Cómo se demuestra que cumples. La guía de la evidencia.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷12 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre verificación dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 808 · Verificación
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 808 define cómo verificar el cumplimiento de cada medida del ENS y qué evidencias se consideran válidas. Es la guía que convierte el «creo que cumplo» en «puedo demostrar que cumplo», medida a medida. Su anexo incluye una tabla de verificación que facilita el trabajo de forma sistemática, y su versión de 2026 la armoniza con el RD 311/2022.
Es el puente entre la implantación (804) y la auditoría (802). Permite hacer una autoverificación previa, llegar a la auditoría externa sin sorpresas y detectar a tiempo las medidas que están «implantadas» pero sin evidencia que lo respalde, que son la causa más frecuente de no conformidades.
La guía define niveles de madurez (L0 a L5) para cada medida. El nivel mínimo exigido depende de la categoría: BÁSICA → L2, MEDIA → L3, ALTA → L4. La tabla de verificación del anexo permite evaluar sistemáticamente cada requisito "BASE" y de "REFUERZO".
Mi lectura
Verificar no es preguntar si la medida existe. Es comprobar si la afirmación resiste una muestra.
La verificación me interesa como disciplina previa a cualquier auditoría formal. Muchas organizaciones esperan a la auditoría para descubrir que sus evidencias están dispersas, que una medida tiene interpretaciones distintas o que el responsable no sabe qué debería conservar.
La 808 puede utilizarse para construir una capacidad interna de revisión. Criterio, alcance, comprobación y resultado. La organización no necesita simular una auditoría permanente, pero sí debería ser capaz de revisar periódicamente sus controles importantes sin depender de la memoria de una persona.
Una medida que solo puede demostrar quien la implantó es una medida con riesgo de evidencia.
CCN-STIC 808 · Revisión interna
Cómo comprobar un control sin esperar a la auditoría formal
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
La verificación interna es una capacidad de control sobre el propio sistema. Técnicamente requiere criterios de comprobación, una muestra razonable, un formato de resultado y una disciplina de seguimiento. No pretende replicar una auditoría completa; pretende detectar desviaciones a tiempo, antes de que la organización dependa solo del momento formal de evaluación o de la aparición de un incidente.
Su fuerza está en la recurrencia y en la repetibilidad. Si la organización puede revisar mensualmente un subconjunto de controles críticos con el mismo criterio y comparar resultados, gana visibilidad sobre degradaciones reales. Esto aplica especialmente a cuentas privilegiadas, copias, logs, vulnerabilidades, acceso remoto o integridad de configuraciones base.
Yo vincularía esta guía a un pequeño programa de revisiones internas muy pragmático: poco volumen, buena selección y salida clara.
Diseño de una verificación repetible
Definiría objetivo, población, muestra, frecuencia, evidencia esperada, criterio de aceptación y salida. Mantendría el mismo método durante varias iteraciones para poder comparar tendencias.
También mediría cuánto tarda la organización en corregir y verificar el cierre. Una verificación sin seguimiento solo cambia el lugar donde se acumulan las observaciones.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Intentar verificar demasiadas cosas a la vez. Cuando la revisión interna se convierte en una macroauditoría, la organización la abandona o la convierte en burocracia. El objetivo no es cubrirlo todo siempre; es crear capacidad de detección temprana y evidencia repetible.
También es frecuente que las verificaciones no tengan cierre real y terminen generando observaciones que nadie vuelve a comprobar. Eso vacía de sentido el ejercicio.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Supongamos una verificación mensual de cuentas privilegiadas. No necesitas revisar todas las credenciales de la organización. Puedes seleccionar una muestra sobre cuentas nuevas, cuentas sin uso, cuentas con privilegios elevados y accesos de terceros. Con ese patrón ya detectas errores de proceso, lagunas de revisión y controles compensatorios ausentes.
La clave es que la muestra sea explicable y que el resultado termine en acción. Si en tres meses repites el mismo patrón y observas mejora o persistencia, la verificación ya está generando conocimiento útil.
Ejemplo técnico de infraestructura
Verificación mensual de cuentas privilegiadas
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
Cada mes se seleccionan cuentas nuevas, cuentas sin uso, cuentas de terceros y cuentas con privilegios elevados. La revisión cruza directorio, PAM, HR y tickets de alta o baja.
Arquitectura técnica: Active Directory, PAM, HR, ITSM y logs de autenticación. Muestra: no solo cuentas elegidas por el administrador; también selección independiente. Criterio: propietario, necesidad, vigencia, privilegio mínimo y uso reciente. Salida: revocación, ajuste de privilegios o excepción aprobada, seguida de verificación de cierre.
Pregunta incómoda
¿Podría una persona distinta al administrador demostrar este control mañana?
NO RESPONDAS CON LA POLÍTICA
No tiene que operar la tecnología, pero sí localizar registros, entender el propietario y seguir la trazabilidad. Si todo depende de que «Juan nos enseñe la consola», la organización no ha institucionalizado el control.
Buscaría evidencias repetibles y criterios de revisión estables. Eso reduce el estrés de auditoría y, sobre todo, detecta degradación antes.
Ref.
Qué pediría
Qué necesito ver
GR-01
Plan de verificación
Alcance, frecuencia y controles priorizados.
GR-02
Criterios
Qué condición se considera conforme o desviada.
GR-03
Muestras
Población y selección documentada.
GR-04
Seguimiento
Hallazgos, acciones y comprobación de cierre.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Crearía revisiones ligeras sobre controles de alto impacto: cuentas privilegiadas, copias, registros, vulnerabilidades y cambios. Muestras pequeñas, frecuentes y con salida clara. No una auditoría interna eterna.
Prefiero descubrir una desviación en una verificación de diez muestras que en la auditoría anual con veinte personas mirando.
Contenido
Qué contiene la guía
El método de verificación medida a medida del cumplimiento del ENS.
Los tipos de evidencia válida para cada medida (documental, técnica, entrevistas).
La tabla de verificación (anexo en Excel) como herramienta de trabajo.
Criterios para autoevaluación previa a la auditoría.
La conexión con la auditoría (802) y la declaración/certificación (809).
Los colores de codificación para identificar requisitos según categoría: BASE (exigible a todas), REFUERZO MEDIA/ALTA, REFUERZO ALTA, y requisitos ESENCIALES (en gris).
Conceptos
Conceptos clave que debes manejar
Evidencia válida
Prueba documental o técnica que demuestra que una medida está realmente implantada. Puede ser documentación aprobada, registros de actividad, capturas de configuración, entrevistas, inspecciones oculares, etc.
Autoverificación
Comprobación interna del cumplimiento antes de la auditoría externa. Es obligatoria para sistemas BÁSICA (autoevaluación) y recomendable para MEDIA/ALTA.
Tabla de verificación
Anexo en Excel que sistematiza la comprobación medida a medida, con codificación de colores para requisitos BASE, REFUERZO y ESENCIALES.
Trazabilidad
Capacidad de vincular cada medida con su evidencia concreta. Una medida sin evidencia no está implantada a efectos de auditoría.
Grado de implementación
G0 (no implementada), G1 (en proceso), G2 (implementada con documentación y métricas). También se expresa en niveles de madurez L0-L5.
Alcance
A quién aplica y cuándo entra en juego
Aplica de forma continua y, sobre todo, antes de la auditoría y de la declaración o certificación de conformidad. Es la herramienta natural para preparar cualquiera de los dos hitos sin sobresaltos. Aplica a sistemas de cualquier categoría: BÁSICA (autoevaluación), MEDIA y ALTA (auditoría formal). La guía es de aplicación a cualquier entidad que deba cumplir con el ENS.
Implantación
Cómo lo implanta una empresa, paso a paso
Define la evidencia de cada medidaPara cada medida aplicable, decide qué prueba demuestra su cumplimiento. Hazlo antes de generar la evidencia, no después. La guía sugiere evidencias para cada medida.
Recopila de forma trazableOrganiza la evidencia de manera que cada medida apunte a su prueba. La tabla del anexo es ideal para esto. Asegúrate de que la evidencia está aprobada formalmente (firma electrónica, acta, etc.).
AutoverificaRecorre la tabla y marca el estado real de cada medida. Sé honesto: aquí es donde quieres encontrar las brechas, no en la auditoría. Usa la codificación de colores para identificar requisitos.
Corrige lo que faltePara las medidas sin evidencia suficiente, genera la prueba o ajusta la implantación. Las medidas "ESENCIALES" (en gris) son críticas; si fallan, la medida se considera no implementada.
Repite antes de cada hitoVuelve a verificar antes de la auditoría y antes de renovar la conformidad. La autoevaluación BÁSICA debe hacerse al menos cada dos años.
Auditoría
Para qué sirve en una auditoría
Es, literalmente, la guía de lo que el auditor considera evidencia válida.
Permite una autoverificación previa y llegar sin sorpresas a la auditoría.
Medidas «implantadas» sin evidencia son no conformidades.
La tabla de verificación facilita ordenar y presentar la evidencia.
La trazabilidad medida-evidencia es lo que más agiliza la auditoría.
El auditor verificará el nivel de madurez alcanzado (L2, L3 o L4 según categoría).
Serie 800
Relación con otras guías de la serie
CCN-STIC 804804 — Verifica que lo implantado según la guía de implantación tiene evidencia.
CCN-STIC 802802 — Es la base de la autoevaluación previa a la auditoría.
CCN-STIC 809809 — La verificación sostiene la declaración/certificación de conformidad.
CCN-STIC 807807 — La verificación de medidas criptográficas se basa en la 807.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Verificación por medida
ISO 27001: seguimiento, medición y evaluación (9.1)
NIS2: evaluación de la eficacia de las medidas
Evidencia trazable
ISO 27001: información documentada (7.5)
DORA: registros y reporting
Autoverificación
ISO 27001: auditoría interna (9.2)
DORA: pruebas internas
Niveles de madurez (L0-L5)
ISO 27001: madurez del SGSI
NIS2: madurez de ciberseguridad
Tabla de verificación
ISO 27001: checklist de auditoría
DORA: listas de control de cumplimiento
Sin humo
Errores típicos
Dar una medida por cumplida sin evidencia que lo respalde.
Generar la evidencia el día antes de la auditoría.
No verificar internamente y descubrir las brechas en la auditoría externa.
No usar la tabla del anexo y perder la trazabilidad.
Confundir "medida implementada" (G2) con "medida en proceso" (G1).
No alcanzar el nivel de madurez exigido para la categoría.
Checklist
Checklist práctico
Cada medida aplicable tiene su evidencia definida.
La evidencia está recopilada y es trazable.
Se ha usado la tabla de verificación del anexo.
Se ha hecho autoverificación previa.
Las brechas detectadas se han corregido.
Las medidas "ESENCIALES" (en gris) están cumplidas.
Nivel de madurez mínimo alcanzado (L2/L3/L4 según categoría).
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Oct 2010, actualizada Abr 2026).
La guía utiliza dos sistemas complementarios para evaluar la implantación de medidas:
Niveles de madurez (L0-L5):
L0 — Inexistente: No existe proceso que soporte el servicio.
L1 — Inicial/Ad hoc: El proceso existe pero no se gestiona. Éxito depende del esfuerzo personal.
L2 — Reproducible: Existen prácticas institucionalizadas y métricas básicas.
L3 — Proceso definido: Normativa y procedimientos detallados y documentados.
L4 — Gestionado y medible: Métricas de efectividad y eficiencia para la toma de decisiones.
L5 — Optimizado: Mejora continua de los procesos.
Grados de implementación (G0-G2):
G0 — No implementada: Medida pendiente de implementación.
G1 — En proceso: Implementación iniciada (piloto/prototipo) o implementada en parte material pero sin documentación.
G2 — Implementada: Definida documentalmente, con procesos y métricas. En ciclo de mejora continua.
Nivel mínimo exigido: BÁSICA → L2, MEDIA → L3, ALTA → L4.
Verificación
Tipos de verificación y codificación de colores
La guía utiliza un sistema de codificación de colores para identificar el tipo de requisito en la tabla de verificación:
Requisito "BASE" (sin color): Exigible a todas las categorías a las que aplique la medida.
Requisito "REFUERZO" MEDIA/ALTA (amarillo): Exigible a categorías MEDIA y ALTA.
Requisito "REFUERZO" ALTA (naranja): Exigible únicamente a categoría ALTA.
Requisito de "REFUERZO a considerar" (verde): Potestativo, para considerar según análisis de riesgos.
Requisito "ESENCIAL" (fondo gris + icono): Si no se cumple, la medida se considera "no implementada" en su conjunto.
Las verificaciones se agrupan en: verificación de artículos del ENS (categorización, declaración de aplicabilidad, INES, conformidad) y verificación de medidas de seguridad (marco organizativo, marco operacional y medidas de protección).
Evidencias
Evidencias y aprobación formal
La guía proporciona directrices sobre qué constituye una evidencia válida y cómo debe ser la aprobación formal de los documentos:
Propuesta de evidencias: Para cada medida, la guía sugiere posibles evidencias que el auditor podría recabar. Ejemplos: políticas aprobadas, actas de comités, registros de actividad, configuraciones de seguridad, informes de auditorías, etc.
Aprobación formal fehaciente:
Documento firmado electrónicamente por el/los responsable(s) pertinentes.
Documento impreso y firmado, conservando copia original.
Documento aprobado en reunión formal del órgano competente, reflejado en acta.
Evidencias en auditoría: El auditor puede obtener evidencias mediante entrevistas al personal, observaciones directas (ubicaciones, dispositivos, aplicaciones), y revisión de información documentada.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.