Servicios informáticos en licitaciones públicas: guía completa

Qué son los servicios informáticos en contratación pública

Los servicios informáticos son los contratos públicos cuyo objeto es el desarrollo de software, la asistencia técnica TI, el mantenimiento de sistemas, los servicios cloud, la ciberseguridad, las consultorías tecnológicas o la implantación de soluciones digitales. Se regulan en el artículo 17 de la LCSP 9/2017 y deben cumplir el Esquema Nacional de Seguridad (RD 311/2022) cuando tratan información del sector público¹.

El sector público español invierte miles de millones de euros anuales en transformación digital. La ejecución de los fondos Next Generation EU ha multiplicado los contratos de tecnología en ministerios, comunidades autónomas, ayuntamientos, universidades y organismos. Para empresas tecnológicas, esto significa un mercado en expansión con todos los niveles: desde grandes integradores que ganan megacontratos hasta pymes que se especializan en nichos como ciberseguridad, low-code, accesibilidad o servicios cloud verticales.

Códigos CPV de servicios informáticos

Los principales códigos CPV para servicios informáticos en licitaciones públicas son: 72000000 (servicios de TI), 72200000 (desarrollo de software), 72500000 (servicios informáticos), 72600000 (asistencia y consultoría informática), 72700000 (servicios de redes informáticas) y 72800000 (servicios de auditoría y prueba informática). Cada nivel de especificidad cubre una categoría distinta y conviene configurar alertas con varios CPV a la vez para no perder oportunidades².

Tipos de servicios informáticos licitados

Los servicios informáticos licitados se agrupan en seis grandes tipologías: desarrollo de software (a medida o evolutivo), servicios cloud e infraestructura, ciberseguridad y auditoría, soporte y mantenimiento (CAU, niveles 1-3), consultoría tecnológica (planes directores, gobernanza del dato) y servicios especializados (accesibilidad, transformación digital, inteligencia artificial). Cada tipo tiene solvencia y certificaciones específicas³.

Desarrollo de software a medida

Proyectos de desarrollo de aplicaciones específicas para la administración: portales del ciudadano, sedes electrónicas, gestores documentales, aplicaciones móviles, integraciones con sistemas comunes. Suelen exigir metodologías ágiles documentadas (Scrum, SAFe), certificación CMMI nivel 3 o 5 y equipo con experiencia documentada en proyectos similares.

Servicios cloud e infraestructura

Migración a la nube, gestión de infraestructura cloud (AWS, Azure, GCP), housing, virtualización, copias de seguridad y recuperación ante desastres. Los pliegos suelen exigir cumplimiento del Esquema Nacional de Seguridad (ENS) y, cada vez más, certificación de sostenibilidad de los centros de datos (ISO 50001, Tier III/IV de Uptime Institute).

Ciberseguridad y auditoría

Auditoría de seguridad, hacking ético, pentesting, gestión de SIEM, respuesta ante incidentes, formación en ciberseguridad, adecuación al ENS, cumplimiento de la directiva NIS2. Es uno de los segmentos con más crecimiento gracias a la presión normativa y al aumento de incidentes. Las certificaciones del personal (CISA, CISSP, OSCP) son determinantes.

Soporte y mantenimiento

Servicios de Centro de Atención al Usuario (CAU), soporte de niveles 1, 2 y 3, mantenimiento correctivo y evolutivo de aplicaciones, gestión de incidencias con SLA exigentes. Aquí aplica habitualmente la subrogación de personal del anterior adjudicatario por el convenio del sector. Es habitual la presencia de UTE para grandes contratos.

Consultoría tecnológica

Planes directores de informática, gobernanza del dato, oficinas de transformación digital, definición de estrategias TI, análisis de necesidades, evaluación de soluciones. Aquí compiten consultoras tradicionales (Accenture, Deloitte, Capgemini), boutiques tecnológicas especializadas y pymes con expertise sectorial concreto.

Servicios especializados

Inteligencia artificial aplicada (análisis predictivo, NLP, visión artificial), accesibilidad web (cumplimiento de WCAG 2.1 AA y RD 1112/2018), automatización de procesos (RPA), blockchain aplicado al sector público, low-code para administraciones. Son nichos especializados donde las pymes con expertise concreto compiten en igualdad.

Esquema Nacional de Seguridad (ENS): obligatorio

El cumplimiento del Esquema Nacional de Seguridad (RD 311/2022) es obligatorio en cualquier contrato de servicios informáticos que implique tratamiento de información del sector público. Establece tres categorías de seguridad (Básica, Media, Alta) según el impacto de un incidente sobre la confidencialidad, integridad y disponibilidad. La certificación ENS suele ser un requisito de solvencia o un criterio de adjudicación con peso significativo⁴.

El ENS es una de las exigencias más relevantes para entrar en contratos TI del sector público. Las grandes consultoras y los integradores tienen certificación ENS Alta desde hace años; las pymes que aspiran a ser adjudicatarias deben planificar la certificación con tiempo porque el proceso suele requerir entre 6 y 12 meses. Sin certificación ENS, ofertar servicios que traten información clasificada media o alta no es viable, y muchos pliegos lo exigen incluso para servicios con información de categoría básica.

Certificaciones técnicas valoradas

Las certificaciones más valoradas en servicios informáticos son: ISO 27001 (seguridad de la información), ISO 20000 (gestión de servicios TI), ISO 9001 (calidad), CMMI (desarrollo de software, niveles 2-5), ITIL v4 (gestión de servicios), certificaciones de personal (CISA, CISSP, PMP, CSM) y certificaciones de fabricante (Microsoft, AWS, Cisco, SAP). El peso conjunto puede llegar al 10-20% de la puntuación total³.

El conjunto de certificaciones del adjudicatario es uno de los diferenciales reales en estos contratos. ISO 27001 es prácticamente imprescindible en ciberseguridad; CMMI nivel 3 o superior abre la puerta a grandes proyectos de desarrollo; ITIL es la referencia en mantenimiento de sistemas. Las certificaciones del personal asignado al contrato (no solo de la empresa) suelen valorarse específicamente: CISA y CISSP para auditoría y seguridad, PMP para gestión de proyectos, certificaciones cloud (AWS Solutions Architect, Azure Expert) para infraestructura.

Solvencia técnica y económica

La solvencia económica se acredita por volumen de negocio del último ejercicio igual o superior a 1,5 veces el valor estimado anual del contrato. La solvencia técnica exige relación de trabajos similares en los últimos 3 años (con importe, destinatario y certificado de buena ejecución), declaración del equipo técnico con titulaciones y certificaciones, y compromiso de medios concretos (entornos, herramientas, infraestructura) durante toda la ejecución del contrato⁵.

En servicios informáticos, los pliegos suelen exigir referencias muy específicas: número mínimo de proyectos en el ámbito concreto, importe equivalente, tecnología utilizada y, cada vez más, certificado de cumplimiento del ENS en proyectos anteriores. El equipo técnico se valora por titulación universitaria (ingeniería informática, telecomunicaciones, matemáticas), certificaciones profesionales y años de experiencia en proyectos similares. Es habitual ofertar con un equipo nominal completo y dedicaciones porcentuales por perfil.

Criterios de adjudicación habituales

Los criterios habituales en servicios informáticos son: propuesta técnica del proyecto (30-50%), equipo asignado y certificaciones (15-25%), oferta económica (25-40%), mejoras sin coste (entregables adicionales, formación) y criterios sociales y medioambientales. La LCSP exige que los criterios sujetos a juicio de valor no superen el 50% de la puntuación total. En ciberseguridad y desarrollo a medida, la propuesta técnica es decisiva¹.

La propuesta técnica debe entrar en detalle: arquitectura propuesta, tecnologías utilizadas, metodología (ágil, en cascada, mixta), gestión de riesgos, plan de pruebas, plan de despliegue, plan de transición desde el sistema anterior, modelo de gobernanza y SLAs. Las propuestas genéricas suelen perder frente a las propuestas específicas con diagramas, ejemplos concretos y referencias a proyectos similares ya ejecutados. Las mejoras sin coste habituales son módulos adicionales, ampliación del periodo de garantía o sesiones de formación al usuario final.

Errores comunes al licitar servicios informáticos

Los errores más frecuentes son: ofertar sin certificación ENS cuando el pliego la exige, no acreditar adecuadamente las referencias específicas en tecnología o sector, presentar un equipo con CV sin disponibilidad real, infraestimar las horas de gestión y documentación, y caer en baja anormal sin tener tablas de coste/hora por perfil para justificar la oferta en el trámite del art. 149 LCSP³.

• ENS no acreditado: · imprescindible para tratar información del sector público · 6-12 meses de proceso de certificación · sin ello, oferta excluida en muchos pliegos.
• Referencias mal definidas: los pliegos suelen exigir referencias en tecnología concreta (Java, Microsoft, SAP, AWS) y en sector específico. Aportar referencias genéricas resta puntos o invalida la oferta.
• Equipo sin disponibilidad real: los pliegos exigen identificar al equipo y comprometer dedicación. Sustituir personas clave durante la ejecución requiere autorización del órgano de contratación.
• Horas de gestión infraestimadas: reuniones, documentación, validaciones y reportes a cliente representan entre el 15% y el 25% del esfuerzo total. Estimar solo horas de «ejecución pura» lleva a contratos en pérdidas.
• Baja anormal: bajadas superiores al 20% sobre la media activan el art. 149 LCSP. Justificar con tablas de coste/hora por perfil, herramientas, infraestructura y márgenes. Sin documentación, exclusión.
• Subcontratación mal planificada: el pliego fija el porcentaje máximo (50-60%) y exige notificar previamente al órgano de contratación los subcontratistas, sus certificaciones ENS y los importes asignados.

Preguntas frecuentes sobre servicios informáticos