15 de octubre de 2026 - Tiempo de lectura 5 min
Ciberseguridad en la contratación pública: qué exigencias técnicas incluir en los pliegos para evitar brechas por terceros
La Administración pública municipal tiene externalizados algunos servicios esenciales. Así, el mantenimiento informático, la recaudación tributaria, el padrón o los portales de trámites ciudadanos dependen con frecuencia de proveedores externos.
Sin embargo, la externalización de un servicio no exime a la entidad pública de sus responsabilidades en materia de ciberseguridad y protección de datos. Las administraciones deben garantizar que la información de los ciudadanos esté protegida, incluso cuando su gestión depende de terceros.
Una brecha de seguridad en los sistemas de una empresa adjudicataria puede tener consecuencias directas para la institución, desde posibles sanciones de la Agencia Española de Protección de Datos (AEPD) hasta la pérdida de confianza en los ciudadanos. Por ello, reforzar la ciberseguridad en la contratación pública resulta imprescindible.
El marco legal: por qué las exigencias de ciberseguridad no pueden ser arbitrarias
Las personas encargadas de redactar los pliegos deben mantener un estricto equilibrio entre ciberseguridad y libre concurrencia. Las cláusulas de ciberseguridad demasiado genéricas dejan margen a interpretaciones y dificultan exigir responsabilidades. Por el contrario, imponer certificados desproporcionados o marcas concretas pueden limitar la competencia y vulnerar la Ley 9/2017, de Contratos del Sector Público (LCSP).
Estas posibles deficiencias pueden dar lugar a la interposición de recursos ante órganos como el Tribunal Administrativo Central de Recursos Contractuales (TACRC), con el consiguiente riesgo de suspensión o anulación de actuaciones del procedimiento de licitación.
Para evitarlo, el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, ofrece un marco común para definir las medidas de protección aplicables a los sistemas públicos y a los servicios prestados por contratistas.
El ENS permite vincular la exigencia de ciberseguridad con la categoría del sistema y con el nivel de protección requerido. De esta manera, la Administración puede justificar técnicamente sus condiciones y evitar requisitos arbitrarios. Además, su aplicación se extiende a los sistemas de información de las empresas privadas que prestan servicios o proporcionan soluciones a las administraciones públicas, en los términos previstos por la normativa.
Las 4 cláusulas técnicas indispensables en el Pliego de Prescripciones Técnicas (PPT)
Para garantizar un nivel adecuado de ciberseguridad en la contratación pública, el Pliego de Prescripciones Técnicas (PPT), que define los requisitos técnicos, y el de Cláusulas Administrativas Particulares (PCAP), que regula las obligaciones contractuales y las consecuencias de su incumplimiento, deben contemplar estas cuatro cláusulas:
- Acreditación oficial de conformidad con el ENS: la empresa licitadora debe acreditar que los sistemas utilizados para prestar el servicio cumplen los requisitos del ENS correspondientes a su categoría. Para los sistemas de categoría Básica es suficiente una declaración de conformidad basada en una autoevaluación, mientras que los de categoría Media o Alta requieren una certificación emitida por una entidad acreditada. Para facilitar esta adaptación, existen soluciones de acompañamiento especializado, como la consultoría para la certificación ENS de Vodafone Empresas, permiten a los proveedores adecuar sus entornos operativos a los requisitos exigidos.
- Protocolo de notificación obligatoria de incidentes: el contratista debe comunicar cualquier incidente de seguridad que afecte al servicio por escrito y sin dilación en un máximo de 24 a 48 horas tras la detección. Así, la entidad pública podrá cumplir con los plazos legales de reporte ante el CCN-CERT y la AEPD.
- Derecho de inspección y auditoría periódica: el pliego debe reservar la facultad del organismo público para solicitar informes de vulnerabilidades a la empresa adjudicataria. Asimismo, la administración podrá ejecutar auditorías técnicas sobre los entornos vinculados al servicio. Este derecho deberá mantenerse durante toda la vigencia del contrato.
- Soberanía del dato y subcontratación acotada: el pliego debe identificar dónde se pueden tratar, almacenar y transmitir los datos municipales, así como las garantías exigidas para su protección. Cuando esté justificado por las características del servicio, podrán establecerse restricciones específicas de localización, siempre respetando la normativa aplicable. En el caso de entornos cloud, la localización de los servidores debe estar claramente delimitada y la intervención de subcontratistas que accedan a los datos deberá someterse a los requisitos de información y autorización que correspondan, conforme al RGPD y a la LCSP.
Categorización previa: cómo graduar las exigencias para no excluir a pymes ni desproteger servicios
La proporcionalidad es el elemento clave y debe tenerse en cuenta antes incluso de comenzar a redactar las cláusulas. Los técnicos municipales deben graduar las exigencias en función del impacto que un incidente de seguridad podría tener sobre la información y los servicios afectados. Este criterio permite reforzar la ciberseguridad en la contratación pública sin limitar innecesariamente la participación de empresas de menor tamaño.
En función de la categoría asignada al sistema tras evaluar sus riesgos e impacto, podemos distinguir dos situaciones:
- Servicios de impacto básico (Categoría Básica del ENS)
- Desarrollos web informativos, portales de transparencia estáticos o cartelería digital municipal, siempre que su evaluación de ciberseguridad justifique esta categoría.
- Los requisitos se centran en medidas esenciales de ciberseguridad y en la declaración de conformidad basada en una autoevaluación.
- Facilitan la participación de pequeñas empresas sin comprometer la ciberseguridad de los servicios públicos.
- Servicios de impacto crítico (Categoría Media o Alta del ENS)
- Puede incluir plataformas de administración electrónica, pasarelas de pago tributario y aplicaciones de gestión de servicios sociales.
- Incluye sistemas de gestión de infraestructuras Smart City y otros servicios operativos esenciales.
- La conformidad con el ENS exige una certificación sustentada en una auditoría formal realizada por una entidad independiente acreditada, con el alcance correspondiente al sistema evaluado.
Régimen sancionador y rescisión: qué ocurre si el contratista incumple
Las cláusulas de ciberseguridad en la contratación pública pierden efectividad si no se acompañan de consecuencias contractuales claras. El pliego de condiciones debe vincular las exigencias de ciberseguridad con las obligaciones que el adjudicatario debe cumplir durante la ejecución del contrato.
Por este motivo, es importante establecer penalidades económicas proporcionales ante incumplimientos o retrasos en la notificación de incidentes de seguridad. Estas medidas permiten exigir responsabilidades y refuerzan la obligación del adjudicatario de comunicar cualquier incidencia a tiempo.
Además, la pérdida sobrevenida del certificado ENS puede constituir un incumplimiento grave cuando impida mantener las condiciones de seguridad exigidas para prestar el servicio. Lo mismo ocurre con una negligencia grave en la custodia de los datos. Si estas obligaciones se han definido expresamente como esenciales en los pliegos, su incumplimiento puede justificar la resolución del contrato, de acuerdo con lo previsto en la Ley de Contratos del Sector Público (LCSP).
La ciberseguridad en la contratación pública es mucho más que un requisito técnico: es una garantía para la continuidad de los servicios públicos y para la protección de los datos de la ciudadanía. Un pliego sólido debe combinar exigencias de seguridad proporcionadas al riesgo, mecanismos de control y consecuencias claras ante posibles incumplimientos.
La clave está en anticiparse: definir bien las condiciones desde el principio no solo ayuda a prevenir brechas de seguridad, sino también a evitar conflictos durante la ejecución del contrato. Y es que la responsabilidad de proteger los servicios públicos no termina con su adjudicación.
