Licitaciones públicas de TIC y ciberseguridad en España

El sector público es uno de los mayores compradores de tecnología en España. Administraciones de todos los niveles licitan continuamente servicios y suministros TIC: desarrollo de software, mantenimiento de sistemas, infraestructura, servicios en la nube y, de forma creciente, ciberseguridad. Para una empresa tecnológica, es un mercado enorme, pero con una exigencia que conviene conocer bien: el Esquema Nacional de Seguridad.

Esta guía explica qué contratos TIC y de ciberseguridad se licitan, qué requisitos se piden y por qué el cumplimiento del Esquema Nacional de Seguridad se ha convertido en una condición clave para contratar con la Administración.

Según el objeto, estos encargos se articulan como contratos de servicios, artículo 17 de la Ley 9/2017, o como contratos de suministro, artículo 16, cuando incluyen la entrega de bienes como hardware o licencias. Entre los más habituales:

• Desarrollo, implantación y mantenimiento de software y aplicaciones.
• Servicios de infraestructura, alojamiento y servicios en la nube.
• Soporte, microinformática y administración de sistemas.
• Servicios de ciberseguridad: auditorías, análisis de vulnerabilidades, monitorización, respuesta a incidentes, SOC, y adecuación al Esquema Nacional de Seguridad.
• Suministro de equipamiento informático y licencias de software.

En la clasificación CPV, suelen encuadrarse en la familia de servicios de tecnologías de la información, grupo 72000000, y en la de paquetes de software, grupo 48000000.

El Esquema Nacional de Seguridad, ENS, regulado por el Real Decreto 311/2022, de 3 de mayo, es el marco de seguridad obligatorio del sector público español. Su novedad más relevante es que extiende su alcance a los proveedores privados que prestan servicios o suministran soluciones a las entidades públicas.

En la práctica, esto significa que los pliegos de contratación deben contemplar los requisitos necesarios para garantizar la conformidad con el ENS de los sistemas implicados, incluyendo declaraciones o certificaciones de conformidad. El ENS define tres categorías de seguridad, básica, media y alta, según el impacto sobre la información y los servicios, y establece una certificación de conformidad auditada periódicamente para los niveles medio y alto, gestionada por entidades acreditadas por ENAC. El Centro Criptológico Nacional publica las guías técnicas CCN-STIC que orientan su aplicación.

Para una empresa tecnológica, la conclusión es clara: la conformidad con el ENS ha pasado de ser una cuestión de cumplimiento interno a un requisito real para poder contratar con el sector público, y certificarse antes que la competencia es una ventaja competitiva.

Licitan tecnología la Administración General del Estado, las comunidades autónomas, las entidades locales, las universidades públicas y las empresas y organismos del sector público. Una parte importante de la contratación TIC se canaliza además a través de acuerdos marco de compra centralizada, que agrupan la demanda de muchos organismos y a los que conviene estar atento.

Para concurrir, la empresa debe acreditar su solvencia técnica y económica:

• Solvencia económica, normalmente mediante un volumen de negocio mínimo ligado al importe del contrato.
• Solvencia técnica, acreditando proyectos similares ejecutados, con sus importes y destinatarios.
• Adscripción de un equipo con la cualificación y, en su caso, las certificaciones profesionales exigidas.
• Conformidad con el ENS en el nivel que requiera el pliego y, con frecuencia, certificaciones como la ISO 27001.

En los contratos TIC y de ciberseguridad se valoran la calidad y la solidez de la propuesta técnica, la metodología, el equipo, los plazos, los acuerdos de nivel de servicio y las medidas de seguridad. El precio es relevante, pero rara vez decisivo por sí solo, especialmente en servicios críticos donde la fiabilidad y la seguridad son prioritarias.

• No anticipar los requisitos de conformidad con el ENS y descubrirlos cuando ya es tarde.
• Presentar una propuesta técnica genérica sin metodología ni acuerdos de nivel de servicio claros.
• No acreditar correctamente la experiencia en proyectos similares.
• Descuidar la documentación administrativa y de solvencia, causa habitual de exclusiones.
• Competir solo por precio en servicios donde la seguridad y la continuidad pesan más.

El Esquema Nacional de Seguridad se aplica al sector público y a los proveedores que le prestan servicios. Los pliegos deben incluir los requisitos de conformidad, por lo que, en la práctica, cumplirlo es necesario para contratar en numerosos procedimientos TIC.

Tres categorías: básica, media y alta, según el impacto sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. Los niveles medio y alto requieren certificación auditada de forma periódica.

Sí. Debe cumplir la solvencia del pliego y los requisitos de seguridad aplicables. Certificarse en el ENS y en estándares como la ISO 27001 mejora notablemente su posición.

La contratación pública de TIC y ciberseguridad ofrece un mercado amplio y recurrente, pero exige preparación: identificar las licitaciones por su CPV, acreditar la solvencia, presentar una propuesta técnica robusta y, sobre todo, anticipar la conformidad con el Esquema Nacional de Seguridad. Las empresas que llegan certificadas y con experiencia documentada parten con clara ventaja.

En Life Sector Público ayudamos a empresas tecnológicas a localizar las licitaciones adecuadas, preparar la solvencia y la documentación, y abordar los requisitos de conformidad con el Esquema Nacional de Seguridad con seguridad jurídica. Somos especialistas en gestión, asesoramiento legal y gestoría para la contratación pública.

Escríbenos a info@lifesectorpublico.com o llámanos al 679 092 414.

• Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, contratos de servicios y de suministro, artículos 16 y 17.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.