En Canarias no hay diputaciones provinciales: la administración de ámbito insular la ejercen los cabildos, y en la provincia de Las Palmas eso significa tres compradores públicos insulares distintos — Gran Canaria, Lanzarote y Fuerteventura — además del Gobierno de Canarias, los ayuntamientos, la Universidad de Las Palmas de Gran Canaria y el Servicio Canario de la Salud. Para una empresa tecnológica, el mapa de contratación no se parece al peninsular. La sede electrónica del Cabildo de Gran Canaria se rige expresamente por el RD 311/2022, que regula el Esquema Nacional de Seguridad, y ese real decreto alcanza también, por su artículo 2.3, a los sistemas de las empresas privadas que prestan servicios o proveen soluciones a esas entidades para el ejercicio por estas de sus competencias y potestades administrativas. Summum Sistemas implanta técnicamente lo que la norma exige.
La primera consecuencia práctica de la estructura insular es que no existe un único interlocutor de ámbito provincial. Un proveedor que quiera trabajar en la provincia de Las Palmas se encuentra con cabildos que contratan por separado, con ayuntamientos que a menudo son pequeños y con la administración autonómica y sanitaria por encima. Todas son entidades del sector público en el sentido del artículo 2.1 del RD 311/2022, que remite al artículo 2 de la Ley 40/2015, y todas están obligadas a incluir en sus pliegos los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas en los que se sustenten los servicios prestados por los contratistas: así lo impone el artículo 2.3, que menciona expresamente la presentación de Declaraciones o Certificaciones de Conformidad y extiende la cautela a la cadena de suministro. Multiplicar interlocutores multiplica pliegos, pero no multiplica normas: el ENS es uno solo.
La segunda consecuencia es técnica y tiene que ver con dónde vive el servicio. En un territorio archipielágico, la infraestructura que soporta las aplicaciones suele estar alojada fuera de la isla o directamente en nube pública. Eso lleva el proyecto de lleno a dos familias del Anexo II. La primera es op.nub, «Servicios en la nube», cuya medida op.nub.1 «Protección de servicios en la nube» aplica desde categoría BÁSICA y se refuerza en MEDIA y ALTA: hay que acreditar cómo se protege el servicio cloud, no solo afirmarlo. La segunda es op.cont, continuidad del servicio, con sus medidas de análisis de impacto, plan de continuidad, pruebas periódicas y medios alternativos. Conviene ser preciso: el Anexo II gradúa esas medidas por categoría, y en las categorías más bajas varias de ellas no son exigibles. Lo que determina qué aplica no es la geografía, es la categoría y el análisis de riesgos.
El tercer punto es el más olvidado y no es de infraestructura. El artículo 2.3 del RD 311/2022 obliga a la entidad privada a contar con la política de seguridad del artículo 12, y precisa que en el caso de estas entidades «será aprobada […] por el órgano que ostente las máximas competencias ejecutivas». Junto a eso, el artículo 38.2 obliga a los sujetos responsables a dar publicidad, en sus portales de internet o sedes electrónicas, a las declaraciones y certificaciones de conformidad con el ENS: es decir, el estado de conformidad de las administraciones con las que quieres trabajar es información pública y consultable. El trabajo de Summum Sistemas es que tu lado de esa ecuación esté técnicamente resuelto: categorización conforme al Anexo I, análisis de riesgos con MAGERIT y PILAR siguiendo la guía CCN-STIC-839 del Centro Criptológico Nacional, e implantación verificable de las medidas del Anexo II.
Delimitamos a qué entidades vas a prestar servicio — cabildos, ayuntamientos, Gobierno de Canarias, ULPGC, Servicio Canario de la Salud — y qué sistemas tuyos quedan dentro del alcance ENS. En un mapa con varios compradores insulares, definir bien el alcance evita categorizar de más y pagar de más.
Fijamos la categoría del sistema valorando el impacto de un incidente sobre las cinco dimensiones que enumera el artículo 40.2: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. La categoría decide qué medidas del Anexo II son exigibles y con qué refuerzos, y también la vía de conformidad del artículo 38.
Trabajamos las dos familias que más pesan cuando el servicio se aloja fuera de la isla. En op.nub, la protección del servicio en la nube y la verificación de las condiciones contractuales con el proveedor. En op.cont, el análisis de impacto y —cuando la categoría lo exige— el plan de continuidad, las pruebas periódicas y los medios alternativos.
Compilamos el paquete de evidencias técnicas y preparamos la vía que corresponda: autoevaluación para la declaración de conformidad si el sistema es de categoría BÁSICA —que puede someterse igualmente a una auditoría de certificación—, o auditoría de certificación si es MEDIA o ALTA, conforme al artículo 38.1.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Alcance y categorización documentados
Delimitación del perímetro ENS y justificación de la categoría con la valoración de impacto sobre las cinco dimensiones del artículo 40.2, servicio a servicio.
Análisis de riesgos MAGERIT modelado en PILAR
Conforme a la guía CCN-STIC-839 del CCN: activos, dependencias, amenazas, salvaguardas y riesgo residual, con las decisiones de tratamiento documentadas y revisables.
Adecuación de la capa cloud (op.nub)
Verificación del encaje del proveedor de nube con op.nub.1 y de las condiciones contractuales heredadas, incluido lo que se te transfiere en el modelo de responsabilidad compartida.
Continuidad del servicio (op.cont) proporcionada a la categoría
Análisis de impacto y, cuando la categoría lo exige, plan de continuidad, pruebas periódicas y medios alternativos, con las actas que acreditan que las pruebas se hicieron de verdad.
Hardening, criptografía y registro de actividad
Bastionado de sistemas y servicios, configuración criptográfica conforme a la CCN-STIC-807 y ajuste del registro de actividad y la monitorización, que son las evidencias que primero pide cualquier revisión.
Política de seguridad del artículo 12 y evidencias
Preparación de la política que el artículo 2.3 exige a la entidad privada, con la advertencia de que debe aprobarla el órgano con las máximas competencias ejecutivas, y del paquete de evidencias técnicas para la vía de conformidad que corresponda.
El trabajo técnico de Summum Sistemas se complementa con el plano documental y de gestión de Summum Calidad. Cuando hay varios cabildos y ayuntamientos como clientes potenciales, tener una sola política de seguridad coherente y un solo expediente bien montado ahorra rehacer el trabajo en cada licitación.
Servicio ENS principal de Summum Sistemas: visión completa del acompañamiento técnico al ENS para proveedores de la Administración, con el catálogo completo de familias de medidas, metodologías CCN y vías de conformidad disponibles.
Ver servicio → calidadSummum Calidad gestiona el plano normativo y de sistema de gestión: categorización, Declaración de Aplicabilidad, política de seguridad e integración con ISO 27001. El trabajo técnico de Summum Sistemas y el documental de Summum Calidad se coordinan para cubrir el ENS sin fisuras.
Ver servicio →La administración de ámbito insular la ejercen los cabildos insulares. En la provincia de Las Palmas eso supone tres cabildos — Gran Canaria, Lanzarote y Fuerteventura — que contratan de forma independiente, además del Gobierno de Canarias, los ayuntamientos, la Universidad de Las Palmas de Gran Canaria y el Servicio Canario de la Salud. Todas son entidades del sector público a efectos del artículo 2.1 del RD 311/2022, de modo que el ENS aplica igual; lo que cambia es el número de interlocutores.
No es un problema por sí mismo, pero sí activa requisitos concretos. El Anexo II del RD 311/2022 incluye la familia op.nub «Servicios en la nube», y su medida op.nub.1 «Protección de servicios en la nube» aplica desde categoría BÁSICA, con refuerzos en MEDIA y ALTA. Hay que documentar cómo se cubren esas exigencias sobre la infraestructura contratada y qué parte del modelo de responsabilidad compartida asumes tú.
La obligación no nace de la geografía, nace de la categoría. El Anexo II gradúa las medidas de la familia op.cont — análisis de impacto, plan de continuidad, pruebas periódicas y medios alternativos — según la categoría del sistema, y en las categorías más bajas varias de ellas no resultan exigibles. Dicho esto, el análisis de riesgos es el instrumento que traduce la realidad operativa a decisiones, y un servicio cuya recuperación depende de una única conexión suele salir señalado en ese análisis.
Sí, y es una fuente de información útil antes de preparar una oferta. El artículo 38.2 del RD 311/2022 obliga a los sujetos responsables a dar publicidad, en los correspondientes portales de internet o sedes electrónicas, a las declaraciones y certificaciones de conformidad con el ENS. La sede electrónica del Cabildo de Gran Canaria, por ejemplo, se rige expresamente por ese real decreto y publica su información normativa.
Lo mínimo defendible es: alcance definido, categoría justificada conforme al Anexo I, análisis de riesgos hecho, medidas del Anexo II implantadas en la proporción que exija esa categoría, política de seguridad del artículo 12 aprobada por el órgano con máximas competencias ejecutivas, y la vía de conformidad del artículo 38 resuelta: autoevaluación en BÁSICA, auditoría de certificación en MEDIA o ALTA.
No. Implantamos técnicamente y preparamos las evidencias. La certificación de conformidad la emite un tercero; el artículo 38.1 del RD 311/2022 remite a la Instrucción Técnica de Seguridad correspondiente para los requisitos exigibles a las entidades certificadoras.