Proyecto cerrado en septiembre de 2026 · Código abierto
Una plataforma que implantaba el Esquema Nacional de Seguridad de punta a punta. Así funcionaba por dentro.
En la mayoría de concursos públicos, sin el Esquema Nacional de Seguridad no se valora la oferta. Fulkro se construyó para resolver eso: una plataforma que implantaba el ENS de una empresa de principio a fin —categorización, riesgos, documentación, evidencias y verificación técnica— y dejaba el expediente preparado para la auditoría de una entidad acreditada por ENAC. Fulkro no emitía el certificado: lo emitía esa entidad, ajena al proyecto.
El diseño partía de una regla: las decisiones normativas las tomaban motores deterministas, no un modelo de lenguaje, para que fueran trazables ante el auditor; y un experto en ENS revisaba y firmaba cada entregable.
Plataforma propiaLista para la auditoría ENACNube vigilada y escaneo de seguridadRevisión experta antes de firmar
Estado del proyecto
Fulkro cerró en septiembre de 2026. No hay servicio comercial activo: no se aceptan clientes, no se presta soporte y no se atiende ninguna solicitud. El código de la plataforma se está liberando como open source en github.com/Fulkrodev/Fulkrosys. Esta página se conserva como descripción de lo que el sistema hacía, no como oferta.
Código abierto73 medidas del Anexo IIPlataforma propia + revisión expertaAuditoría ENAC independiente
El ENS ya se exige en contratos de
Administración General del EstadoComunidades AutónomasDiputacionesAyuntamientosUniversidades públicasSanidad públicaEmpresas públicas
Administración General del EstadoComunidades AutónomasDiputacionesAyuntamientosUniversidades públicasSanidad públicaEmpresas públicas
La tercera vía
Había dos formas de cumplir el ENS. Fulkro intentó ser una tercera.
Para cumplir el ENS se podía contratar una consultoría —lenta y que acaba dejando una carpeta de documentos— o comprar un software de cumplimiento, potente pero que maneja la propia empresa con su equipo técnico. Fulkro era lo tercero: la mecánica de una plataforma, operada de principio a fin por quien prestaba el servicio.
Consultoría tradicional
Lenta y, al final, en manos del cliente
Reuniones durante meses para acabar con un montón de Word que alguien de la empresa tiene que mantener vivo.
Plazos de meses
Se entregan documentos, no un sistema
El mantenimiento acaba siendo del cliente
Software de cumplimiento
Potente, pero lo maneja el cliente
Una herramienta enterprise que se entrega con sus llaves: hay que saber de seguridad y dedicar un equipo a operarla.
Hace falta perfil técnico para usarlo
La carga de trabajo sigue en la empresa
Curva de aprendizaje y mantenimiento
Fulkro
La plataforma hacía el trabajo técnico
Generaba, conectaba y verificaba todo el ENS, y la operaba el propio servicio de principio a fin —incluida la implantación técnica—. El cliente veía, aprobaba, firmaba y concedía permisos.
Implantación en días, con revisión manual experta
No hacía falta saber de seguridad
Implantación y remediación técnica: se proponían, el cliente las autorizaba y se ejecutaban sobre sus sistemas
Nube vigilada en continuo y escaneo de seguridad
Un único experto responsable del expediente
El ENS, en cristiano
Las reglas del ENS, programadas dentro de la plataforma.
El Esquema Nacional de Seguridad tiene decenas de reglas: qué nivel corresponde, qué medidas, qué documentos y qué pruebas. En una consultoría eso lo hace una persona a mano, despacio. En Fulkro esas reglas estaban programadas dentro de la plataforma, así que se aplicaban completas, iguales y rápidas todas las veces; después, un experto en ENS lo revisaba y lo firmaba. La parte técnica —implantar las medidas en los sistemas del cliente y corregir lo que fallara— también la ejecutaba el servicio, con los accesos que el cliente concedía. El cliente no tocaba un terminal: veía el avance, aprobaba, firmaba y daba permisos.
Como la declaración de la Renta
La consultoría de siempre es un gestor que lo hace todo a mano durante meses y entrega una carpeta de papeles. Un software de cumplimiento es el programa de Hacienda: te lo dan y lo rellenas —y lo entiendes— tú. Fulkro era aportar los datos y que el sistema hiciera las cuentas solo —las fórmulas ya venían metidas—, que un experto lo revisara y lo firmara, y recibir la declaración terminada. El cliente solo aprobaba y firmaba.
La parte menos habitual del planteamiento era hacer también la implantación técnica y la remediación sobre los sistemas del cliente, no solo los documentos. Siempre con el mismo flujo: se propone → el cliente autoriza y da acceso → se ejecuta y se reverifica.
Por qué Fulkro
Lo que en otros sitios es una carpeta de Word, aquí es un sistema vivo.
La consultoría de siempre te entrega documentos y te deja a tu suerte. En Fulkro, una plataforma propia hace el trabajo pesado del Esquema Nacional de Seguridad —categorización, riesgos, documentación, evidencias— y un experto lo revisa y valida —siempre el mismo, de principio a fin— antes de que llegue al auditor. No necesitas saber de seguridad: lo operamos nosotros y tú ves el avance en tiempo real, revisas, apruebas y firmas. Más abajo lo ves por dentro, pantalla a pantalla, en los tres portales.
Una plataforma, no un PDF
Todo el ENS vive en un sistema conectado: nada de plantillas sueltas que acabas rellenando tú.
Días, no meses
Lo que la consultoría tradicional tarda medio año, aquí se mide en días, con revisión manual experta y plazo por escrito.
Nube vigilada y escaneo de seguridad
La plataforma vigila tu nube en continuo y escanea tus sistemas en busca de fallos de forma periódica, y un experto valida los hallazgos y descarta las falsas alarmas. En nivel Alta, además, un pentester externo hace el test de intrusión. Tú no tienes que ser técnico.
Sin el Esquema Nacional de Seguridad, no se entra a concursar.
El Esquema Nacional de Seguridad ha dejado de ser un trámite posterior. Cada vez más pliegos lo exigen como requisito de entrada: si no acreditas la conformidad, la mesa de contratación ni siquiera valora tu oferta. Quedas fuera antes de competir.
Exclusión de salida
Contratos que antes se ganaban dejan fuera a quien no acredita el ENS. Y no compite quien no entra.
Es requisito previo a la solvencia
Cuando el ENS se exige como solvencia o habilitación, hay que acreditarlo con la oferta. Sin él, no se llega a valorar la oferta económica ni la propuesta técnica.
Empezar tarde es perder
La consultoría tradicional tarda meses. Cuando sale el pliego, ya no llegas. La conformidad hay que anticiparla.
Lo que dice la norma
El Tribunal Administrativo Central de Recursos Contractuales (TACRC) ha confirmado que la conformidad con el ENS puede exigirse en los pliegos como requisito de habilitación, criterio de solvencia técnica, criterio de adjudicación o condición especial de ejecución. Cuando se configura como requisito de solvencia, su acreditación debe aportarse junto con la oferta y verificarse antes de la adjudicación: su incumplimiento es causa de exclusión. Regulado por el Real Decreto 311/2022. Y no es doctrina antigua: el TACRC sigue resolviendo recursos sobre cláusulas ENS en pliegos este mismo año (p. ej., Resolución 125/2026, de 29 de enero).
Imágenes reales del producto
Por dentro: los tres portales, pantalla a pantalla.
No son renders: son capturas del producto. El trabajo pesado ocurría en el portal de administración; el cliente apenas tocaba nada en el portal del cliente —veía, aprobaba y firmaba—; y el portal del auditor era lo que recibía la entidad certificadora.
Imágenes reales del producto · datos de demostración
Fulkro aplicaba el ENS sobre sí misma. La plataforma mantenía su propio cumplimiento bajo el mismo rigor que implantaba en el cliente, para no introducir riesgo en su organización.
El problema que resolvía
Un concurso que exige el Esquema Nacional de Seguridad y no se puede acreditar es un concurso perdido.
Así funciona la contratación pública: la conformidad con el ENS se comprueba antes de adjudicar, y quien no la tiene queda fuera. Esa asimetría es la que Fulkro intentaba cerrar.
Sin el ENS
Sin acreditar, fuera antes de competir
La mesa de contratación no valora la oferta: exclusión directa.
Se pierden contratos que por capacidad técnica se podrían ganar.
Se empieza a correr cuando el pliego ya ha salido. Tarde.
Meses de trabajo interno improvisado y sin método.
El expediente se rehace desde cero en cada licitación.
Con el ENS implantado
Se llega con la conformidad acreditada
Se concursa con el ENS hecho y se compite de tú a tú.
La oferta sí se valora: se gana o se pierde por mérito, no por un papel.
Se llega preparado antes de que salga el concurso.
El expediente queda vivo y reutilizable, no en una carpeta muerta.
Cada medida queda enlazada con su evidencia y su riesgo.
44
motores del ciclo ENS que componían la plataforma
268
migraciones con las que evolucionó su base de datos
131
plantillas de documento de la fábrica documental
73
medidas del Anexo II (RD 311/2022) a cubrir en el nivel más exigente
Cómo funcionaba
De cero a certificado, sin que el cliente tuviera que ser experto.
Cuatro fases, una plataforma que las orquestaba y un experto al lado en cada decisión. El cliente revisaba, autorizaba y firmaba.
01
Diagnóstico
Se analizaba la situación de partida, los pliegos a los que la empresa concurría y el nivel ENS que le correspondía de verdad. El resultado era un punto de partida con números: dónde estaba y cuánto le faltaba.
Salida: nivel ENS y brechaDuración: 1 reuniónCliente: describe a qué licita
02
Plan de adecuación
De ahí salía una hoja de ruta priorizada, ajustada al nivel ENS y al alcance real del contrato. No era un paquete cerrado: solo las medidas que aplicaban, en el orden correcto y con plazos.
Entregable: plan de adecuaciónAlcance: según nivel y contrato
03
Implantación acompañada
Se ejecutaba sobre la plataforma: políticas, análisis de riesgos MAGERIT, controles, evidencias y verificación técnica. No terminaba en un PDF: cada medida quedaba enlazada con su evidencia.
Documentación: generada automáticamenteCliente: revisa y firma en su portal
04
Certificación y mantenimiento
La empresa llegaba a la auditoría ENAC con el expediente completo, entregado al auditor en su propio portal de solo lectura. Después venía el mantenimiento de la conformidad.
Auditoría: entidad ENAC independienteDespués: mantenimiento de la conformidad
La comparativa
En qué se diferenciaba de una consultoría ENS.
Fulkro no era una consultora con plantillas de Word, sino una plataforma de cumplimiento. Punto por punto, así se repartían las diferencias.
Fulkro
Consultoría ENS tradicional
Tiempo hasta la certificación
Días (proceso afinado y automatizado)
Meses de trabajo por horas de consultoría
Modelo económico
Cerrado por adelantado, en función del nivel ENS
Presupuesto a medida que se ajusta sobre la marcha
Documentación ENS
46 entregables ENS generados por la plataforma
Plantillas genéricas que rellenas tú
Portal para el cliente
El cliente ve, autoriza y firma en su portal
Correos, Excel y carpetas compartidas
Análisis de riesgos MAGERIT
Integrado y conectado a las medidas
Hoja aparte, sin trazabilidad
Verificación técnica y pentest
Motor propio (scan en Media, pentest en Alta)
Se subcontrata aparte y se factura aparte
Entrega al auditor ENAC
Portal de solo lectura con todo el expediente
Envío manual de documentos por email
Simulacro de auditoría
Simulacro previo antes de la auditoría real
Normalmente no se hace
Mantenimiento post-certificación
Vigilancia continua y detección de cambios
«Hasta la renovación, ya nos llamas»
Soporte cuando surge algo
Trato directo con el experto, también en plena auditoría
Si licitas con lo público y tocas datos o sistemas, esto va contigo.
El ENS no es solo cosa de la Administración: alcanza a las empresas que le prestan servicios tecnológicos. Estos son los perfiles que más nos llegan.
Software y SaaS para administracionesCloud, hosting y centros de datosConsultoras tecnológicas e integradoresCiberseguridad y servicios gestionadosTelecomunicaciones y conectividadIngeniería, sistemas y BPOEmpresas de impacto digital críticoSanidad y administración electrónica
Lo que Fulkro hace por ti
No te dejamos un PDF. Te damos una plataforma.
Todo el cumplimiento ENS vive en un único sitio, conectado de principio a fin: lo que decides en riesgos se refleja en las medidas, las medidas piden sus evidencias, y las evidencias llegan listas al auditor.
Tu portal de cliente
Un espacio claro y sin jerga donde ves el avance, revisas las decisiones técnicas, autorizas las verificaciones y firmas con validez electrónica. Tú decides; nosotros operamos la parte difícil.
Evidencias con custodia
Análisis antivirus, verificación criptográfica y almacenamiento inmutable de cada prueba.
Riesgos MAGERIT
El análisis de riesgos integrado y conectado con las medidas que aplican a tu sistema.
Fábrica documental
Los 46 entregables ENS del expediente, generados y versionados por la plataforma a partir de sus 131 plantillas de documento, y revisados por un experto antes de la firma.
Portal para el auditor ENAC y simulacro previo
El auditor recibe un acceso de solo lectura con todo el expediente ordenado. Y antes de la auditoría real, hacemos un simulacro para que no haya sorpresas el día clave.
¿Qué es el Esquema Nacional de Seguridad (ENS) y por qué lo necesito para licitar?
El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es el marco español de ciberseguridad obligatorio para los sistemas que tratan información o prestan servicios al sector público. En la mayoría de las licitaciones públicas, acreditar la conformidad con el ENS es requisito para que la oferta se valore: sin él, la mesa de contratación no entra a valorarla.
¿Cuánto se tardaba en estar listo para la auditoría del ENS?
El objetivo del diseño era medirlo en días, no en meses: la plataforma implantaba el ENS de forma determinista y un experto lo revisaba manualmente, lo que acortaba los plazos frente a la consultoría tradicional. El plazo concreto dependía del nivel (Básica, Media o Alta) y del punto de partida.
¿Qué determinaba el alcance de un proyecto ENS?
El nivel ENS que corresponde al sistema (Básica, Media o Alta) y el alcance del contrato. La Básica es la menos exigente y se acredita por declaración de conformidad, sin auditoría externa; la Alta es la más exigente e incluye test de intrusión externo. El nivel lo fija la categorización del sistema, y muchas veces lo impone el propio pliego.
¿Hacía falta entender de seguridad o de informática?
No. La plataforma hacía el trabajo técnico y un experto lo validaba; el cliente veía el avance, aprobaba y firmaba desde su portal, en lenguaje claro y sin jerga.
¿Fulkro emitía el certificado del ENS?
No, nunca. En los niveles Medio y Alto, el certificado de conformidad lo emite una entidad de certificación independiente acreditada por ENAC, ajena a Fulkro, lo que evita conflictos de interés. Fulkro implantaba, preparaba y acompañaba hasta la auditoría; el nivel Básico se acredita por declaración de conformidad, sin auditoría externa.
¿En qué se diferenciaba de una consultora de ciberseguridad tradicional?
Una consultora tradicional entrega documentos de Word y depende de horas de personas. Fulkro era una plataforma: aplicaba el ENS de forma determinista y conectaba riesgos, medidas, evidencias y dossier de principio a fin, escaneaba los sistemas del cliente y vigilaba su nube, y un experto revisaba el resultado.
Si no acreditas el ENS, la mesa de contratación ni entra a valorar tu oferta.
Criterio confirmado por el TACRC sobre el ENS como requisito de solvencia · Real Decreto 311/2022
73
medidas del Anexo II del ENS implementadas en el código
131
plantillas de documento de la fábrica documental
5789
pruebas automatizadas en el repositorio
Usamos cookies propias y de terceros para que la web funcione y para medir de forma agregada cómo se usa. Puedes aceptarlas, rechazarlas o leer la política de cookies.
