El punto de entrada. Tu hoja de ruta para cumplir el ENS.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷12 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre plan de adecuación dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 806 · Plan de adecuación
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 806 define cómo elaborar el Plan de Adecuación: el documento que recoge la situación actual frente al ENS, el análisis diferencial (gap) respecto a las medidas aplicables, las acciones pendientes, los responsables y el calendario. Es la guía con la que la mayoría de organizaciones empieza el proyecto.
Su valor no es solo técnico, es de gobierno: da visibilidad y compromiso de la dirección sobre qué falta, quién lo hace y para cuándo. Un Plan de Adecuación bien hecho convierte una obligación difusa («hay que cumplir el ENS») en una hoja de ruta con responsables y fechas, y sirve de referencia durante toda la adecuación y la posterior auditoría.
El Plan de Adecuación será elaborado por el Responsable de Seguridad. Si no está nombrado oficialmente, hará sus funciones, de forma temporal, quien la Dirección designe, anexándose al plan de adecuación su designación formal.
Mi lectura
Un Plan de Adecuación no es el lugar donde mandamos las brechas para que envejezcan.
La 806 me interesa porque convierte diferencias de cumplimiento en trabajo gestionable. Sobre el papel es sencillo: situación actual, brecha, acción, responsable, recursos y plazo. En la práctica, muchos planes terminan siendo cementerios de acciones abiertas con fechas movidas cada trimestre.
Una brecha no debería priorizarse solo por la medida ENS afectada. Miraría exposición, dependencia, categoría del sistema, facilidad de explotación, controles compensatorios y capacidad de recuperación. Dos desviaciones sobre requisitos similares pueden necesitar prioridades completamente distintas.
Para mí, el plan empieza a ser serio cuando cada retraso obliga a volver a mirar el riesgo residual. Si la fecha cambia pero la decisión de riesgo nunca se revisa, solo estamos administrando calendario.
CCN-STIC 806 · Brechas y priorización
Cómo una desviación se convierte en un plan defendible
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
El Plan de Adecuación es el lugar donde las diferencias entre estado actual y exigencia ENS pasan a convertirse en cartera de trabajo. Técnicamente necesita, al menos, trazabilidad con la medida, comprensión del riesgo asociado, priorización y una lógica de seguimiento. Sin esas cuatro piezas, el plan es solo una lista de tareas abiertas.
La dificultad real está en priorizar bien. Dos brechas similares pueden no merecer la misma urgencia si afectan a sistemas con distinta categoría, si cuentan con controles compensatorios o si una de ellas incrementa notablemente la exposición a un escenario de incidente. Por eso el plan no debería gestionarse como una simple tabla de project management.
Yo lo utilizaría como mecanismo de gobierno del riesgo residual: cada prórroga, dependencia o bloqueo debería obligar a revisar si la decisión sigue siendo aceptable.
Qué campos mínimos exigiría
Medida afectada, sistema, condición observada, riesgo, propietario, acción, dependencia, coste estimado, fecha objetivo, control compensatorio y criterio de cierre. Añadiría una fecha de reevaluación del riesgo para acciones aplazadas.
El estado “cerrado” debería requerir una verificación independiente o, al menos, evidencia objetiva de que la brecha dejó de existir.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Confundir “planificado” con “controlado”. La acción tiene dueño, fecha y comentario; eso da sensación de orden. Pero si no cambia el entendimiento del riesgo ni existe seguimiento de la eficacia cuando se cierre, el plan solo está administrando pendientes.
Otro error frecuente es no separar las acciones estructurales de los quick wins, lo que termina ocultando prioridades reales bajo un volumen excesivo de tareas.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Imagina una brecha sobre segmentación en un sistema medio y otra sobre gestión de cuentas privilegiadas en un sistema alto. Ambas pueden aparecer como “pendientes”, pero no deberían competir con el mismo criterio. La exposición, la criticidad del servicio, la facilidad de explotación y la dependencia de terceros cambian por completo la secuencia de actuación.
Yo pediría siempre una explicación de por qué esa acción tiene esa prioridad y qué exposición queda mientras no se cierre. Si nadie puede responder, el plan ha perdido su parte más valiosa.
Ejemplo técnico de infraestructura
Plan de adecuación con segmentación pendiente durante dieciocho meses
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
Una brecha de segmentación permanece abierta porque depende de renovar firewalls y rediseñar direccionamiento. La fecha se mueve cada trimestre, pero no cambia el tratamiento del riesgo.
Arquitectura técnica: red plana, VLAN, firewalls, reglas, servidores críticos y acceso de terceros. Exposición: movimiento lateral y dificultad para contener incidentes. Control compensatorio: reglas host-based, EDR, restricciones de administración y monitorización reforzada. Gestión correcta: dividir el proyecto por zonas, priorizar activos críticos y reevaluar el riesgo en cada prórroga.
Pregunta incómoda
¿Qué ha cambiado en el riesgo cada vez que prorrogamos esta acción?
NO RESPONDAS CON LA POLÍTICA
Hay acciones que llevan abiertas años con el mismo texto. Cuando pregunto por qué, aparecen dependencias presupuestarias, proyectos, legacy o proveedores. Todo eso puede ser cierto. Pero entonces necesito saber qué mitigación temporal existe y quién acepta seguir expuesto.
Mover la fecha no es un tratamiento de riesgo. Es una modificación administrativa del plan.
Ref.
Qué pediría
Qué necesito ver
GR-01
Brecha trazable
Medida, sistema, condición observada y riesgo relacionado.
GR-02
Priorización
Criterio que explica urgencia y secuencia de acciones.
GR-03
Propiedad
Responsable con capacidad para ejecutar o escalar.
GR-04
Prórrogas
Reevaluación de riesgo y medidas compensatorias.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Separaría acciones estructurales de correcciones rápidas. Haría visible qué brechas afectan a funciones o activos críticos y revisaría mensualmente solo las que necesitan decisión, no las cien filas del Excel.
Un buen plan de adecuación reduce incertidumbre. Uno malo solo documenta que sabemos dónde fallamos.
Contenido
Qué contiene la guía
La política de seguridad y el marco normativo de partida.
El alcance del sistema y la valoración (apoyada en la 803).
La declaración de aplicabilidad de medidas según la categoría.
El análisis diferencial: situación actual frente a la exigida.
El plan de mejora: acciones, responsables, prioridades y calendario.
La ficha de servicio (Anexo I) como herramienta para identificar y valorar servicios.
Orientaciones para la interconexión de sistemas y la adecuación incremental.
Conceptos
Conceptos clave que debes manejar
Análisis diferencial (gap)
Comparación entre lo que el ENS exige y lo que la organización tiene implantado. Es el corazón del Plan de Adecuación y determina las acciones necesarias.
Declaración de aplicabilidad
Relación de medidas que aplican al sistema según su categoría. Puede ser provisional (antes del análisis de riesgos) o definitiva (después).
Plan de mejora de la seguridad
Conjunto de acciones priorizadas para cerrar las brechas detectadas en el análisis diferencial. Incluye responsable, plazo y estimación de coste.
Hoja de ruta
Calendario con hitos, responsables y plazos de implantación. Las fechas de inicio pueden limitarse al año; la fecha de terminación se calcula en función del tiempo estimado.
Alcance
A quién aplica y cuándo entra en juego
Es el arranque formal de cualquier adecuación. Se elabora una vez definidos alcance, roles (801) y valoración (803), y se mantiene vivo hasta cerrar todas las brechas. Es el documento que la dirección aprueba para comprometer recursos. También aplica a sistemas que manejan información de terceros o prestan servicios a terceros, requiriendo conocer la valoración realizada por los responsables del otro sistema.
Implantación
Cómo lo implanta una empresa, paso a paso
Define alcance y valoraDelimita qué sistemas entran y valóralos con la 803. Sin alcance y categoría no hay plan posible. Usa la Ficha de Servicio del Anexo I para inventariar servicios e información.
Determina las medidas aplicablesElabora la declaración de aplicabilidad: qué medidas te tocan por categoría. Puede ser provisional antes del análisis de riesgos.
Haz el análisis diferencialCompara, medida a medida, lo exigido con lo que ya tienes. El gap resultante es el corazón del plan. También se completa con medidas derivadas del análisis de riesgos.
Prioriza y asignaOrdena las brechas por riesgo y esfuerzo, y asigna responsable y fecha a cada acción. Un gap sin responsable ni plazo no se cierra. Incluye estimación de coste.
Aprueba y haz seguimientoLleva el plan a la dirección para su aprobación y revísalo periódicamente conforme cierras acciones. El Plan de mejora de la seguridad debe ser aprobado formalmente por el Comité de Seguridad.
Auditoría
Para qué sirve en una auditoría
El auditor usa el Plan de Adecuación como referencia de partida del expediente.
Comprueba que las brechas detectadas se han cerrado o tienen plan vigente.
Verifica la aprobación por la dirección y el seguimiento.
Un plan sin seguimiento ni aprobación pierde su valor probatorio.
La coherencia entre gap, acciones y estado real es objeto de revisión.
El auditor comprobará que el análisis de riesgos se ha realizado con la metodología adecuada a la categoría (MAGERIT, PILAR, etc.).
Serie 800
Relación con otras guías de la serie
CCN-STIC 803803 — La valoración alimenta el alcance y la declaración de aplicabilidad.
CCN-STIC 804804 — Las acciones del plan se ejecutan según la guía de implantación.
CCN-STIC 809809 — Cerrado el plan y superada la auditoría, se declara/certifica la conformidad.
CCN-STIC 805805 — La política de seguridad es un entregable temprano del plan.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Plan de Adecuación / gap
ISO 27001: plan de tratamiento de riesgos (6.1.3)
NIS2: medidas y plazos de implantación
Declaración de aplicabilidad
ISO 27001: SoA (Statement of Applicability)
DORA: marco de gestión de riesgo TIC
Seguimiento del plan
ISO 27001: seguimiento y mejora (9, 10)
DORA: revisión periódica del marco
Análisis diferencial (gap)
ISO 27001: análisis de brechas
NIS2: evaluación de cumplimiento
Plan de mejora con responsables y plazos
ISO 27001: planes de acción
DORA: planes de remediación
Sin humo
Errores típicos
Confundir el Plan de Adecuación con la auditoría: es el inicio, no el final.
Un gap sin responsables ni fechas.
No actualizar el plan a medida que cierras brechas.
No conseguir la aprobación de la dirección.
No realizar el análisis de riesgos como parte del plan.
No documentar la valoración de servicios e información.
Checklist
Checklist práctico
Alcance definido y sistemas valorados.
Declaración de aplicabilidad elaborada (provisional y definitiva).
Análisis diferencial completo, medida a medida.
Brechas priorizadas con responsable y plazo.
Plan aprobado por la dirección.
Seguimiento periódico en marcha.
Análisis de riesgos realizado con metodología adecuada a la categoría.
Plan de mejora con estimación de costes.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Ago 2010, actualizada Jun 2020).
El Plan de Adecuación está compuesto por las siguientes actuaciones:
1. Política de Seguridad y Normativa Interna: Documento de alto nivel que define el compromiso de la entidad con la seguridad. Si no se dispone de política, se debe planificar su desarrollo en el plan de mejora.
2. Identificación de servicios y categorización: Identificar los servicios prestados y la información tratada. La Ficha de Servicio (Anexo I) permite disponer ordenadamente de los datos esenciales de cada servicio.
3. Análisis de riesgos: Se desarrolla conforme al art. 13 y Anexo II del ENS. Se recomienda utilizar la metodología MAGERIT y la herramienta PILAR.
4. Declaración de Aplicabilidad definitiva: Relación de medidas del ENS que son de aplicación, aprobada formalmente por el Responsable de Seguridad.
5. Plan de mejora de la seguridad: Informe de deficiencias (gap analysis) y plan de acciones para subsanarlas.
Ficha de Servicio
Ficha de Servicio (Anexo I)
La guía incluye una Ficha de Servicio como herramienta para inventariar y valorar servicios e información. Contiene:
Identificación del servicio: Nombre, código y descripción.
Datos (información) que trata: Distinción entre datos personales (con indicación de categorías especiales) y no personales, origen y destinatarios.
Dependencias entre servicios: Identifica si el servicio depende de otros o si otros dependen de él.
Responsables: Responsable funcional del servicio.
Valoración de niveles de seguridad: C, I, T, A, D con sus niveles (BAJO/MEDIO/ALTO). Para Disponibilidad, se incluye el RTO (tiempo máximo de interrupción).
La Ficha de Servicio permite detectar la conveniencia o no de segregar varios servicios en sistemas de información diferenciados.
Interconexión
Interconexión de sistemas y adecuación incremental
La guía aborda específicamente cómo tratar la interconexión de sistemas:
Cuando un sistema maneja información de terceros: La valoración de la información y los servicios será la determinada por dicho tercero. Si se carece de valoración, el Responsable de Seguridad establece valores a su mejor criterio como "compromiso de prestación de servicios".
Cuando un sistema utiliza sistemas de terceros: La valoración propia se impone al tercero, que la tendrá en cuenta en su propio plan. Si el prestatario está sujeto al ENS, incorpora estos requisitos a su propio plan de adecuación.
Adecuación incremental: Si los responsables del otro sistema elevan las exigencias en materia de seguridad, se recurre a un "plan de adecuación incremental" que contemple las actuaciones para subsanar las insuficiencias del nuevo escenario.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.