Control de accesos en edificios municipales: cómo gestionar empleados, visitantes y proveedores con trazabilidad legal

Los ayuntamientos y administraciones locales gestionan a diario un flujo continuo de personas en sus edificios: empleados públicos en distintos turnos, cargos electos, técnicos externos, proveedores, ciudadanos que acuden a oficinas de atención y, en muchos casos, vehículos oficiales y particulares en aparcamientos restringidos. Sin un sistema de control de accesos profesional, esta complejidad se vuelve inmanejable y deriva en tres problemas graves: pérdida de trazabilidad, exposición a auditorías de transparencia y riesgo real de incidentes de seguridad.

Esta guía explica qué debe cubrir un sistema de control de accesos en un edificio municipal, qué normativa aplica, qué tipos de soluciones existen y cómo elegir la combinación adecuada para tu administración local. PSD Security cuenta con una línea específica de soluciones de seguridad para ayuntamientos que reúne todas estas tecnologías adaptadas al entorno público.

¡Síguenos en nuestras redes sociales!

Por qué los edificios municipales necesitan un control de accesos avanzado

Un ayuntamiento no es una oficina convencional. Combina características que en el sector privado rara vez coinciden en un mismo recinto: atención al público en horario amplio, áreas de máxima reserva (archivo municipal, sala de plenos, despachos de alcaldía), cuerpos profesionales que entran fuera del horario laboral (policía local, brigada, mantenimiento), proveedores con accesos periódicos y obligaciones de transparencia que pueden exigir aportar registros históricos a requerimiento de auditores, jueces o ciudadanos.

A esto se suma la presencia habitual de archivos sensibles (datos de empadronamiento, expedientes urbanísticos, datos económicos), patrimonio histórico en muchos casos y la imagen institucional que no admite incidentes. Una intrusión, un acceso irregular o la pérdida de control sobre quién entra fuera de horario tienen un coste reputacional desproporcionado al de una empresa privada equivalente.

El control de accesos avanzado no es por tanto un lujo, sino un requisito derivado tanto de la normativa como del propio modelo de funcionamiento de la administración local. Resuelve simultáneamente cumplimiento legal, seguridad operativa y obligación de transparencia.

Cinco situaciones reales sin trazabilidad que pasan en cada ayuntamiento

De los proyectos de auditoría de seguridad que PSD ha realizado en ayuntamientos en los últimos años, se repiten cinco situaciones de riesgo presentes en la inmensa mayoría de administraciones que aún no han modernizado su control de accesos.

1. Accesos activos sin control tras cambios de personal

Llaves físicas que siguen en posesión de antiguos empleados, tarjetas de proximidad que no se han dado de baja al finalizar el contrato, códigos de acceso compartidos verbalmente. En auditorías realizadas se han detectado casos de hasta 30 credenciales activas correspondientes a personas que ya no trabajan en el ayuntamiento. Sin sistema central, dar de baja un acceso significa cambiar la cerradura.

2. Sin registro de quién entra y quién sale

Los libros físicos en recepción se rellenan a medias, se pierden, se manipulan o simplemente no se exigen a visitantes habituales. Cuando ocurre una incidencia (un objeto desaparecido, una sustracción de documentación, un acceso no autorizado a un archivo sensible) no hay forma de reconstruir quién estuvo en el edificio en ese momento.

3. Proveedores con acceso libre fuera de horario

Empresas de limpieza, mantenimiento, jardinería o seguridad privada con llaves o tarjetas permanentes que entran fuera del horario de oficina sin ninguna supervisión. La rotación de personal en estos proveedores es alta y el ayuntamiento rara vez tiene un registro actualizado de qué personas concretas están autorizadas en cada momento.

4. Instalaciones abiertas de noche y fines de semana sin supervisión

Salones de actos, salas de exposiciones, dependencias compartidas con asociaciones vecinales o entidades culturales que utilizan los espacios en horario no laboral. Sin sistema de control no hay forma de saber a qué hora se cerró efectivamente la última puerta ni quién fue el último en estar dentro del edificio.

5. Sin respuesta ante auditorías o incidencias de seguridad

Una requisitoria judicial, una denuncia ciudadana o una auditoría de transparencia pueden exigir aportar el registro de accesos a un determinado espacio en una fecha concreta. Sin sistema digital, la respuesta del ayuntamiento es una explicación oral o, en el mejor de los casos, un libro de visitas manuscrito que no tiene valor probatorio.

Qué exige la ley a una administración pública: ENS, NIS2 e ISO 27001

El marco normativo que afecta al control de accesos en edificios municipales es más exigente que el del sector privado, y combina tres referencias principales.

Esquema Nacional de Seguridad (ENS)

Regulado por el Real Decreto 311/2022, el ENS es de obligado cumplimiento para todas las administraciones públicas españolas. Establece medidas de seguridad organizativas, operativas y de protección, agrupadas en tres niveles (básico, medio y alto) según la sensibilidad de la información y los servicios. El control de accesos físico es uno de los marcos de protección regulados expresamente, con requisitos sobre identificación de usuarios, gestión de credenciales, segregación de zonas y registro de accesos.

Directiva NIS2

La directiva europea NIS2 (2022/2555), traspuesta al ordenamiento español, refuerza las obligaciones de ciberseguridad y, por extensión, los controles físicos asociados. Aplica a administraciones públicas locales de cierto tamaño y a las que prestan servicios esenciales (suministro de agua, gestión de residuos, alumbrado). Exige sistemas de control de acceso con registro inmutable, gestión documentada de incidencias y reporting periódico al CCN-CERT.

ISO 27001

La norma internacional ISO/IEC 27001 sobre sistemas de gestión de seguridad de la información establece un marco voluntario pero crecientemente exigido en licitaciones públicas y por los propios ciudadanos. Su anexo A incluye controles específicos de seguridad física (A.7) que cubren tanto el perímetro como las áreas seguras dentro de las instalaciones.

El cumplimiento conjunto de ENS, NIS2 e ISO 27001 no es opcional para un ayuntamiento que quiera concurrir a fondos europeos, prestar servicios digitales avanzados o resistir auditorías sin sobresaltos. El sistema de control de accesos físico es uno de los componentes que más rápidamente se evalúan en estas auditorías.

Tipos de control de acceso para entornos municipales

Las soluciones de control de accesos disponibles en el mercado se agrupan en cuatro categorías principales. La elección depende del tamaño del edificio, del número de usuarios y del nivel de seguridad requerido para cada zona.

Control por tarjeta de proximidad (RFID)

Es la solución base de la mayoría de ayuntamientos. Cada empleado, cargo electo o proveedor habitual dispone de una tarjeta personal con identificador único. Los lectores instalados en puertas, ascensores y zonas restringidas permiten o deniegan el paso en función del perfil asignado al usuario. La gestión es centralizada: dar de alta o de baja una tarjeta lleva segundos y desactiva el acceso de forma inmediata. Si quieres entender la tecnología que hay detrás, lo explicamos en nuestro artículo sobre qué es RFID.

Control biométrico

Para zonas de máxima sensibilidad (archivo, sala de servidores, despacho de alcaldía, depósito de seguridad), se puede reforzar el acceso con biometría: huella dactilar o reconocimiento facial. La biometría requiere una Evaluación de Impacto en Protección de Datos previa y debe ofrecerse siempre como complemento, nunca como única opción para los trabajadores.

Control vehicular con barreras y lector de matrículas

Para aparcamientos oficiales, accesos a patios interiores, garajes de vehículos municipales o parques de servicios. Los sistemas con lector de matrículas (LPR) permiten el paso sin tarjeta ni mando, simplemente reconociendo la matrícula autorizada. Son especialmente útiles para visitantes regulares (policía, bomberos, ambulancias) y para gestión de proveedores. Puedes ver el detalle de estas soluciones en nuestra guía sobre barreras vehiculares automáticas para control de accesos.

Gestión de visitantes con app y cita previa

Para ciudadanos que acuden con cita previa, contratistas que asisten a obras, candidatos a procesos selectivos o cualquier visitante esperado. El sistema permite generar una credencial temporal con QR dinámico que el visitante recibe por correo electrónico y muestra en recepción. La credencial caduca automáticamente y queda registro completo del acceso. Explicamos cómo funciona esta tecnología en nuestro artículo sobre QR dinámicos para el control de acceso.

Caso de uso: gestión de proveedores y visitantes con caducidad automática

Uno de los puntos más débiles en la mayoría de ayuntamientos es la gestión de proveedores recurrentes. Empresas de limpieza, mantenimiento, jardinería, vigilancia, mensajería, suministros que entran al edificio varias veces por semana, en horarios variables, con plantillas que rotan. El sistema clásico de tarjeta permanente o llave física es claramente insuficiente.

Un sistema moderno permite a cada proveedor disponer de un panel donde el responsable autorizado por la empresa contratista da de alta a sus operarios concretos para periodos definidos. El operario llega al ayuntamiento, se identifica con su DNI o con un QR enviado al móvil, y el sistema le autoriza el paso solo a las zonas y franjas horarias para las que el contrato lo habilita. Cuando la persona deja de trabajar para el proveedor, el acceso se desactiva automáticamente sin necesidad de devolver ninguna tarjeta.

Lo mismo aplica a visitantes oficiales con cita previa: el sistema integrado con la agenda municipal genera una credencial QR para cada visita programada, válida exclusivamente para la fecha y franja horaria correspondiente. El ciudadano la recibe junto con la confirmación de la cita y la presenta en recepción al llegar.

​

Auditorías y trazabilidad: cómo responder ante una incidencia o requerimiento

El sistema de control de accesos no termina cuando el usuario pasa la puerta. La parte más importante, desde el punto de vista del cumplimiento, es lo que ocurre después: cómo se conservan los registros, cómo se acceden, cómo se generan los informes y cómo se entregan ante requerimientos.

Un sistema profesional debe permitir generar informes filtrados por persona, fecha, franja horaria, zona del edificio o tipo de acceso. Estos informes deben ser exportables en formatos estándar (PDF firmado digitalmente, CSV, XLSX) y deben mantener la cadena de custodia para ser admisibles como prueba en procedimientos administrativos o judiciales.

Igualmente importante es la integración con el sistema de videovigilancia del edificio. Cuando hay incidencia en una zona y franja horaria concretas, el responsable debe poder acceder en un solo paso al listado de personas que estuvieron en esa zona y a las imágenes de las cámaras del entorno. Esta integración multiplica el valor de cada sistema por separado.

PSD Security implementa esta integración de forma nativa en todos los proyectos con ayuntamientos, conectando los sistemas de control de acceso de ZKTeco con las plataformas de videovigilancia IP. Los técnicos de la corporación municipal disponen de un único panel desde el que gestionar ambos sistemas.

Preguntas frecuentes para responsables municipales

¿Es obligatorio para un ayuntamiento tener un sistema digital de control de accesos?

Sí, en la práctica. El Esquema Nacional de Seguridad y la directiva NIS2 establecen obligaciones de control de accesos que solo pueden cumplirse con sistemas digitales centralizados. Los registros en papel o las llaves físicas sin gestión no cubren los requisitos de identificación, trazabilidad y reporting que exige la normativa actual.

¿Cuánto cuesta implementar un sistema de control de accesos en un ayuntamiento mediano?

Depende del número de puertas controladas, tipo de tecnología y necesidad de control vehicular. Para un ayuntamiento de tamaño medio (un edificio principal con cinco a diez puertas controladas, gestión de visitantes y control vehicular de aparcamiento), el rango orientativo es de 15.000 a 40.000 euros instalado. PSD Security elabora propuestas adaptadas a cada caso y orienta sobre las líneas de subvención disponibles.

¿Puede integrarse con el sistema de control horario de los empleados públicos?

Sí. La integración con GoTime Cloud permite que el mismo punto de control sirva para registrar la jornada del empleado y para autorizar su acceso al edificio. Esto evita duplicidades, reduce el coste total del proyecto y simplifica la gestión del personal.

¿Qué pasa con las llaves físicas tradicionales? ¿Hay que sustituirlas todas?

No necesariamente. En la mayoría de proyectos se mantienen las llaves físicas en zonas no críticas (almacenes, salas técnicas) y se digitalizan los accesos de mayor sensibilidad. La migración puede hacerse por fases, empezando por el acceso principal y las zonas con más rotación de usuarios.

¿Cómo se garantiza el cumplimiento del RGPD con los datos de los empleados y visitantes?

El sistema genera y mantiene el registro de tratamiento exigido por el RGPD, configura los plazos de conservación según la finalidad del dato, gestiona los derechos del afectado (acceso, rectificación, supresión) y permite la designación del responsable de tratamiento. PSD Security entrega como parte de la implementación la documentación necesaria para acreditar el cumplimiento ante la AEPD.

PSD Security ha implementado sistemas de control de accesos en ayuntamientos de toda España. Realizamos un análisis previo del edificio y proponemos la combinación adecuada de tarjeta, biometría, vehículo y gestión de visitantes, con cumplimiento ENS, NIS2 e ISO 2700

Consulta nuestras entradas anteriores