CERTIFICACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD NO EXIGIDO POR LOS PLIEGOS

En este caso la Resolución 1683/2025 del Tribunal Administrativo Central de Recursos Contractuales, resuelve un recurso en el que se impugna la adjudicación del contrato porque el adjudicatario no presenta certificación de disponer Esquema Nacional de Seguridad, siendo este un requisito no exigido por los pliegos, ley del contrato.

En cuanto al fondo, al respecto de la cuestión planteada debe comenzar señalándose que como el propio recurrente admite, no se exige en los pliegos la certificación controvertida, del ENS. Así, en un supuesto del todo análogo al presente, este Tribunal se pronunció sobre las consecuencias del silencio en la exigencia de la aludida certificación, reconociendo que la falta de exigencia motiva que, una vez firme el pliego, por no ser recurrido, no puede invocarse la carencia del mismo por el adjudicatario.

Se lee así en la Resolución nº 186/2025, 7 de febrero de 2025, recaída en el Recurso nº 1688/2024 cuanto sigue:

“Quinto. En cuanto al fondo de lo planteado en el recurso, éste fundamenta sus pretensiones de anulación de la adjudicación realizada en los Lotes 4 y 5, sobre la base de que las empresas adjudicatarias carecen de certificado que justifique el cumplimiento del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

Como punto de partida, se ha de tener presente lo dispuesto en el artículo 2 del Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad. Al definir su ámbito de aplicación establece el Apartado Tercero que:

“Este Real Decreto también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. La política de seguridad a que se refiere el artículo 12 será aprobada en el caso de estas entidades por el órgano que ostente las máximas competencias ejecutivas. Los pliegos de prescripciones administrativas o técnicas de los contratos que celebren las entidades del sector público incluidas en el ámbito de aplicación de este real decreto contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas, tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS. Esta cautela se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos”.

Paralelamente, la Disposición Transitoria Única indica que:

“Los sistemas de información del ámbito de aplicación de este real decreto, preexistentes a su entrada en vigor, incluidos aquellos de los que sean titulares los contratistas del sector privado en los términos señalados en el artículo 2, dispondrán de veinticuatro meses para alcanzar su plena adecuación al ENS, circunstancia que se manifestará con la exhibición del correspondiente distintivo de conformidad, atendiendo lo dispuesto en el artículo 38”.

Finalmente, el mencionado Artículo 38 del Real Decreto 311/2022 dispone que:

“Los sistemas de información comprendidos en el ámbito del artículo 2 serán objeto de un proceso para determinar su conformidad con el ENS. A tal efecto, los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad, sin perjuicio de la auditoría de la seguridad prevista en el artículo 31 que podrá servir asimismo para los fines de la certificación, mientras que los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoria de certificación. Tanto el procedimiento de autoevaluación como la auditoría de certificación se realizarán según lo dispuesto en el artículo 31 y el anexo III y en los términos que se determinen en la correspondiente Instrucción Técnica de Seguridad, que concretará asimismo los requisitos exigibles a las entidades certificadoras”.

A la vista de la normativa transcrita, asiste la razón al recurrente cuando afirma que los contratistas que presten servicios o provean soluciones a las entidades del Sector Público han de cumplir con las obligaciones relativas a los sistemas de información y contar con las medidas necesarias para cumplir la política de seguridad establecidas en el Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad. Ahora bien, el alcance de dicha obligación vendrá determinado por lo dispuesto en los pliegos que rijan la correspondiente licitación y que, conforme a lo dispuesto en el artículo 2.3 arriba transcrito:

“(…) contemplarán todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información en los que se sustenten los servicios prestados por los contratistas”.

Pues bien, descendiendo al caso enjuiciado, se constata que ni el pliego de cláusulas administrativas particulares ni el pliego de prescripciones técnicas contienen mención alguna a las exigencias derivadas de la aplicación del Esquema Nacional de Seguridad. Ciertamente, el recurrente debió impugnar en tiempo y forma los pliegos por los que se rige el presente expediente de contratación por no incluir los requisitos necesarios para asegurar la conformidad con el Esquema Nacional de Seguridad (ENS) de los sistemas de información, tales como las Declaraciones o Certificaciones de Conformidad con el ENS, no siendo procedente la anulación pretendida una vez adjudicados los lotes por no haber sido beneficiado de la adjudicación el recurrente.

Llegados a este punto, se ha de tener en cuenta la consolidada doctrina de este Tribunal en relación con la falta de impugnación de los pliegos del contrato. Entre las más recientes, cabe citar la Resolución nº 1562/2024, de 5 de diciembre en la que, con cita a la Resolución de este Tribunal nº 476/2020, se recordaba lo siguiente respecto a la vinculación a lo preceptuado en los pliegos:

“Este Tribunal ha tenido ocasión de pronunciarse en multitud de ocasiones acerca de la cualidad de lex contractus de los pliegos, una vez éstos adquieren firmeza. Así, la Sentencia de la Sala de lo Contencioso Administrativo del Tribunal Supremo de 19 de Marzo de 2001 (Sección Séptima) y otras resoluciones de este Tribunal (178/2013, 17/2013 y 45/2013) en la que se afirma que ‘esta Sala Tercera ha recordado, en sentencia de 6 de febrero de 2001, la conocida doctrina jurisprudencial en cuya virtud el pliego de condiciones constituye la Ley del Concurso, debiendo someterse a sus reglas tanto el organismo convocante como los que soliciten tomar parte en el mismo, especialmente cuando no hubieran impugnado previamente sus bases, pues, en efecto, si una entidad licitante se somete al concurso tal y como ha sido convocado, sin impugnar, en ningún momento, las condiciones y bases por las que se rija, tomando parte en el mismo, con presentación de su correspondiente oferta y prestando su consentimiento tanto a las propias prescripciones de la licitación como a la participación de las restantes entidades, carecerá de legitimación para impugnarlo después, contraviniendo sus propios actos, cuando no resulte favorecida por las adjudicaciones que, obviamente, pretendía’.
Este criterio se mantiene en la resolución 321/2013, donde, con cita de la 178/2013, se precisa que la falta de impugnación de los pliegos hace ‘inviable la posibilidad de que se invoque posteriormente su supuesta improcedencia o ilegalidad para impugnar la adjudicación ya efectuada en favor de la proposición más conveniente a otro licitador, tanto más cuando que existe un trámite especialmente concebido para poder impugnar los citados Pliegos en su fase inicial mediante el recurso especial en materia de contratación contra ‘los anuncios de licitación, los pliegos y los documentos contractuales que establezcan las condiciones que deban regir la contratación’.
Por otro lado, tiene declarado este Tribunal que el Pliego de Cláusulas Administrativas constituye la ley de contrato a la que deben sujetarse los licitadores, así como el propio órgano de contratación. Al efecto, hemos de partir del valor vinculante del Pliego aprobado por el órgano de contratación. El Pliego constituye ‘auténtica lex contractus, con eficacia jurídica no sólo para el órgano de contratación sino también para cualquier interesado en el procedimiento de licitación’. Como se señala en la Resolución 410/2014, de 23 de mayo ‘siguiendo el criterio fijado ya por este Tribunal, acorde con la Jurisprudencia del Tribunal Supremo, hemos de recordar que el Pliego de Cláusulas Administrativas Particulares es la Ley que rige la contratación entre las partes y al Pliego hay que estar, respetar y cumplir, sin que por ello se contravenga el principio de concurrencia ni el de igualdad (resolución 47/2012, de 3 de febrero, recurso 047/2012’”.

Esta vinculación de las ofertas a lo dispuesto en los Pliegos se recoge a nivel legal en el art. 139.1 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP), por cuanto establece que:

“(…) las proposiciones de los interesados deberán ajustarse a los pliegos y documentación que rigen la licitación, y su presentación supone la aceptación incondicionada por el empresario del contenido de la totalidad de sus cláusulas o condiciones, sin salvedad o reserva alguna, así como la autorización a la mesa y al órgano de contratación para consultar los datos recogidos en el Registro Oficial de Licitadores y Empresas Clasificadas del Sector Público o en las listas oficiales de operadores económicos de un Estado miembro de la Unión Europea”.

Por otra parte, el artículo 38 del citado Real Decreto, que antes transcribimos, establece varias categorías de nivel de seguridad (Alta, Media o Básica), con diferentes medios de acreditación (auditoría con la oportuna certificación o autoevaluación mediante declaración), lo que exige una previa evaluación para determinar el alcance y el nivel de protección que es el adecuado, y, por tanto, debe ser exigido y, en consecuencia, añadir la oportuna justificación para poder comprobar si a la vista de la misma es adecuado a las circunstancias concurrentes y a la normativa la categoría seleccionada. Lo que queremos decir es que no es una selección automática, como pretende la recurrente, sino que requiere de una decisión en atención a la organización del órgano de contratación, así como a las circunstancias del objeto del contrato y su ejecución que no consta realizada por el órgano de contratación ni figura, por tanto, en los pliegos de la licitación, por lo que no cabe exigirla ahora al adjudicatario y menos para justificar una anulación de la adjudicación del contrato, como pretende la recurrente”

Como en el caso de que se ocupa la resolución transcrita más arriba, si descendemos al caso enjuiciado, se constata que ni el PCAP ni el pliego de prescripciones técnicas contienen mención alguna a las exigencias derivadas de la aplicación del ENS. Ciertamente, el recurrente debió impugnar en tiempo y forma los pliegos por los que se rige el presente expediente de contratación por no incluir los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de información, tales como las Declaraciones o Certificaciones de Conformidad con el ENS, no siendo procedente la anulación pretendida una vez adjudicado el contrato por no haber sido beneficiado de la adjudicación el recurrente.

Por si lo anterior no fuera suficiente para desestimar el presente recurso, se da también la circunstancia de que el informe del órgano de contratación razona la no necesidad de que la empresa adjudicataria disponga de un sistema de información certificado en el ENS, dado que no se va a utilizar su sistema, sino el sistema de información municipal.