CCN-STIC 802 ENS. Guía de auditorías de cumplimiento
La guía que marca cómo te van a auditar. Léela antes de que lo hagan.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷14 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre auditoría ens dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 802 · Auditoría ENS
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 802 establece cómo se audita el ENS: las fases del proceso, la composición y la imparcialidad del equipo auditor, el alcance y los criterios. Su versión más reciente (actualizada en 2026) refuerza la diferenciación entre auditoría técnica y auditoría de cumplimiento, y armoniza su contenido con el resto de guías vigentes y con el RD 311/2022.
De toda la serie 800, es la guía que más te conviene leer antes de que te auditen. No porque vayas a auditarte tú mismo, sino porque define exactamente qué te van a pedir, en qué orden y con qué criterio. Llegar a una auditoría conociendo la 802 es la diferencia entre demostrar cumplimiento con orden y descubrir las brechas el mismo día de la visita.
El ENS es una norma jurídica certificable, lo que significa que para obtener la Certificación de Conformidad debe superarse una auditoría de certificación. La guía diferencia dos tipos de auditoría: las internas de verificación (para mejora continua) y las externas de Certificación de la Conformidad (para obtener el sello).
Mi lectura
Auditar no es leer políticas con un checklist al lado. Es sostener una conclusión con evidencia suficiente.
La 802 me toca especialmente por mi forma de trabajar. Antes de auditor fui el que montaba y operaba muchos de los sistemas que luego se revisan. Y eso cambia cómo leo una evidencia. Una política puede estar impecable y el sistema seguir exponiendo exactamente el riesgo que la política dice controlar.
Una auditoría ENS necesita criterio, alcance, muestra y evidencia. La dificultad no está en encontrar un documento. Está en decidir si lo observado representa de forma razonable el control que se pretende evaluar. Una captura de configuración puede demostrar un estado puntual; un conjunto de registros puede demostrar operación; una entrevista aporta contexto, pero rara vez debería cerrar por sí sola una afirmación crítica.
Mi pregunta constante es: ¿qué conclusión puedo sostener con esto y qué parte estoy infiriendo? Ese límite separa una auditoría defendible de una colección de impresiones.
CCN-STIC 802 · Criterio y muestra
Cómo convertir observaciones en una conclusión defendible
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
Técnicamente, una auditoría ENS es un ejercicio de inferencia controlada. No compruebas todo; seleccionas una muestra y decides si esa evidencia permite concluir algo razonable sobre el diseño, la implantación o la operación del control. Por eso son críticos el criterio de evaluación, la definición de la población, el periodo revisado y la forma de corroborar la información.
Una entrevista puede explicar cómo funciona el control; una captura puede enseñar un estado; un ticket puede demostrar una ejecución; una serie de registros puede evidenciar continuidad. La dificultad consiste en no sobredimensionar ninguna fuente. Cuando una conclusión depende de una sola pieza débil, el hallazgo se vuelve frágil.
Mi lectura técnica de la 802 es muy simple: la calidad de la auditoría depende tanto de la muestra y de la trazabilidad como del conocimiento del marco. Saber la cláusula no basta si no sabes qué prueba realmente el material que te enseñan.
Profundidad técnica de la muestra
Definiría población y periodo antes de pedir evidencias. Después combinaría muestras dirigidas —casos de alto riesgo— con muestras aleatorias. En controles automatizados, validaría configuración, fuente de datos y tratamiento de excepciones. En controles manuales, revisaría frecuencia, consistencia y capacidad de repetición.
También separaría evidencia generada por el propio control de evidencia creada para demostrarlo. La primera suele ser más fuerte porque nace de la operación ordinaria.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Redactar el hallazgo demasiado pronto. Es habitual identificar una condición sospechosa y convertirla en incumplimiento antes de comprobar si el criterio aplica exactamente, si existen controles compensatorios o si la evidencia observada era representativa.
El error contrario también existe: aceptar una narrativa coherente sin suficiente corroboración porque el entorno parece bien gestionado. En ambos casos se debilita la auditabilidad del resultado.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Supongamos que revisas registros de eventos. El administrador te muestra el SIEM con eventos de ayer y una política que exige retención de un año. Eso demuestra intención y evidencia puntual, pero no necesariamente retención efectiva ni revisión regular. Yo pediría además muestras históricas, un caso de búsqueda real, alertas asociadas y, si es posible, una evidencia independiente de que la fuente sigue enviando datos.
Ese salto —de la demostración preparada a la operación sostenida— es precisamente donde la auditoría gana valor.
Ejemplo técnico de infraestructura
Auditar la gestión de parches sin quedarse en una captura de consola
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
El responsable muestra una consola con un 96 % de cumplimiento. La cifra parece buena, pero no permite saber qué población se mide, qué sistemas están excluidos ni si los servidores más críticos forman parte del 4 % pendiente.
Arquitectura técnica: herramienta de parcheo, CMDB, gestión de vulnerabilidades y tickets de cambio. Muestra: servidores críticos, equipos fuera de dominio, excepciones y activos incorporados recientemente. Corroboración: comparar consola, versión real del sistema, inventario y tickets. Conclusión defendible: no “la herramienta marca 96 %”, sino qué cobertura existe, qué excepciones están justificadas y si el proceso corrige desviaciones dentro del plazo definido.
Pregunta incómoda
¿La evidencia demuestra el control o solo demuestra que alguien preparó la auditoría?
NO RESPONDAS CON LA POLÍTICA
Cuando todas las evidencias tienen la misma fecha, todos los tickets se cierran la semana anterior y los procedimientos aparecen recién aprobados, no afirmo automáticamente que exista manipulación. Pero sí cambio la profundidad de la muestra.
Buscaría continuidad temporal, ejecución ordinaria y trazas que no nazcan para el auditor: logs, tickets, cambios, revisiones programadas, alertas, actas. La evidencia natural de operación suele contar más que una carpeta creada para la visita.
Ref.
Qué pediría
Qué necesito ver
GR-01
Criterio
Requisito exacto contra el que se evalúa.
GR-02
Muestra
Población, selección y periodo revisado.
GR-03
Corroboración
Fuentes independientes que sostienen la misma conclusión.
GR-04
Hallazgo
Condición, criterio, evidencia e impacto claramente relacionados.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Intentaría comprender primero cómo debería funcionar el control en ese entorno concreto. Después pediría evidencia de diseño y evidencia de operación. Y siempre reservaría una parte de la muestra para seleccionar yo, no el auditado.
Auditar no es desconfiar de las personas. Es no obligar a una conclusión a depender de la confianza.
Contenido
Qué contiene la guía
Las fases del proceso de auditoría: planificación, ejecución, hallazgos e informe.
La distinción entre auditoría de cumplimiento (medidas y evidencias) y auditoría técnica (configuraciones, pruebas).
Los requisitos de competencia e imparcialidad del equipo auditor.
El tratamiento de hallazgos, no conformidades y planes de acción (PAC).
El anexo sobre auditorías del Perfil de Cumplimiento Específico (CCN-STIC 890).
Los tipos de auditoría: certificación (MEDIA/ALTA), autoevaluación (BÁSICA), y auditorías extraordinarias (por incremento de categoría o alcance).
El alcance de la auditoría y cómo se determina en sistemas externalizados o interconectados.
Conceptos
Conceptos clave que debes manejar
Auditoría de cumplimiento
Verifica que cada medida aplicable está implantada y soportada por evidencia. El auditor entrevista al auditado y solicita evidencias (documentos, accesos a aplicaciones, registros). No interactúa directamente con el sistema.
Auditoría técnica
Comprueba en el sistema real (configuraciones, pentest) que las medidas funcionan. El equipo auditor interactúa directamente con el sistema.
Imparcialidad
El auditor no puede auditar lo que él mismo ha implantado o asesorado. Debe haber transcurrido al menos dos años desde la última vinculación con el sistema auditado.
No conformidad
Incumplimiento de una medida exigible. Se divide en Mayor (afecta significativamente a la capacidad del sistema) y Menor (incumplimiento parcial o mejorable). Debe corregirse con un Plan de Acciones Correctivas (PAC).
Auditoría combinada
Auditoría conjunta de dos o más sistemas de gestión (ej. ENS + ISO 27001). Puede reducirse hasta un 35% la duración total.
Alcance
A quién aplica y cuándo entra en juego
Aplica a sistemas de categoría MEDIA y ALTA, obligados a auditoría al menos cada dos años. La categoría BÁSICA se basta con autoevaluación, pero conocer la 802 te prepara igualmente y te da criterio sobre qué evidencia generar. También aplica a sistemas que se acojan a un Perfil de Cumplimiento Específico, con particularidades en el proceso de auditoría (semiautomatizada a través del Portal de Gobernanza del CCN).
Implantación
Cómo lo implanta una empresa, paso a paso
Conoce las fases antes de empezarEstudia las fases de la 802 y organiza tu evidencia siguiéndolas. Llegar con la documentación ordenada por fases acelera la auditoría.
Separa evidencia técnica y de cumplimientoDistingue desde el principio tu evidencia documental (políticas, actas, procedimientos) de la técnica (configuraciones, resultados de pruebas). El auditor las trata de forma distinta.
Garantiza la imparcialidadSi una consultora te ha implantado el ENS, no debería ser la que te audita. Planifica la independencia del auditor con antelación. La EC/OAT debe demostrar una eficaz gestión de riesgos respecto a la imparcialidad.
Prepara el tratamiento de hallazgosTen preparado cómo gestionarás no conformidades: responsable, plan de acción y plazo. Un hallazgo con plan creíble pesa mucho menos que uno sin respuesta. El PAC debe presentarse en el plazo máximo de un mes.
Autoevalúate antes (con la 808)Apóyate en la CCN-STIC 808 para autoverificar el cumplimiento medida a medida antes de la auditoría externa. La guía 808 es la base de lo que el auditor considera evidencia válida.
Auditoría
Para qué sirve en una auditoría
Es, literalmente, la guía de cómo te van a auditar: define qué te piden y en qué orden.
Aclara la composición e imparcialidad exigidas al equipo auditor. El Auditor Jefe debe tener formación en auditorías de sistemas de información y experiencia verificable de al menos 20 jornadas en los últimos 4 años.
Marca la diferencia entre un hallazgo técnico y una no conformidad de cumplimiento.
Establece cómo se documentan los hallazgos y los planes de acción (PAC).
Permite preparar la auditoría sin sorpresas si la lees antes.
Define los tiempos mínimos de auditoría en función de la categoría del sistema (con posibilidad de reducción hasta un 20% por factores como renovación de certificación).
Serie 800
Relación con otras guías de la serie
CCN-STIC 808808 — Es la guía de verificación que usas para autoevaluarte antes de la auditoría. Proporciona las evidencias que el auditor te pedirá.
CCN-STIC 804804 — La auditoría contrasta lo implantado según la guía de implantación.
CCN-STIC 809809 — El resultado de la auditoría habilita la certificación de conformidad.
CCN-STIC 803803 — La categoría del sistema determina la profundidad de la auditoría.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Auditoría bienal MEDIA/ALTA
ISO 27001: auditoría interna (9.2) y certificación
NIS2: auditorías y supervisión de la autoridad competente
Imparcialidad del auditor
ISO 19011 / ISO 17021
DORA: pruebas por terceros independientes
Tratamiento de no conformidades
ISO 27001: no conformidad y acción correctiva (10.2)
DORA: remediación de deficiencias
Auditoría combinada (ENS + ISO 27001)
ISO 19011: auditoría de sistemas de gestión
NIS2: enfoque integrado de cumplimiento
Plan de Acciones Correctivas (PAC)
ISO 27001: planes de acción (10.1)
DORA: planes de remediación
Sin humo
Errores típicos
Confundir la auditoría ENS con una auditoría ISO 27001: enfoque y evidencias difieren.
Que audite quien implantó el sistema (rompe la imparcialidad). La EC/OAT no puede certificar a una organización si en los dos años anteriores le prestó servicios de consultoría.
Llegar sin separar evidencia técnica de evidencia documental.
No tener preparado el tratamiento de hallazgos.
No conocer los tiempos mínimos de auditoría y planificar mal los recursos.
Presentar un PAC fuera de plazo (1 mes desde el informe de auditoría).
Checklist
Checklist práctico
Conoces las fases de auditoría de la 802.
Tu evidencia técnica y de cumplimiento están separadas.
El auditor es imparcial respecto a la implantación.
Sistemas MEDIA/ALTA tienen prevista la auditoría bienal.
Existe un proceso para tratar no conformidades (PAC).
Se ha hecho autoverificación previa con la 808.
Conoces los tiempos mínimos de auditoría para tu categoría.
Los miembros del equipo auditor han firmado cláusulas de confidencialidad y ausencia de conflicto de interés.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Jun 2010, actualizada Abr 2026).
Auditorías del Perfil de Cumplimiento Específico (PCE)
La guía incluye un anexo independiente que desarrolla el proceso de auditoría para sistemas que se acojan al Perfil de Cumplimiento Específico de Requisitos Fundamentales de Seguridad (RFS) recogido en la CCN-STIC 890.
Justificación: En virtud del principio de proporcionalidad, los PCE permiten una adaptación más eficiente al ENS, racionalizando recursos sin menoscabo de la protección.
Particularidades: La auditoría se realiza a través del Portal de Gobernanza del CCN, con roles diferenciados para la aportación de evidencias y la auditoría externa.
Agilidad: El proceso está semiautomatizado, lo que reduce el tiempo de auditoría. El tiempo mínimo no será inferior a media jornada.
Fases: Designación del equipo auditor, estudio de documentación (integrado en la auditoría material), plan de auditoría (generado automáticamente), realización de la auditoría material (sobre evidencias del Portal), informe de auditoría (generado automáticamente), PAC y decisión de certificación.
No hay reunión de cierre: Al no contemplarse interacción directa entre auditado y auditor, no se recoge el concepto de reunión de cierre.
Auditoría extraordinaria: Ante un dictamen desfavorable, la entidad dispone de seis meses para someterse a una auditoría extraordinaria sobre los hallazgos de no conformidad.
Tiempos
Tiempos de auditoría y factores de ajuste
La guía establece criterios claros para determinar los tiempos necesarios para realizar las auditorías de cumplimiento.
Tiempos mínimos: Se establecen en la guía CCN-CERT IC-01/19 en función de la categoría del sistema.
Factores de incremento/decremento: El número de jornadas puede ajustarse hasta un 20% atendiendo a factores como complejidad del sistema, número de sedes, externalizaciones, etc.
Auditoría combinada: Cuando se audita ENS + ISO 27001 simultáneamente, la duración puede ser hasta un 35% inferior a la suma de ambas por separado.
Muestreo de CPDs: Se audita la raíz cuadrada del número total de CPDs (redondeado al alza). En renovaciones, se aplica un factor reductor del 20%.
Auditorías en remoto: La guía contempla la posibilidad de auditorías remotas, con especial atención a la captura de evidencias y la autorización previa.
Hallazgos
Clasificación de hallazgos de auditoría
La guía clasifica los hallazgos de auditoría en tres categorías principales:
Desviaciones (No Conformidades):
No Conformidad Menor: Incumplimiento parcial de un artículo o medida. No afecta significativamente a la capacidad del sistema.
No Conformidad Mayor: Fallos o ausencias significativas en artículos esenciales del ENS (valoración, roles, Política de Seguridad, etc.). Afecta significativamente a la capacidad del sistema.
Las NC menores pueden agruparse si están referidas a una misma medida o grupo de medidas.
Recomendaciones:
Observación: Debilidad que, sin comprometer actualmente el sistema, podría derivar en una no conformidad.
Oportunidad de Mejora: Sugerencia subjetiva del auditor basada en mejores prácticas.
Puntos Fuertes: Aspectos que sobresalen por su eficacia y eficiencia. Su función es incentivar la mejora continua.
Dictámenes: FAVORABLE, FAVORABLE CON NO CONFORMIDADES, o DESFAVORABLE.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.