Necesitas implantar políticas de ciberseguridad para un contrato público

¿Tienes razón?

No todos los contratos públicos exigen lo mismo. Lo que decide la obligación concreta son el contenido del pliego, el tratamiento de información sensible y las funciones que vas a desempeñar. Si el contrato implica manejo de datos del contratante, acceso a infraestructuras críticas o servicios que afectan a la continuidad operativa, es habitual que el pliego contenga requisitos mínimos de seguridad, auditorías y obligaciones de notificación de incidentes. Por otro lado, contratos de menor riesgo pueden limitarse a buenas prácticas y a la exigencia de medidas proporcionales.

También hay que distinguir entre requerimientos técnicos y obligaciones de documentación. Muchas administraciones piden un plan de seguridad, evidencias de controles y certificaciones o pruebas de auditorías. Si el contrato exige estándares o controles específicos, la oferta debe incorporarlos y demostrar capacidad técnica. No cumplir esas exigencias suele ser causa para excluir una oferta o para imponer penalizaciones durante la ejecución.

Cómo se soluciona

Uno. Revisa el pliego con detalle. Identifica las obligaciones de ciberseguridad, las métricas exigidas y los mecanismos de verificación y sanción. Anota qué evidencia te solicitan y en qué formato.

Dos. Realiza una evaluación de riesgo alineada con el alcance del contrato. Determina activos críticos, vectores de amenaza y medidas técnicas necesarias: segmentación de redes, control de accesos, cifrado, gestión de parches y copias de seguridad.

Tres. Elabora políticas y procedimientos. Redacta un plan de seguridad que cubra gestión de accesos, gestión de incidentes, continuidad del negocio y formación. Define responsabilidades internas y externos, así como las herramientas y proveedores implicados.

Cuatro. Prepara evidencia. Conserva informes de auditoría, certificados y pruebas de pruebas de penetración o de control de vulnerabilidades. Si no tienes todo, planifica una hoja de ruta con compromisos medibles y plazos internos para alcanzarlos.

Cinco. Define el proceso de notificación de incidentes. Implanta un protocolo que describa cómo detectar, contener y comunicar incidentes al contratante, y quién es el punto de contacto.

Seis. Formación y gobernanza. Forma al personal clave y establece un responsable de seguridad que será la persona de referencia para la administración.

Siete. Acompaña la oferta con compromisos verificables. Si el contrato exige controles periódicos, ofrece calendarios de auditorías, pruebas y revisiones por terceros.

La preparación técnica puede requerir a recursos internos o proveedores de ciberseguridad, pero la redacción de las políticas, la evaluación jurídica del alcance y la negociación de clausulados contractuales conviene hacerla con apoyo legal especializado.

Qué puede pasar

Primero, aceptación con condiciones. La administración puede aceptar la oferta si la documentación y las medidas son suficientes o si presentas un plan de mejora razonable. Eso permite comenzar la ejecución mientras completas el despliegue técnico.

Segundo, requerimiento de subsanación o acuerdo. En ocasiones exigen pruebas adicionales o ajustes contractuales. Negociar y presentar evidencia incremental suele resolver la situación.

Tercero, rechazo o penalizaciones. Si no cumples los requisitos del pliego, puedes ser excluido de la adjudicación o recibir penalizaciones durante la ejecución. En casos de incidentes graves, el contratante puede aplicar sanciones, resolver el contrato o exigir responsabilidades por daños. Además, una mala gestión de incidentes ante un contratante público daña la reputación y complica futuras contrataciones.

Y si ganas, ¿cobro? Si la administración impone sanciones y la empresa pierde recursos, existe la vía contenciosa para discutir acreditación y proporcionalidad, pero la ejecución práctica de medidas cautelares y la recuperación económica dependerán de la situación contractual y administrativa.

Errores que arruinan el caso

• Presentar políticas genéricas sin adaptar al alcance real del contrato. La administración valora soluciones concretas y medibles.
• No documentar la evidencia de controles. Sin informes de auditoría o pruebas, no tienes forma de demostrar cumplimiento.
• Contratar proveedores sin cláusulas claras sobre roles y responsabilidades. La falta de contrato con proveedores de servicios críticos aumenta el riesgo de incumplimiento.
• No definir un punto de contacto para incidentes. La ausencia de un responsable complica la respuesta y agrava la percepción del contratante.
• Ignorar requisitos de continuidad y recuperación. Los planes de contingencia son centrales en contratos con impacto operativo.