Durante años, muchas empresas han visto el Esquema Nacional de Seguridad (ENS) como una cuestión que afecta únicamente a la Administración. Desde 2022 esto ya no es así, y como muestra de ello, un expediente sanitario publicado este verano lo ha demostrado:
Qué ha pasado
El Hospital Universitario de Fuenlabrada publicó el 31 de julio de 2026 la licitación del Servicio de realización de pruebas y estudios genéticos (expediente PAS 26-009), con plazo de ofertas hasta el 1 de septiembre. https://contratos-publicos.comunidad.madrid/contrato-publico/servicio-realizacion-pruebas-estudios-geneticos-hospital-universitario-1
El propio Pliego de Prescripciones Técnicas exigía, para todos los lotes, una conexión online con la web y/o el SIL del laboratorio. Esto implica:
- Interoperabilidad con los sistemas de información del Servicio Madrileño de Salud.
- Intercambio electrónico de información clínica.
- Tratamiento de datos de salud y resultados genéticos, que son datos de categoría especial según el artículo 9 del RGPD.
Pese a ello, los pliegos no exigían a los licitadores acreditar la conformidad con el ENS.
La cronología fue rápida:
- 7 de agosto: uno de los licitadores lo plantea formalmente al órgano de contratación. Pide que se exija la Certificación de Conformidad con el ENS en el nivel que corresponda según el análisis de riesgos (MEDIO o ALTO).
- 13 de agosto: el hospital responde que publicará una corrección de errores de los pliegos.
- 14 de agosto: se interpone un recurso especial en materia de contratación contra el PCAP y el PPT.
- 19 de agosto: la Dirección Gerencia acuerda de oficio la suspensión de la licitación, al considerar que seguir adelante podría causar perjuicios de imposible o difícil reparación a los licitadores.
En menos de tres semanas, el contrato sanitario quedó parado.
Qué dice la norma
El Real Decreto 311/2022, que regula el ENS, es claro.
- Artículo 2.3. El ENS se aplica también a las empresas privadas que prestan servicios o proveen soluciones a entidades del sector público. Además, los pliegos de esas entidades “contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS” de los sistemas en los que se apoyan los servicios del contratista. Como ejemplo, la norma cita la presentación de Declaraciones o Certificaciones de Conformidad. Esta exigencia se extiende también a la cadena de suministro del contratista, en la medida en que lo indique el análisis de riesgos.
- Artículo 38. Fija cómo se demuestra la conformidad:
En sistemas de categoría MEDIA o ALTA, se necesita una Certificación de Conformidad, emitida tras una auditoría formal por una entidad certificadora acreditada por ENAC.
Los proveedores privados deben estar en condiciones de presentar una u otra según la categoría.
Además, el periodo transitorio ya ha terminado. El Real Decreto dio a las entidades contratistas veinticuatro meses para adecuarse plenamente al ENS, acreditándolo con el correspondiente distintivo de conformidad. Ese plazo venció en 2024.
Lo que deben tener en cuenta los licitadores en lo sucesivo
- El ENS puede afectarte aunque el pliego no lo diga.
Si vas a tratar información del sector público o conectarte a sus sistemas, la obligación nace del real decreto, no solo del pliego. Que el pliego no la recoja no te exime de su cumplimiento. - Un pliego que no exija el ENS no es una ventaja, es un riesgo.
Como muestra la licitación del Hospital de Fuenlabrada, la omisión puede acabar en una corrección de errores, un recurso y una suspensión. Si se corrige, el requisito aparecerá a mitad del procedimiento. Quien no esté preparado quedará fuera. - La certificación no se improvisa.
Una Certificación de Conformidad MEDIA o ALTA requiere varios pasos: categorizar los sistemas, analizar riesgos, aprobar la política de seguridad, implantar las medidas del Anexo II, generar evidencias y superar una auditoría. Eso lleva meses, no días. - La cadena de suministro también cuenta.
Si subcontratas hosting, software, mantenimiento o transporte de muestras con soporte digital, el análisis de riesgos puede extender la exigencia a tus proveedores. - El sector sanitario va a ser cada vez más exigente.
Ya existe un Perfil de Cumplimiento Específico del ENS para el sector sanitario, con medidas que, tras el análisis de riesgos, resultan aplicables en este ámbito. Con datos genéticos y clínicos de por medio, lo normal será exigir categoría MEDIA o ALTA. - Ojo con el extremo contrario.
La exigencia debe ser proporcionada al objeto del contrato y a su análisis de riesgos. Pedir ENS ALTO en un contrato que no lo justifica también puede recurrirse. Saber qué categoría corresponde es tan importante como tenerla.
Una checklist rápida antes de tu próxima licitación
- ¿El objeto del contrato implica el tratamiento de datos personales o se conecta a sistemas de la Administración?
- ¿Qué categoría ENS tendrían los sistemas que lo soportan?
- ¿Tengo la Declaración o Certificación vigente y su alcance cubre ese servicio?
- ¿Mis proveedores críticos pueden acreditar su conformidad?
- Si el pliego no menciona el ENS y debería, ¿lo he consultado con el órgano de contratación?
Conclusión
El caso del Hospital de Fuenlabrada no es una anécdota. Los órganos de contratación lo revisan cada vez más, los competidores lo vigilan y los tribunales ya tienen doctrina sobre ello. El ENS ha dejado de ser un “plus” en las ofertas y ha pasado a convertirse: en una condición para poder contratar con garantías de éxito.
En CiberTRS, spin-off de la Universitat Politècnica de València, acompañamos a empresas licitadoras y proveedoras del sector público en la adecuación y certificación ENS. Nuestro enfoque es convertir el cumplimiento de la norma en un modelo sostenible, con evidencias auditables y control real del riesgo.
¿Tu empresa estaría preparada si se solicitase una certificación del ENS en la licitación en la que estás trabajando?
