Aragón resolvió su administración electrónica concentrándola en una entidad pública: Aragonesa de Servicios Telemáticos (AST), que anunció el 11 de mayo de 2026 la renovación de su certificación en el Esquema Nacional de Seguridad en categoría ALTA, que —según la propia AST— posee desde 2018. En esa misma nota AST describe el alcance: «la totalidad de los servicios tecnológicos gestionados por AST», no solo el alojamiento de aplicaciones de administración electrónica. AST no publica la fecha de vencimiento del certificado, así que conviene confirmar su estado vigente antes de apoyarse en él. Traducido para un proveedor: si tu aplicación va a vivir en esa plataforma, no llegas a un hosting cualquiera, llegas a un entorno certificado en la categoría más alta del ENS, y los requisitos que te van a trasladar son los que sostienen esa certificación. Summum Sistemas prepara técnicamente tu lado.
Este es el escenario donde el artículo 2.3 del RD 311/2022 se ve con más claridad. La norma aplica a los sistemas de información de las entidades del sector privado que, en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público «para el ejercicio por estas de sus competencias y potestades administrativas», e incluye expresamente la obligación de contar con la política de seguridad del artículo 12 — que en el caso de estas entidades «será aprobada […] por el órgano que ostente las máximas competencias ejecutivas». Y añade algo que en un modelo de alojamiento centralizado resulta determinante: los pliegos deben contemplar los requisitos necesarios para asegurar la conformidad, y «esta cautela se extenderá también a la cadena de suministro de dichos contratistas». Es decir, lo que tú integres también cuenta.
En el Anexo II, ese escenario carga el peso sobre dos familias del marco operacional. La primera es op.ext, servicios externos, que incluye entre sus medidas la protección de la cadena de suministro (op.ext.3) y la interconexión de sistemas (op.ext.4) — ambas graduadas por categoría, y la de cadena de suministro exigible en la categoría más alta. La segunda es op.nub, servicios en la nube, cuya medida op.nub.1, «Protección de servicios en la nube», aplica desde categoría BÁSICA y se refuerza en MEDIA y ALTA. A eso se suma que alojarte en una plataforma certificada no traslada su certificación a tu aplicación: acredita el entorno, no tu software. Tu conformidad sigue siendo tuya, y el reparto de responsabilidades entre lo que cubre la plataforma y lo que cubres tú tiene que quedar escrito, porque es exactamente lo que se revisa.
El resto del mapa público aragonés lo completan el Gobierno de Aragón y sus departamentos, la Diputación Provincial de Zaragoza, el Ayuntamiento de Zaragoza, la Universidad de Zaragoza y la administración sanitaria autonómica; todas son entidades del sector público a efectos del artículo 2.1 del RD 311/2022, que remite al artículo 2 de la Ley 40/2015. El método técnico es el mismo en todas: categorización conforme al Anexo I valorando el impacto sobre las cinco dimensiones del artículo 40.2 — disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad —, análisis de riesgos con MAGERIT modelado en PILAR siguiendo la guía CCN-STIC-839 del Centro Criptológico Nacional, e implantación verificable de las medidas del Anexo II, que reúne 73 medidas en 16 familias y tres marcos.
Determinamos qué cubre la plataforma de alojamiento y qué queda de tu lado. En un entorno certificado, la frontera de responsabilidad es el documento que más se revisa: sin él, aparecen medidas que nadie ha implantado porque cada parte daba por hecho que era de la otra.
Fijamos la categoría de tu sistema valorando el impacto sobre las cinco dimensiones del artículo 40.2, y ejecutamos el análisis de riesgos con MAGERIT modelado en PILAR según la CCN-STIC-839, documentando riesgo residual y decisiones de tratamiento.
Implantamos y documentamos las medidas de servicios externos y de nube: gestión diaria del servicio externalizado, protección de la cadena de suministro, interconexión de sistemas y protección de servicios en la nube, cada una en el nivel que exija la categoría.
Compilamos el paquete de evidencias y preparamos la vía del artículo 38.1: autoevaluación para la declaración de conformidad en categoría BÁSICA —que puede someterse igualmente a una auditoría de certificación— y auditoría para la certificación en MEDIA y ALTA, según el artículo 31 y el Anexo III.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Documento de reparto de responsabilidades con la plataforma
Delimitación explícita de qué medidas del Anexo II cubre el entorno de alojamiento y cuáles quedan de tu lado, que es la pieza que evita las lagunas de responsabilidad en entornos certificados.
Informe de categorización según el Anexo I
Justificación de la categoría con la valoración de impacto sobre las cinco dimensiones del artículo 40.2, diferenciada por servicio prestado.
Análisis de riesgos MAGERIT modelado en PILAR
Conforme a la guía CCN-STIC-839 del CCN: activos, dependencias, amenazas, salvaguardas y riesgo residual, con actualización mínima anual o ante cambios significativos.
Servicios externos (op.ext) y cadena de suministro
Tratamiento de la gestión diaria del servicio externalizado, la protección de la cadena de suministro y la interconexión de sistemas, en el nivel que corresponda a la categoría.
Protección de servicios en la nube (op.nub)
Verificación de op.nub.1 y de las condiciones contractuales con el proveedor de nube, incluida la parte del modelo de responsabilidad compartida que te corresponde asumir.
Hardening, criptografía y paquete de evidencias
Bastionado según guías CCN-STIC, configuración criptográfica conforme a la CCN-STIC-807 y compilación de evidencias: configuraciones, registros de auditoría, análisis de vulnerabilidades y actas de pruebas.
Summum Sistemas se ocupa del plano técnico y Summum Calidad del de gestión: política de seguridad, declaración de aplicabilidad y expediente normativo. En un modelo de alojamiento centralizado, esa coordinación es la que permite explicar con una sola voz qué cubre la plataforma y qué cubres tú.
Servicio ENS principal de Summum Sistemas: visión completa del acompañamiento técnico al ENS para proveedores de la Administración, con el catálogo completo de familias de medidas, metodologías CCN y vías de conformidad disponibles.
Ver servicio → calidadSummum Calidad se ocupa del plano normativo y de gestión: categorización, Declaración de Aplicabilidad, política de seguridad e integración con ISO 27001. El trabajo técnico de Sistemas y el documental de Calidad se coordinan para cubrir el ENS en su totalidad.
Ver servicio →No. La certificación acredita los sistemas de esa entidad y el alcance declarado —en el caso de la plataforma autonómica aragonesa, el alojamiento de aplicaciones de administración electrónica—, no tu aplicación. El artículo 2.3 del RD 311/2022 aplica el ENS a los sistemas de las entidades privadas que prestan servicios o proveen soluciones al sector público, por relación contractual, para el ejercicio por estas de sus competencias y potestades administrativas. Tu conformidad sigue siendo tuya; lo que sí hereda tu proyecto es el nivel de exigencia del entorno.
El artículo 2.3 del RD 311/2022, tras obligar a que los pliegos contemplen los requisitos de conformidad, señala que «esta cautela se extenderá también a la cadena de suministro de dichos contratistas». En el Anexo II se concreta como medida: op.ext.3, «Protección de la cadena de suministro», dentro de la familia de servicios externos, graduada según la categoría del sistema. En la práctica se traduce en tener identificados y controlados los componentes, librerías y servicios de terceros que integra tu solución.
En el propio expediente de conformidad y en el contrato. El Anexo II incluye medidas específicas de servicios externos —gestión diaria, protección de la cadena de suministro, interconexión de sistemas— y de servicios en la nube (op.nub.1), y todas exigen poder demostrar cómo se cubren. Cuando el reparto no está escrito, lo habitual es que aparezcan medidas huérfanas: ninguna de las dos partes las implantó porque cada una las daba por cubiertas por la otra.
La medida op.nub.1, «Protección de servicios en la nube», del Anexo II aplica cuando el sistema utiliza servicios de computación en la nube, y su exigencia arranca ya en categoría BÁSICA, con refuerzos en MEDIA y ALTA. Si tu despliegue es íntegramente sobre infraestructura propia o sobre un alojamiento que no constituye un servicio en la nube, el análisis de aplicabilidad puede ser distinto; eso se determina al definir el alcance, no por defecto.
No para los sistemas preexistentes. La disposición transitoria única del RD 311/2022 concedió veinticuatro meses a los sistemas del ámbito de aplicación preexistentes a su entrada en vigor —incluidos expresamente aquellos de los que sean titulares los contratistas del sector privado— para alcanzar su plena adecuación. La norma entró en vigor el 5 de mayo de 2022. Los sistemas nuevos deben cumplir desde su puesta en producción.
No. Hacemos la implantación técnica: alcance, categorización, análisis de riesgos, medidas del Anexo II, reparto de responsabilidades con la plataforma y paquete de evidencias. La certificación la emite un tercero; el artículo 38.1 del RD 311/2022 remite a la Instrucción Técnica de Seguridad correspondiente para los requisitos exigibles a las entidades certificadoras.