En la provincia de Málaga el volumen de contratación tecnológica del sector público no está concentrado en un solo organismo: está repartido entre los ayuntamientos de la provincia, la Diputación Provincial, la Junta de Andalucía en su delegación territorial, la Universidad de Málaga y el servicio andaluz de salud. La Diputación de Málaga presta asistencia técnica a las entidades locales de la provincia para su adecuación al Esquema Nacional de Seguridad, y el propio Ayuntamiento de Málaga publica en su sede electrónica su certificado de conformidad con el ENS en categoría BÁSICA. Eso dibuja un mercado con una característica muy concreta: la mayoría de los sistemas con los que vas a interoperar son de categoría BÁSICA, y ahí la vía de conformidad es la declaración, no la certificación. Summum Sistemas implanta la parte técnica que la sostiene.
Trabajar con administración local tiene consecuencias técnicas que conviene entender antes de dimensionar un proyecto. Los ayuntamientos medianos y pequeños raramente tienen equipo de ciberseguridad propio; se apoyan en la asistencia técnica de la Diputación y en proveedores externos. Eso significa que, en la práctica, buena parte de la carga de acreditar la conformidad recae en el proveedor. Y el RD 311/2022 lo prevé: su artículo 2.3 aplica el real decreto a los sistemas de información de las entidades del sector privado —incluida la obligación de contar con la política de seguridad del artículo 12— cuando presten servicios o provean soluciones a entidades del sector público, en virtud de una relación contractual, para el ejercicio por estas de sus competencias y potestades administrativas, y obliga a que los pliegos contemplen los requisitos necesarios para asegurar esa conformidad, mencionando expresamente las Declaraciones o Certificaciones de Conformidad.
La categoría BÁSICA es la puerta de entrada real de este mercado, y merece precisión porque se malinterpreta en dos direcciones. Por un lado, «básica» no significa poco: el Anexo II del RD 311/2022 reúne 73 medidas en 16 familias y tres marcos, y una parte sustancial de ellas ya es exigible en esa categoría, incluida op.nub.1, «Protección de servicios en la nube», que aplica desde BÁSICA. Por otro lado, «básica» sí cambia la vía de conformidad, y eso abarata y acorta el proceso: el artículo 38.1 establece que los sistemas de categoría BÁSICA solo requieren una autoevaluación para su declaración de conformidad —sin perjuicio de que puedan someterse igualmente a una auditoría de certificación—, mientras que los de categoría MEDIA o ALTA precisan de una auditoría para la certificación. Para una pyme tecnológica que quiere entrar en contratación municipal, esa diferencia es la que hace el proyecto viable.
El trabajo técnico, en un entorno municipal, se concentra donde están los hallazgos reales: la familia op.exp del marco operacional — inventario de activos, configuración de seguridad, gestión de cambios, protección frente a código dañino, registro de la actividad — y el control de accesos de op.acc. Sobre eso, el análisis de riesgos con MAGERIT modelado en PILAR, siguiendo la guía CCN-STIC-839 del Centro Criptológico Nacional, y la configuración criptográfica de la CCN-STIC-807. La categorización se hace conforme al Anexo I, valorando el impacto sobre las cinco dimensiones que enumera el artículo 40.2: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Nada de esto cambia por provincia; lo que cambia es a qué escala se aplica y con qué presupuesto.
Delimitamos el perímetro sin inflarlo. En proyectos con ayuntamientos, el alcance mal definido es la primera causa de sobrecoste: se acaba categorizando en MEDIA un sistema que, bien delimitado, es BÁSICA, con la diferencia de vía de conformidad que eso implica.
Fijamos la categoría valorando el impacto sobre las cinco dimensiones del artículo 40.2 y siguiendo el procedimiento del Anexo I. La justificación queda documentada, porque es lo primero que se revisa cuando alguien cuestiona que un sistema sea de categoría BÁSICA.
Nos centramos donde están los hallazgos en entornos municipales: op.exp (inventario, configuración de seguridad, gestión de cambios, protección frente a código dañino, registro de actividad), op.acc (control de accesos) y mp.com, con la criptografía ajustada a la CCN-STIC-807.
Preparamos la autoevaluación que el artículo 38.1 exige para la declaración de conformidad en categoría BÁSICA, realizada según lo dispuesto en el artículo 31 y el Anexo III, con el paquete de evidencias que la respalda.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Delimitación de alcance y categorización justificada
Perímetro ENS definido y categoría argumentada conforme al Anexo I, con la valoración de impacto sobre las cinco dimensiones del artículo 40.2 documentada servicio a servicio.
Análisis de riesgos MAGERIT modelado en PILAR
Según la guía CCN-STIC-839 del CCN: activos, amenazas, salvaguardas y riesgo residual, dimensionado al tamaño real del sistema y no a una plantilla genérica.
Medidas de explotación (op.exp) implantadas y verificables
Inventario de activos, configuración de seguridad, gestión de cambios, protección frente a código dañino y registro de la actividad, que son las medidas que primero se revisan en un entorno municipal.
Control de accesos y protección de comunicaciones
Implantación de op.acc — identificación, autenticación, gestión de privilegios — y de mp.com, con la configuración criptográfica de la CCN-STIC-807: TLS 1.2 como versión mínima, AES-256, SHA-256 o superior.
Adecuación cloud (op.nub) también en categoría BÁSICA
Verificación de op.nub.1, «Protección de servicios en la nube», que aplica ya desde categoría BÁSICA: condiciones contractuales con el proveedor y reparto real de responsabilidades.
Autoevaluación y expediente de declaración de conformidad
Preparación de la autoevaluación conforme al artículo 31 y el Anexo III, y del expediente que sostiene la declaración de conformidad prevista en el artículo 38.1 para categoría BÁSICA.
Summum Sistemas hace la implantación técnica y Summum Calidad el plano de gestión: política de seguridad, declaración de aplicabilidad y expediente normativo. En proyectos municipales, donde el presupuesto es ajustado, que los dos planos se preparen a la vez evita pagar dos veces por el mismo levantamiento de información.
Servicio ENS principal de Summum Sistemas: visión completa del acompañamiento técnico al ENS para proveedores de la Administración, con el catálogo completo de familias de medidas, metodologías CCN y vías de conformidad disponibles.
Ver servicio → calidadSummum Calidad se ocupa del plano normativo y de gestión: categorización, Declaración de Aplicabilidad, política de seguridad e integración con ISO 27001. El trabajo técnico de Sistemas y el documental de Calidad se coordinan para cubrir el ENS en su totalidad.
Ver servicio →No. Significa que la vía de conformidad es más ligera, no que las medidas desaparezcan. El Anexo II del RD 311/2022 contiene 73 medidas en 16 familias y tres marcos, y una parte sustancial ya es exigible en categoría BÁSICA — incluida op.nub.1, «Protección de servicios en la nube». Lo que cambia con la categoría es el nivel de exigencia de cada medida y los refuerzos aplicables, que el propio anexo numera de R1 en adelante.
Cada uno de lo suyo. La entidad local responde de sus propios sistemas, y para eso cuenta con la asistencia técnica que presta la Diputación de Málaga a las entidades locales de la provincia. Tú respondes de los tuyos: el artículo 2.3 del RD 311/2022 aplica el ENS a los sistemas de las entidades privadas que prestan servicios o proveen soluciones al sector público, por relación contractual, para el ejercicio por estas de sus competencias y potestades administrativas. En la práctica, cuando el cliente no tiene equipo propio, el proveedor acaba siendo quien sostiene la conversación técnica.
El artículo 38.1 del RD 311/2022 lo distingue con claridad: los sistemas de categoría BÁSICA solo requieren una autoevaluación para su declaración de conformidad, mientras que los de categoría MEDIA o ALTA precisan de una auditoría para la certificación. Ambos procedimientos se realizan según lo dispuesto en el artículo 31 y el Anexo III. Un sistema de categoría BÁSICA puede someterse voluntariamente a auditoría de certificación si le conviene comercialmente.
El artículo 38.2 del RD 311/2022 impone dar publicidad a las declaraciones y certificaciones de conformidad en los correspondientes portales de internet o sedes electrónicas. Esa obligación se dirige a los sujetos responsables de los sistemas de información comprendidos en el ámbito del artículo 2. En la práctica comercial, además, exhibir la conformidad es un argumento de venta ante un ayuntamiento que necesita acreditar la suya.
Sí. La medida op.nub.1, «Protección de servicios en la nube», del Anexo II aplica desde categoría BÁSICA y se refuerza en MEDIA y ALTA. Además, el artículo 2.3 extiende la exigencia de conformidad a la cadena de suministro del contratista. Hay que dejar documentado cómo se cubre esa medida sobre la infraestructura contratada y qué parte de la responsabilidad asumes tú frente al proveedor cloud.
No. Hacemos la implantación técnica y preparamos la autoevaluación y el paquete de evidencias. La certificación la emite un tercero, y el artículo 38.1 remite a la Instrucción Técnica de Seguridad correspondiente para concretar los requisitos exigibles a las entidades certificadoras.