Aquí se decide todo: lo que valores marca las medidas que te tocan.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷14 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre valoración del sistema dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 803 · Valoración del sistema
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 803 explica cómo valorar la información y los servicios en las cinco dimensiones de seguridad (Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad) y cómo, de esa valoración, se deriva la categoría del sistema: BÁSICA, MEDIA o ALTA. Su versión de 2025 simplifica criterios e incorpora de forma explícita los conceptos de servicios finalistas e instrumentales.
Es el paso más determinante de toda la adecuación, porque la categoría resultante decide qué medidas del Anexo del ENS te aplican. Valorar de más infla el proyecto con medidas que no necesitas; valorar de menos te deja descubierto y, casi con seguridad, suspendes la auditoría. Una valoración bien justificada es la columna vertebral de un expediente defendible.
La categoría del sistema se calcula en función del nivel de seguridad más alto de las dimensiones valoradas. Un sistema será de categoría ALTA si alguna dimensión alcanza el nivel ALTO; MEDIA si alguna alcanza MEDIO y ninguna alcanza ALTO; y BÁSICA si alguna alcanza BAJO y ninguna alcanza nivel superior.
Mi lectura
Aquí una valoración mal hecha te persigue durante todo el ENS.
Para mí, la 803 es uno de los puntos donde más daño puede hacer una decisión tomada «para que salga más sencillo». Si infravaloras una dimensión, la categoría baja y con ella puede cambiar el conjunto de medidas que terminarás implantando. El error inicial se convierte en una arquitectura de seguridad aparentemente coherente construida sobre una premisa falsa.
La valoración no debería hacerla el técnico encerrado con una hoja Excel. El técnico conoce dependencias y capacidades; negocio conoce impacto, periodos críticos y consecuencias. Cuando uno de los dos falta, aparecen valoraciones absurdas: servicios «no críticos» que bloquean facturación, autenticidad marcada como irrelevante en trámites o disponibilidades definidas por el SLA del proveedor en vez de por la tolerancia del servicio.
Yo no preguntaría “qué categoría queremos”. Preguntaría “qué ocurre realmente si esta dimensión falla”. Y obligaría a escribir la respuesta antes de elegir BAJO, MEDIO o ALTO.
CCN-STIC 803 · Categoría del sistema
De la consecuencia de negocio a la categoría ENS
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
La 803 es crítica porque condiciona aguas abajo casi todo el expediente ENS. La valoración traduce consecuencias de negocio, servicio e información a niveles por dimensión de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Esa decisión termina influyendo en categoría, exigencia de medidas, profundidad de evidencias y planes de adecuación.
Desde el punto de vista técnico, la valoración no debe basarse en cómo está construido hoy el sistema, sino en qué consecuencias tendría un fallo sobre el servicio o la información. Si el equipo técnico tarda dos días en recuperar un componente, eso habla de capacidad actual. No define automáticamente el impacto aceptable para negocio.
Yo exigiría siempre una justificación narrativa por dimensión. Sin narrativa, el nivel parece objetivo porque hay una tabla; con narrativa, se hace visible si la organización está valorando impacto o intentando acomodar la realidad existente.
Cómo conectaría impacto y arquitectura
Mapearía servicio, procesos, información, identidades, integraciones y componentes tecnológicos. La valoración debería considerar dependencias críticas, puntos únicos de fallo, ventanas de negocio, obligaciones y efectos acumulativos.
Una caída de una hora puede ser tolerable a las 03:00 y crítica durante un cierre financiero. La valoración técnica necesita contexto temporal y no solo una cifra estática.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Asignar niveles por comparación informal con otros sistemas o por miedo a que una categoría más alta “encarezca” el proyecto. Ese atajo genera valoraciones conservadoras en el peor sentido: reducen obligaciones aparentes, pero también reducen honestidad sobre la exposición real.
Otro error habitual es no involucrar a negocio y terminar con valoraciones técnicamente ordenadas pero funcionalmente absurdas.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Piensa en un portal que no ingresa dinero directamente, pero da soporte a la tramitación o a la prestación de un servicio esencial. Si cae durante 24 horas, quizá Infraestructura lo ve como un incidente recuperable; negocio, en cambio, puede enfrentar incumplimientos, colas acumuladas, daño reputacional o afectación a terceros. La valoración correcta necesita juntar ambos planos.
Yo sentaría a servicio, negocio, arquitectura y seguridad y construiría un escenario por dimensión. Después validaría si la categoría resultante sigue siendo defendible delante de quien realmente sufre el impacto.
Ejemplo técnico de infraestructura
Portal crítico con dependencias ocultas de AD, DNS y base de datos
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
Un portal se clasifica inicialmente con disponibilidad MEDIA porque cuenta con dos servidores web. Al revisar arquitectura aparece una base de datos única, autenticación dependiente de Active Directory, resolución DNS interna y un balanceador sin configuración redundante.
Arquitectura técnica: WAF, balanceador, servidores web, SQL, AD, DNS y almacenamiento compartido. Fallo de valoración: se valoró el frontal, no el servicio completo. Impacto real: una dependencia única puede hacer inútil la redundancia aparente. Qué haría: mapa de dependencias, escenarios por dimensión y contraste entre RTO requerido y capacidad de recuperación real.
Pregunta incómoda
¿El RTO ha salido del negocio o del tiempo que tarda actualmente IT en recuperar?
NO RESPONDAS CON LA POLÍTICA
Esta confusión aparece muchísimo. El objetivo de recuperación expresa una necesidad; la capacidad actual es otra cosa. Si el negocio necesita cuatro horas y la infraestructura tarda dos días, no hay que subir el RTO a dos días para que la tabla cuadre. Hay una brecha de capacidad.
Lo mismo ocurre con el resto de dimensiones. La valoración debe reflejar impacto, no comodidad de implantación.
Ref.
Qué pediría
Qué necesito ver
GR-01
Justificación por dimensión
Consecuencia concreta que sostiene cada nivel asignado.
GR-02
Participación de negocio
Validación por responsables de información y servicio.
GR-03
Dependencias
Servicios, información y componentes que condicionan la valoración.
GR-04
Revisión
Cambios del servicio que han provocado reevaluar la categoría.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Tomaría el servicio más importante y haría la valoración en una sesión conjunta con negocio, arquitectura y seguridad. Pediría escenarios concretos: indisponibilidad, alteración, suplantación, pérdida de trazabilidad y exposición. Después contrastaría el resultado con incidentes y compromisos reales.
Una categoría defendible se explica con historias de impacto. Una categoría débil se explica con “siempre lo hemos puesto así”.
Contenido
Qué contiene la guía
El método para valorar información y servicios en las cinco dimensiones.
La escala de niveles (BAJO, MEDIO, ALTO) por dimensión y cómo se justifica cada uno.
La regla de derivación de la categoría del sistema a partir de la dimensión más alta.
La distinción entre servicios finalistas e instrumentales y su efecto en la valoración.
Criterios y ejemplos para homogeneizar valoraciones y evitar arbitrariedades.
Criterios específicos para la valoración de datos personales (RGPD y LOPDGDD).
La determinación de subsistemas cuando diferentes activos tienen requisitos distintos.
Conceptos
Conceptos clave que debes manejar
Servicio finalista
El que se presta directamente al ciudadano o usuario final. Forma parte de las competencias legales o estatutarias de la entidad. Suele marcar la disponibilidad exigida.
Servicio instrumental
El de soporte interno que habilita a los finalistas. Sirve de apoyo a la ejecución de los servicios finalistas pero, en sentido estricto, no constituyen competencias legales de la entidad. Se valora por su impacto en estos.
Nivel de dimensión
BAJO, MEDIO o ALTO; refleja el impacto de un fallo en esa propiedad concreta. Se valora considerando la repercusión en la capacidad de la organización para lograr sus objetivos, la protección de sus activos y el cumplimiento del ordenamiento jurídico.
Derivación de categoría
La categoría del sistema es la de la dimensión valorada más alta. Se representa como CATEGORÍA (BÁSICA-MEDIA-ALTA): [C=(N/A-B-M-A), I=(N/A-B-M-A), D=(N/A-B-M-A), A=(N/A-B-M-A), T=(N/A-B-M-A)].
RTO (Recovery Time Objective)
Tiempo máximo que el servicio puede permanecer interrumpido. Un RTO muy corto (minutos) supone alta presión; un RTO largo (días) da margen de maniobra. La guía establece: BAJO (1-5 días), MEDIO (4-24 horas), ALTO (<4 horas).
Alcance
A quién aplica y cuándo entra en juego
Es uno de los primeros pasos del proyecto, justo después de definir el alcance y los roles (801). Todo lo que viene después (implantación, verificación, auditoría) depende de que esta valoración esté bien hecha y bien justificada. La guía es de aplicación a todas las entidades del sector público y a los prestadores privados que les provean servicios o soluciones.
Implantación
Cómo lo implanta una empresa, paso a paso
Inventaría información y serviciosLista la información que tratas y los servicios que prestas, distinguiendo finalistas de instrumentales. Sin inventario no hay valoración fiable. La información se valora en C, I, T, A; los servicios en D.
Valora cada dimensión con criterioPara cada elemento, asigna nivel (BAJO/MEDIO/ALTO) en las cinco dimensiones y justifica el porqué con el impacto real de un fallo. Usa los criterios comunes de la guía (capacidad de la organización, activos, cumplimiento normativo).
No olvides la DisponibilidadEs la dimensión que más veces eleva la categoría y la que más se infravalora. Piensa en plazos máximos de interrupción tolerables (RTO). Considera periodos críticos (ciertos días del mes o del año con mayor exigencia).
Deriva y documenta la categoríaCalcula la categoría del sistema (la dimensión más alta) y deja por escrito cómo has llegado a ella. La categoría se representa explicitando el nivel en cada dimensión: CATEGORÍA (BÁSICA-MEDIA-ALTA): [C=(N/A-B-M-A), I=(N/A-B-M-A), D=(N/A-B-M-A), A=(N/A-B-M-A), T=(N/A-B-M-A)].
Revisa la coherenciaContrasta que la valoración encaja con la realidad del servicio. Una categoría desproporcionada (alta o baja) es un hallazgo seguro. La valoración debe ser aprobada formalmente por los responsables de la información y del servicio.
Auditoría
Para qué sirve en una auditoría
El auditor revisa la coherencia de la valoración con la realidad del servicio.
Comprueba que la categoría resultante es defendible y está justificada.
Verifica que negocio (no el técnico) ha participado en la valoración.
Una valoración sin justificación documentada es un hallazgo casi automático.
La distinción finalistas/instrumentales debe estar aplicada con criterio.
El auditor comprobará que la valoración de datos personales se ha realizado conforme al RGPD y la LOPDGDD.
Serie 800
Relación con otras guías de la serie
CCN-STIC 801801 — Los responsables de Información y Servicio son quienes valoran.
CCN-STIC 804804 — La categoría obtenida aquí define el conjunto de medidas a implantar.
CCN-STIC 806806 — La valoración alimenta el Plan de Adecuación y su análisis diferencial.
CCN-STIC 808808 — La verificación comprueba que las medidas implantadas corresponden a la categoría derivada.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Valoración 5 dimensiones → categoría
ISO 27001: evaluación de riesgos (6.1.2) y clasificación (A.5.12)
DORA: clasificación de funciones críticas o importantes
Servicios finalistas/instrumentales
ISO 27001: contexto y alcance (4.3)
NIS2: identificación de servicios esenciales
Disponibilidad y plazos (RTO)
ISO 22301: análisis de impacto (BIA)
DORA: tolerancia al impacto de interrupciones
Datos personales (RGPD)
ISO 27001: A.5.34 (privacidad y protección de datos)
DORA: protección de datos personales
Periodos críticos
ISO 22301: análisis de impacto
DORA: resiliencia operativa
Sin humo
Errores típicos
Valorar «por intuición», sin justificar el nivel de cada dimensión.
Infravalorar la Disponibilidad y quedarse corto de categoría.
Tratar servicios instrumentales como finalistas, o al revés.
Dejar la valoración solo en manos técnicas, sin negocio.
No considerar los periodos críticos (días concretos con mayor exigencia).
No documentar la valoración ni obtener la aprobación formal de los responsables.
Checklist
Checklist práctico
Información y servicios inventariados y clasificados (finalistas/instrumentales).
Cada elemento valorado en las 5 dimensiones, con justificación.
Distinción finalistas/instrumentales aplicada.
Categoría del sistema derivada y documentada.
Negocio ha participado en la valoración.
La valoración es coherente con la realidad del servicio.
Los datos personales han sido valorados conforme al RGPD y LOPDGDD.
La valoración ha sido aprobada formalmente por los responsables de información y servicio.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada May 2010, actualizada Jun 2025).
La guía proporciona criterios específicos para valorar cada una de las cinco dimensiones de seguridad:
Confidencialidad (C): Se valora según las consecuencias de la revelación de la información a personas no autorizadas. Se aplican los criterios generales (capacidad de la organización, activos, cumplimiento normativo).
Integridad (I): Se valora según las consecuencias de la modificación no autorizada de la información. Aplica los mismos criterios generales.
Trazabilidad (T): Se valora según las consecuencias de no poder comprobar a posteriori quién ha accedido o modificado la información.
Autenticidad (A): Se valora según las consecuencias de que la información no sea auténtica (fuente no verificable).
Disponibilidad (D): Se valora según las consecuencias de que una persona o sistema autorizado no pueda usar el servicio cuando lo necesita. Se utiliza el RTO (Recovery Time Objective) como criterio orientativo: BAJO (1-5 días), MEDIO (4-24 horas), ALTO (<4 horas).
Los requisitos de confidencialidad, integridad, trazabilidad y autenticidad sobre un servicio derivan de la información que maneja. Incidentes en la autenticación o autorización pueden implicar incidentes de confidencialidad.
Subsistemas
Determinación de subsistemas
Puede darse la circunstancia de que diferentes activos del mismo sistema estén sometidos a requisitos diferentes. Esto lleva a fragmentar un sistema en varios subsistemas.
Razón: La principal razón para no tener un criterio homogéneo suele ser económica, cuando algunas medidas de protección son de elevado coste y hay que aplicarlas en el menor número de activos posible (ej. equipos de cifrado, equipamiento alternativo).
Categoría de cada subsistema: Se determina atendiendo a lo establecido en el Anexo I del ENS.
Aplicabilidad de medidas: La aplicabilidad de las medidas del Anexo II se determina para cada subsistema.
Categoría del sistema: Un sistema cumple con el ENS cuando todos sus subsistemas cumplen. La categoría del sistema será la mayor categoría de los subsistemas que lo integran.
Terceros
Sistemas de información de terceros
Cuando un sistema utiliza otros de terceros para gestionar información o prestar servicios, la valoración propia se exige como mínimo aceptable al tercero.
Extensión de la categoría: La categorización del sistema es extensible a los sistemas de terceros que se utilicen. Se exigirá la conformidad del ENS en la categoría correspondiente.
Forma de adquisición: Esta exigencia es independiente de la forma por la que se adquieran los sistemas de terceros (compra, cesión, etc.).
Datos personales: Cuando se traten datos personales por un tercero (encargado del tratamiento), el sistema de información, de acuerdo con la Disposición Adicional Primera de la LOPDGDD, deberá contar con las medidas del Anexo II adecuadas a la valoración realizada y al análisis de riesgos.
Infraestructuras Críticas: Cuando un sistema contribuya a la prestación de servicios esenciales de terceros, deberán añadirse medidas adicionales requeridas por la normativa de infraestructuras críticas.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.