La Administración Abierta de Cataluña (AOC) ha anunciado que 22 de sus servicios disponen ya de certificación de conformidad con el Esquema Nacional de Seguridad (ENS) en categoría alta. El dato tiene una dimensión que va más allá de la propia organización: la AOC presta servicios a más de 2.250 administraciones públicas catalanas, por lo que el modelo de infraestructura compartida permite que muchas entidades locales utilicen plataformas que ya han pasado un proceso de certificación exigente.
La AOC publicó el hito el 9 de septiembre de 2026 y lo presenta como la culminación de una estrategia iniciada dos años antes. En 2024 solo tres servicios disponían de certificación ENS; ahora son 22. La entidad señala además que el 86% de su catálogo opera bajo conformidad con el ENS y que todos sus servicios se alojan en centros de datos certificados con nivel alto. Para ayuntamientos y otras entidades que dependen de servicios comunes, la evolución muestra cómo la seguridad puede abordarse también mediante infraestructuras compartidas y no únicamente a través de proyectos individuales.
Qué significa una certificación ENS de categoría alta
El Esquema Nacional de Seguridad establece principios y requisitos para proteger la información y los servicios electrónicos utilizados por el sector público y por organizaciones que colaboran con él. La categoría de un sistema se relaciona con el impacto que tendría una afectación sobre dimensiones como disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad.
La categoría alta corresponde a los escenarios más exigentes. Alcanzarla implica aplicar un conjunto amplio de medidas técnicas, organizativas y operativas y someter la conformidad a una evaluación independiente cuando procede. No es una etiqueta comercial ni una declaración genérica de buenas prácticas: requiere evidencias, procesos, controles y una estructura de seguridad mantenida en el tiempo.
En un servicio compartido por cientos o miles de entidades, el valor de la certificación aumenta porque una misma infraestructura soporta trámites y procesos de numerosas organizaciones. La exigencia de disponibilidad, continuidad y protección de datos se convierte por tanto en un elemento común de todo el ecosistema.
De tres servicios certificados a 22 en dos años
Según la AOC, en 2024 contaban con certificación ENS tres servicios: iArxiu, VÀLid y PSIS. La estrategia posterior extendió la adecuación a una parte mucho mayor del catálogo. Entre los servicios incluidos actualmente aparecen Còpia, Dades Obertes, EACAT 3.0, e-NOTUM, Representa, SIR, Transparència y Seu-e, entre otros.
La evolución es relevante porque muestra que la adecuación no se ha planteado como una actuación aislada sobre una aplicación crítica, sino como un programa de transformación del conjunto de servicios. Eso exige gobernanza, gestión de riesgos, monitorización, auditoría y coordinación entre equipos técnicos y responsables de producto.
La AOC indica que quedan cuatro servicios pendientes de certificación: e-TRAM y la conexión a la red SARA, que tienen planificado el proceso, además de Decidim y el canal de Alertas basado en Global Leaks. La transparencia sobre el alcance es útil porque permite distinguir entre servicios ya certificados y soluciones todavía fuera de ese perímetro.
Por qué el modelo compartido es especialmente importante para los ayuntamientos
Un ayuntamiento pequeño puede tener obligaciones de seguridad comparables en naturaleza a las de entidades mucho mayores, pero no dispone de los mismos recursos humanos ni técnicos. Mantener internamente todas las capacidades necesarias para identificación digital, notificación electrónica, archivo, intercambio de datos o firma puede resultar costoso y difícil de sostener.
Las infraestructuras compartidas permiten concentrar inversiones y conocimiento. En lugar de que cada municipio tenga que desplegar y asegurar una plataforma diferente, varios organismos pueden utilizar un servicio común con controles, mantenimiento y auditorías centralizadas. Esto no elimina todas las obligaciones de la entidad usuaria, pero reduce la superficie técnica que debe gestionar por sí sola.
La AOC subraya precisamente que la certificación de sus servicios puede ser aprovechada por las entidades usuarias dentro de sus propios procesos de adecuación al ENS. La clave está en entender bien la frontera de responsabilidad: la seguridad del servicio común corresponde a su proveedor, pero el ayuntamiento sigue siendo responsable de su configuración, usuarios, procedimientos, dispositivos, datos y otros sistemas que forman parte de su propio alcance.
La seguridad compartida no significa responsabilidad compartida sin límites
Cuando una Administración consume un servicio certificado es fácil caer en la idea de que el cumplimiento queda automáticamente resuelto. No es así. Una certificación reduce incertidumbre sobre la infraestructura y aporta evidencias valiosas, pero la entidad debe seguir analizando cómo utiliza el servicio y qué dependencias mantiene.
Por ejemplo, una plataforma de notificaciones puede cumplir requisitos elevados, pero el acceso del personal municipal puede verse comprometido si la gestión de identidades interna es deficiente. Un servicio de archivo puede ser seguro, pero los documentos pueden estar mal clasificados o existir copias no controladas en otros sistemas. La seguridad debe analizarse de extremo a extremo.
Por eso, el modelo compartido funciona mejor cuando la certificación del proveedor se integra en el análisis de riesgos del organismo usuario y se documenta qué controles quedan cubiertos y cuáles siguen siendo responsabilidad propia.
Economías de escala en ciberseguridad pública
La certificación de 22 servicios para más de 2.250 administraciones ilustra una economía de escala difícil de conseguir mediante miles de proyectos independientes. Auditorías, monitorización, gestión de vulnerabilidades, continuidad y mejoras de seguridad pueden desplegarse de forma centralizada y beneficiar simultáneamente a muchas entidades.
Esto puede ser especialmente relevante para territorios con gran número de municipios pequeños. La fragmentación tecnológica suele generar soluciones heterogéneas, contratos diferentes y niveles de madurez muy desiguales. Una plataforma común no resuelve todos los problemas, pero puede establecer una base mínima coherente.
El reto está en evitar que la centralización genere dependencia excesiva o falta de capacidad de salida. Los servicios compartidos deben acompañarse de acuerdos claros, documentación, APIs, portabilidad y planes de continuidad que contemplen tanto la infraestructura central como la operación de las entidades usuarias.
Qué deberían aprender otras administraciones del caso AOC
El principal aprendizaje no es que todas las administraciones deban copiar exactamente el mismo modelo, sino que la certificación puede plantearse como un programa de plataforma. Cuando varias entidades utilizan servicios comunes, invertir en seguridad en la capa compartida puede elevar el nivel de todo el ecosistema.
Diputaciones, comunidades autónomas, mancomunidades y consorcios pueden evaluar qué capacidades resulta razonable ofrecer de forma centralizada. Identidad, firma, notificación, archivo, intercambio de datos, copias, monitorización o gestión de expedientes son ámbitos donde ya existen numerosos modelos compartidos.
La decisión debe tener en cuenta escala, criticidad, capacidad interna, interoperabilidad y dependencia de proveedores. No siempre centralizar es la opción adecuada, pero en determinados servicios reduce costes duplicados y facilita mantener controles especializados.
Cómo afecta a futuras licitaciones de servicios públicos digitales
La madurez de soluciones compartidas certificadas puede influir en la contratación pública. Una entidad que licita un sistema conectado a plataformas comunes debería pedir compatibilidad con esas infraestructuras y evitar duplicar funciones existentes. También puede exigir que el proveedor documente claramente las responsabilidades de seguridad y el tratamiento de evidencias.
Cuando un servicio externo forma parte de un sistema sujeto al ENS, los pliegos deberían describir requisitos de seguridad, continuidad, notificación de incidentes, control de subcontratación, auditoría, reversibilidad y acceso a información necesaria para la gestión del riesgo.
La certificación del proveedor puede ser un elemento importante, pero no debe sustituir el análisis del servicio concreto, su alcance y su integración en la arquitectura de la entidad.
Confianza digital y continuidad del servicio
La AOC relaciona el avance con la confianza de la ciudadanía en los servicios públicos digitales. Esa confianza depende de algo muy tangible: que los trámites estén disponibles cuando se necesitan, que los datos no se alteren, que las identidades se protejan y que los incidentes se detecten y gestionen.
La certificación ayuda a estructurar esos objetivos y obliga a mantener procesos de mejora continua. En servicios utilizados masivamente, una interrupción puede afectar al mismo tiempo a numerosos organismos, por lo que la resiliencia y la continuidad deben formar parte central del diseño.
Checklist para entidades que consumen servicios compartidos
- Identificar qué servicios externos forman parte del alcance de cada sistema.
- Solicitar y conservar información actualizada sobre certificaciones y su alcance.
- Documentar responsabilidades entre proveedor y entidad usuaria.
- Integrar las dependencias externas en el análisis de riesgos.
- Revisar la gestión de identidades y accesos locales.
- Comprobar planes de continuidad y procedimientos ante indisponibilidad.
- Definir requisitos de portabilidad y reversibilidad.
- Evitar duplicar soluciones públicas compartidas sin justificación técnica.
Preguntas frecuentes
¿Cuántos servicios de la AOC están certificados en categoría alta?
La AOC informó de 22 servicios certificados conforme al ENS en categoría alta.
¿A cuántas administraciones presta servicio?
La entidad señala que sus servicios alcanzan a más de 2.250 administraciones públicas catalanas.
¿Usar un servicio certificado hace que un ayuntamiento cumpla automáticamente el ENS?
No. La certificación del servicio aporta garantías sobre ese componente, pero la entidad debe analizar y proteger el resto de su sistema, procesos, usuarios y dependencias.
¿Qué porcentaje del catálogo está bajo conformidad ENS?
Según la información publicada por la AOC, el 86% de su catálogo de servicios opera bajo conformidad con el ENS.
Fuente
La información principal procede de la Administración Abierta de Cataluña (AOC), que publicó el detalle de las certificaciones el 9 de septiembre de 2026.
En Digitalización Pública News analizamos cómo los modelos de infraestructura compartida pueden ayudar a elevar la seguridad y la capacidad digital del sector público.
Qué debería pedir una entidad usuaria a un servicio compartido
La certificación del proveedor simplifica parte del trabajo, pero una Administración usuaria necesita disponer de información suficiente para integrar ese servicio en su propio análisis. Es recomendable conservar el alcance de la certificación, los servicios cubiertos, las condiciones de uso y los mecanismos de notificación de incidentes. También debe quedar claro qué controles son responsabilidad del prestador y cuáles dependen de la configuración y operación local.
En los acuerdos de servicio conviene documentar disponibilidad, continuidad, copias, recuperación, gestión de identidades, soporte y canales de escalado. Si un servicio es crítico para registro, notificación o tramitación, la entidad necesita saber qué procedimiento alternativo aplicará durante una indisponibilidad y cómo recuperará la normalidad.
La certificación como evidencia, no como sustituto del análisis
Una certificación ENS aporta una evidencia relevante sobre el entorno evaluado. Sin embargo, la entidad que consume el servicio debe seguir valorando riesgos asociados a sus usuarios, dispositivos, integraciones y procedimientos. La misma plataforma puede utilizarse de forma segura en una organización y de forma deficiente en otra si existen cuentas compartidas, permisos excesivos o equipos sin protección adecuada.
Por eso resulta útil construir una matriz de responsabilidades. En ella pueden separarse controles proporcionados por la plataforma, controles compartidos y controles locales. Este enfoque evita duplicar trabajo y, al mismo tiempo, reduce zonas grises durante auditorías o incidentes.
Servicios compartidos y contratación eficiente
Antes de licitar una solución propia, un ayuntamiento debería comprobar si ya existe un servicio supramunicipal o autonómico que cubra la necesidad. Cuando existe una plataforma común madura, duplicarla puede incrementar coste y superficie de ataque. En cambio, pueden ser necesarios desarrollos específicos cuando existan requisitos funcionales que el servicio compartido no pueda cubrir.
La decisión debe documentarse con criterios técnicos y económicos: criticidad, integración, coste total, dependencia, capacidad de salida y nivel de servicio. La seguridad es una parte de esa evaluación, no el único criterio.
Lecturas relacionadas
Este modelo conecta con el nuevo formato estructurado del ENS, con PILAR Web, con los retos de ciberseguridad del mundo local y con la necesidad de una arquitectura pública más interoperable y reutilizable.
Una referencia útil para otras redes públicas
El caso de la AOC también permite observar una cuestión de escala. Cuando una infraestructura común alcanza a miles de organismos, las mejoras de seguridad realizadas en el núcleo se multiplican en todo el ecosistema. Eso puede justificar inversiones que serían difíciles de asumir por una entidad pequeña de forma independiente. El modelo exige, no obstante, mantener transparencia sobre el alcance de cada certificación, la evolución de los servicios y las responsabilidades de las entidades usuarias.
Para otras comunidades autónomas o diputaciones, el aprendizaje está en construir servicios compartidos con una estrategia de seguridad integrada desde el diseño. Certificar después una plataforma creada sin controles homogéneos suele ser más costoso que incorporar requisitos de ENS, continuidad y trazabilidad desde las primeras fases.
Fotografía: panumas nikhomkhai / Pexels.