distingue para un proveedor es el circuito de contratación y quién ejerce de contraparte técnica, no el nivel de exigencia normativa: el ENS es el mismo en Bilbao que en cualquier otro punto de España.
La obligación para la empresa privada nace del artículo 2.3, y su redacción es directa: el real decreto se aplica también a los sistemas de información de las entidades del sector privado, «incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas». Ese mismo artículo obliga a que los pliegos contemplen los requisitos necesarios para asegurar la conformidad, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS», y extiende la cautela a la cadena de suministro del contratista. Hay además una fecha que ya pasó: la disposición transitoria única concedió veinticuatro meses a los sistemas preexistentes — incluidos expresamente los de los contratistas del sector privado — para alcanzar su plena adecuación, contados desde la entrada en vigor el 5 de mayo de 2022.
En un proyecto que se va a interconectar con plataformas forales ya certificadas, el peso técnico se desplaza hacia dos sitios. El primero es el control de accesos, la familia op.acc del Anexo II, porque la identificación y autenticación entre sistemas de organizaciones distintas es donde se concentran los hallazgos. El segundo es op.ext, servicios externos, incluida op.ext.3, protección de la cadena de suministro. A eso se suma la interconexión propiamente dicha: la guía CCN-STIC-811 del Centro Criptológico Nacional exige DMZ en categorías MEDIA y ALTA y sitúa el IDS/IPS como obligatorio en ALTA, y la CCN-STIC-807 fija los algoritmos admisibles — TLS 1.2 como versión mínima, AES-256, SHA-256 o superior, con HSM obligatorio en categoría ALTA. Ninguna de esas guías es el RD: son el desarrollo técnico del CCN, y por eso se citan como tales.
Determinamos con quién se firma y con qué sistema hay que interoperar de verdad: Gobierno Vasco, Diputación Foral de Bizkaia y sus sociedades públicas, Ayuntamiento de Bilbao, UPV/EHU u Osakidetza. El circuito foral tiene sus propios instrumentos, y el requisito técnico que acaba en el contrato depende de cuál de ellos se recorre.
Aplicamos el Anexo I para fijar la categoría — BÁSICA, MEDIA o ALTA — valorando el impacto sobre las cinco dimensiones del artículo 40.2. El análisis de riesgos lo hacemos con MAGERIT modelado en PILAR, según la guía CCN-STIC-839; el RD no impone metodología, pero esta es la referencia del CCN y la que reconocen los equipos técnicos de la administración.
Implantamos las medidas de la familia op.acc — identificación, autenticación de usuarios externos y de la organización, acceso remoto — y diseñamos la interconexión conforme a la CCN-STIC-811: zonificación, DMZ donde la categoría lo exige, filtrado y registro. La configuración criptográfica se ajusta a la CCN-STIC-807.
Tratamos op.ext, incluida la protección de la cadena de suministro, que es la medida que más se subestima cuando el producto integra componentes de terceros. Y cerramos con el paquete de evidencias que sostiene la vía de conformidad del artículo 38: autoevaluación en BÁSICA, auditoría de certificación en MEDIA y ALTA.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Lectura del pliego foral en clave técnica
Traducción de las cláusulas de seguridad del pliego a medidas concretas del Anexo II y a la vía de conformidad exigida, distinguiendo lo que pide la norma de lo que añade el órgano de contratación.
Informe de categorización según el Anexo I
Valoración del impacto sobre disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad, con la justificación que exige el artículo 40.2 y el detalle por servicio prestado.
Análisis de riesgos MAGERIT modelado en PILAR
Ejecución conforme a la CCN-STIC-839: activos esenciales y de soporte, dependencias, amenazas, salvaguardas y riesgo residual, con actualización mínima anual o ante cambios significativos, como recomienda esa misma guía.
Control de accesos (op.acc) para federación con plataformas forales
Implantación de identificación y autenticación, gestión de privilegios y acceso remoto, con especial atención a la autenticación de usuarios externos y de la organización cuando hay federación entre sistemas de entidades distintas.
Interconexión y criptografía conforme a CCN-STIC
Diseño de zonas, DMZ y filtrado según la CCN-STIC-811, y configuración criptográfica según la CCN-STIC-807: TLS 1.2 como mínimo, AES-256, SHA-256 o superior, y HSM cuando la categoría es ALTA.
Cadena de suministro y paquete de evidencias
Tratamiento de op.ext.3 sobre los componentes y servicios de terceros que integra tu solución, y compilación del paquete de evidencias técnicas: configuraciones, registros de auditoría, resultados de análisis de vulnerabilidades y actas de pruebas de continuidad.
Summum Sistemas se ocupa del plano técnico y Summum Calidad del plano de gestión: política de seguridad, declaración de aplicabilidad y encaje con ISO 27001. En Bizkaia el detalle importa porque el interlocutor suele llevar años con la ISO 27001 y el ENS ya integrados, y detecta a la primera cuando la documentación y el sistema implantado no describen lo mismo.
Servicio ENS principal de Summum Sistemas: visión completa del acompañamiento técnico al ENS para proveedores de la Administración, con el catálogo completo de familias de medidas, metodologías CCN y vías de conformidad disponibles.
Ver servicio → calidadSummum Calidad se ocupa en Bilbao del plano normativo y de gestión: categorización, Declaración de Aplicabilidad, política de seguridad e integración con ISO 27001. El trabajo técnico de Sistemas y el documental de Calidad se coordinan para cubrir el ENS en su totalidad.
Ver servicio →El régimen foral cambia el marco competencial y el circuito de contratación, no el Esquema Nacional de Seguridad. El RD 311/2022 se aplica a todo el sector público en los términos del artículo 2 de la Ley 40/2015, y a las entidades privadas que le presten servicios o provean soluciones por relación contractual, para el ejercicio por estas de sus competencias y potestades administrativas (artículo 2.3). Las categorías, las medidas del Anexo II y las vías de conformidad del artículo 38 son las mismas. Lo que cambia en la práctica es con quién negocias y qué sistemas concretos tienes delante.
No. El certificado acredita la conformidad de los sistemas de esa entidad, no de los tuyos. Lo que sí ocurre es que la interconexión con un sistema certificado suele endurecer lo que te exigen: te van a pedir acreditar tu propia conformidad y, según la categoría, medidas concretas de la familia op.acc y de interconexión. El artículo 2.3 del RD además extiende la exigencia a la cadena de suministro del contratista, así que los componentes de terceros que integres también entran en la conversación.
La disposición transitoria única del RD 311/2022 dio veinticuatro meses a los sistemas preexistentes a su entrada en vigor — incluidos expresamente los de los contratistas del sector privado — para alcanzar la plena adecuación, y la norma entró en vigor el 5 de mayo de 2022. El efecto práctico de no estar adecuado no es tanto sancionador como de acceso: los pliegos deben exigir la conformidad conforme al artículo 2.3, y sin ella la oferta puede decaer en la fase técnica o generar incumplimientos durante la ejecución.
INES es el Informe Nacional del Estado de la Seguridad, citado con ese nombre en el preámbulo del RD 311/2022 junto al cuerpo de guías CCN-STIC y a la capacidad de respuesta a incidentes CCN-CERT, todos del Centro Criptológico Nacional. Es el instrumento con el que se recoge y consolida el estado de la seguridad. Para una empresa, su utilidad es de método: permite estructurar la autoevaluación del grado de implantación de las medidas antes de exponerse a una revisión externa.
El Anexo II del RD 311/2022 contiene 73 medidas organizadas en 16 familias y tres marcos: organizativo, operacional y de protección. Cuántas te aplican depende de la categoría del sistema y de tu alcance: cada medida lleva asignado un nivel de exigencia por categoría — desde «no aplica» hasta la aplicación con refuerzos, que el propio anexo numera de R1 en adelante. Por eso el orden correcto es categorizar primero y analizar riesgos después; contar medidas antes de eso no dice nada útil.
No. Hacemos la implantación técnica y preparamos el sistema y las evidencias. La conformidad se determina por la vía del artículo 38.1 — autoevaluación en categoría BÁSICA, que puede someterse igualmente a una auditoría de certificación, y auditoría de certificación en MEDIA y ALTA — y los requisitos exigibles a las entidades certificadoras los concreta la Instrucción Técnica de Seguridad prevista en ese artículo.