CCN-STIC 809 Declaración, certificación y aprobación provisional de conformidad con el ENS y distintivos de cumplimiento
El sello final: declarar o certificar tu conformidad con el ENS.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷13 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre conformidad dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 809 · Conformidad
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 809 explica cómo se declara la conformidad con el ENS (categoría BÁSICA), cómo se certifica (categorías MEDIA y ALTA) y cómo funciona la aprobación provisional, junto con los distintivos de cumplimiento. Define qué entidad interviene, qué publicar y cómo se mantiene la conformidad en el tiempo. Sus anexos A, B y C aportan los modelos concretos.
Es el cierre formal del ciclo de adecuación. La diferencia clave que casi nadie tiene clara: BÁSICA se autodeclara mediante declaración responsable, mientras que MEDIA y ALTA exigen certificación por una entidad acreditada (EC) o reconocida (OAT), con vigencia y renovación. Obtener el distintivo no es el final: hay que mantenerlo.
El artículo 38 del ENS establece que los sistemas de categoría MEDIA o ALTA precisan de una auditoría para la certificación de su conformidad, mientras que los de categoría BÁSICA solo requieren una autoevaluación para su declaración. El plazo de dos años puede extenderse tres meses por fuerza mayor.
Mi lectura
La conformidad no empieza cuando buscas auditor. Empieza cuando sabes exactamente qué sistema estás declarando.
He visto proyectos empezar por preguntar cuánto cuesta certificar ENS antes de poder explicar con claridad el alcance del sistema. Ese orden genera retrabajo. La 809 debe leerse desde la determinación del sistema, su categoría y el tipo de proceso de conformidad que corresponde.
El certificado o la declaración son una salida. Antes hay una cadena de decisiones: alcance, valoración, medidas, evidencias, revisión y tratamiento de desviaciones. Si una de esas piezas es débil, preparar la evaluación se convierte en una campaña de recopilación urgente.
Yo no prepararía una certificación. Prepararía un sistema que pueda ser evaluado sin cambiar su comportamiento durante dos meses.
CCN-STIC 809 · Preparación del expediente
Cómo llegar a la conformidad sin construir un sistema artificial
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
La conformidad ENS no es solo un momento de evaluación; es la culminación de decisiones previas sobre alcance, valoración, medidas, evidencias y seguimiento. Técnicamente, preparar un expediente de conformidad exige que esos elementos estén conectados de manera consistente. Si el alcance es difuso, la categoría está mal justificada o las evidencias solo aparecen la semana antes, el proceso se vuelve artificial y frágil.
También hay una parte muy práctica: preparar al sistema para ser evaluado significa que otra persona pueda reconstruir cómo se gobierna, qué controles existen, cómo operan y dónde están las desviaciones. Esa reconstrucción debe ser posible sin depender del héroe local que “lo sabe todo”.
Yo relacionaría esta guía con preparación honesta. Una evaluación bien superada no empieza cuando se agenda la visita: empieza cuando los procesos ordinarios producen evidencia utilizable de forma natural.
Preparación técnica del expediente
Organizaría evidencias por medida y sistema, no solo por departamento. Mantendría referencias cruzadas entre inventario, categoría, medidas, excepciones y plan de adecuación. Cada evidencia debería tener fecha, propietario, alcance y periodo.
Probaría además la reconstrucción: una persona ajena al control debería poder entender qué se hace, dónde y con qué resultado.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Convertir la conformidad en un proyecto cosmético de última milla. Se cierran documentos, se ordenan carpetas, se crean revisiones extraordinarias y se intenta presentar la mejor versión posible del sistema aunque no refleje su comportamiento habitual.
Eso puede mejorar la puesta en escena, pero empeora la fiabilidad del resultado y hace que cualquier revisión posterior sea más costosa.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Imagina que el sistema mantiene sus registros, revisiones y planes de forma continua, pero el inventario de excepciones está desactualizado y las evidencias de pruebas de continuidad son débiles. La preparación técnica útil no consistiría en embellecer documentación, sino en corregir la trazabilidad de excepciones y ejecutar o recuperar evidencias de pruebas reales.
Mi criterio aquí es directo: si una mejora solo se hace porque viene el auditor y no porque el sistema la necesita, probablemente estás corrigiendo la fachada antes que la estructura.
Ejemplo técnico de infraestructura
Preparar conformidad sin depender del administrador que lo sabe todo
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
El sistema cumple razonablemente, pero la evidencia está repartida entre carpetas personales, correos y consolas. Solo una persona sabe localizarla y explicar las excepciones.
Arquitectura documental: repositorio de evidencias, CMDB, gestión de riesgos, ITSM y herramientas técnicas. Fallo: controles operativos con baja trazabilidad documental. Riesgo: dependencia personal, preparación urgente y conclusiones difíciles de reconstruir. Qué haría: expediente por sistema y medida, metadatos mínimos, propietarios, periodo, enlaces a fuente y revisión previa por una persona distinta.
Pregunta incómoda
¿El sistema que enseñaremos al auditor es el mismo que opera el resto del año?
NO RESPONDAS CON LA POLÍTICA
Si la respuesta necesita matices —cuentas temporales, revisiones extraordinarias, limpiezas previas, procedimientos recién aprobados— prestaría atención. Preparar documentación es normal. Cambiar temporalmente la realidad para superar la evaluación es otra cosa.
La conformidad sostenible depende de procesos ordinarios que producen evidencia de forma natural.
Ref.
Qué pediría
Qué necesito ver
GR-01
Alcance
Sistema, servicios, componentes y exclusiones claramente definidos.
GR-02
Categoría
Valoración aprobada y coherente con el servicio.
GR-03
Estado de medidas
Implantación, excepciones y plan de adecuación vigente.
GR-04
Preparación
Revisión interna y evidencias producidas en operación normal.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Haría una preevaluación honesta y prohibiría el «esto lo hacemos antes de que venga el auditor» como estrategia recurrente. Lo que deba corregirse se corrige; lo que no llegue se registra, se trata y se asume con transparencia.
La certificación debería ser una consecuencia del sistema. Cuando se convierte en el sistema, la madurez se para.
Contenido
Qué contiene la guía
La distinción entre declaración (BÁSICA) y certificación (MEDIA/ALTA).
El mecanismo de aprobación provisional de conformidad (APC).
Los distintivos de cumplimiento y sus condiciones de uso.
El papel de las entidades de certificación (EC) acreditadas por ENAC y los Órganos de Auditoría Técnica (OAT) reconocidos por el CCN.
Los modelos de los anexos A, B y C y el mantenimiento de la conformidad.
El Consejo de Certificación del ENS (CoCENS) como órgano de coordinación.
Conceptos
Conceptos clave que debes manejar
Declaración de conformidad
Autodeclaración responsable de cumplimiento, válida para categoría BÁSICA. La firma el titular del órgano superior. Se publica en la sede electrónica con un enlace al documento. El distintivo es de color naranja (Pantone Orange 021C).
Certificación de conformidad
Reconocimiento por una entidad acreditada (EC) o reconocida (OAT), exigible en MEDIA y ALTA. Incluye la categoría del sistema y el número de certificado. El distintivo es de color azul (Pantone 653C).
Aprobación provisional
Reconocimiento temporal emitido por el CCN mientras se completa el proceso de certificación, en condiciones tasadas. Válida para BÁSICA o MEDIA. El distintivo es de color verde (Pantone 348C).
Distintivo de cumplimiento
Sello que acredita la conformidad y cuyo uso está reglado. Debe incluir un enlace al documento de conformidad correspondiente. Solo puede usarse mientras la conformidad esté vigente.
Consejo de Certificación del ENS (CoCENS)
Órgano colegiado que vela por la adecuada implantación de la Certificación del ENS. Presidido por el Director del CCN, con representantes del Ministerio de Política Territorial y ENAC.
Alcance
A quién aplica y cuándo entra en juego
Aplica al final del proceso de adecuación: BÁSICA mediante declaración responsable; MEDIA y ALTA mediante certificación por entidad acreditada, con vigencia y renovación periódica. La aprobación provisional cubre situaciones de transición. Aplica a todas las entidades del sector público y a los prestadores privados que provean servicios al sector público. Los certificados caducados se mantienen publicados en la web del CCN durante dos meses.
Implantación
Cómo lo implanta una empresa, paso a paso
Confirma tu vía según categoríaBÁSICA declara; MEDIA/ALTA certifica. Tenerlo claro evita tramitar el procedimiento equivocado. BÁSICA puede someterse voluntariamente a certificación.
Reúne el expediente completoValoración (803), implantación (804), verificación (808) y, en su caso, auditoría (802). El distintivo se sostiene sobre ese expediente. La declaración/certificación debe renovarse al menos cada dos años.
Tramita la declaración o certificaciónSigue el procedimiento y los modelos de los anexos A/B/C según corresponda. La declaración la firma el titular del órgano superior; la certificación, la EC/OAT.
Publica el distintivo correctamenteUsa el distintivo conforme a sus condiciones; un uso indebido es un problema de cumplimiento. Debe incluir un enlace al documento de conformidad. Solo puede usarse mientras la conformidad esté vigente.
Planifica el mantenimientoPrograma renovaciones y revisiones. Una conformidad caducada deja de ser válida. Los certificados caducados se eliminan de la web del CCN tras dos meses si no se renuevan.
Auditoría
Para qué sirve en una auditoría
En MEDIA/ALTA, la certificación depende del resultado de la auditoría (802).
La declaración BÁSICA es responsabilidad de la propia entidad.
Una conformidad caducada o no mantenida deja de ser válida.
El uso del distintivo debe ajustarse a sus condiciones.
El expediente que sostiene el distintivo debe estar completo y vigente.
El auditor verificará que el distintivo publicado corresponde a la categoría correcta y está enlazado al documento de conformidad.
Serie 800
Relación con otras guías de la serie
CCN-STIC 802802 — La auditoría habilita la certificación en MEDIA/ALTA.
CCN-STIC 808808 — La verificación del cumplimiento sostiene la declaración/certificación.
CCN-STIC 806806 — Cerrado el Plan de Adecuación, se aborda la conformidad.
CCN-CERT IC-01/19 — Criterios generales de auditoría y certificación.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Declaración / Certificación ENS
ISO 27001: certificación por entidad acreditada
NIS2: registro y supervisión por la autoridad
Distintivo y vigencia
ISO 27001: ciclo de certificación y vigilancia
DORA: revisión periódica del marco
Mantenimiento
ISO 27001: mejora continua (10)
DORA: actualización continua
Auditoría de certificación
ISO 27001: auditoría externa
NIS2: auditorías de cumplimiento
Entidad de certificación (EC)
ISO 17065: organismos de certificación
DORA: evaluación por terceros
Sin humo
Errores típicos
Confundir declaración (BÁSICA) con certificación (MEDIA/ALTA).
Obtener el sello y no mantenerlo (caduca).
Publicar el distintivo sin el expediente que lo sostiene.
Usar el distintivo fuera de sus condiciones.
No renovar la conformidad en el plazo de dos años (+3 meses por fuerza mayor).
No comunicar al CCN las certificaciones expedidas (las EC tienen 15 días para hacerlo).
Checklist
Checklist práctico
Categoría confirmada (declarar vs certificar).
Expediente completo reunido.
Declaración o certificación tramitada con los modelos correctos (Anexos A/B/C).
Distintivo publicado conforme a sus condiciones (color y enlace correctos).
Mantenimiento y renovación planificados (cada 2 años).
EC/OAT ha comunicado la certificación al CCN (plazo 15 días).
En caso de APC, se ha completado el Plan de Acciones Correctivas.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Jul 2010, actualizada Abr 2026).
Entidades de certificación (EC) y Órganos de Auditoría Técnica (OAT)
La certificación de conformidad en MEDIA y ALTA solo puede ser realizada por entidades autorizadas:
Entidad de Certificación (EC): Entidad del sector privado acreditada por ENAC según UNE-EN ISO/IEC 17065:2012. Debe demostrar ausencia de conflicto de interés (no puede haber prestado consultoría en los dos años anteriores).
Órgano de Auditoría Técnica (OAT): Entidad del sector público reconocida por el CCN. Puede certificar al sector público en el ámbito de sus competencias.
Imparcialidad: La EC/OAT no puede certificar a una organización si en los dos años anteriores le prestó servicios de consultoría, análisis de riesgos o implantación de medidas.
Publicación: El CCN mantiene una relación actualizada de EC y OAT en su sede electrónica. Las EC deben comunicar las certificaciones expedidas al CCN en un plazo de 15 días.
Anexos
Anexos A, B y C: Modelos de conformidad
La guía incluye tres anexos con los modelos oficiales de documentos de conformidad:
Anexo A — Declaración de Conformidad (BÁSICA):
Documento firmado por el titular del órgano superior.
Incluye identificación de sistemas, categoría, dimensiones y total de medidas.
Distintivo de color naranja (Pantone Orange 021C).
Anexo B — Certificado de Conformidad (MEDIA/ALTA):
Documento firmado por la EC/OAT.
Incluye categoría, dimensiones, número de certificado y fechas de concesión/expiración.
Distintivo de color azul (Pantone 653C).
En comunidades con lengua cooficial, puede ser bilingüe.
Anexo C — Aprobación Provisional de Conformidad (APC):
Documento emitido por el CCN para BÁSICA o MEDIA.
Distintivo de color verde (Pantone 348C).
No se publicita en la web del CCN hasta completar el PAC y obtener la certificación.
CoCENS
Consejo de Certificación del ENS (CoCENS)
La guía crea el Consejo de Certificación del ENS como órgano de coordinación:
Naturaleza: Órgano colegiado regulado por la Ley 40/2015.
Composición:
Presidente: Director del CCN.
Miembros permanentes: Jefe del Área de Normativa del CCN, representante del Ministerio de Política Territorial, Director Técnico de ENAC.
Miembros no permanentes: Representantes de OAT y EC, y especialistas externos.
Funciones:
Velar por la adecuada implantación de la Certificación del ENS.
Proponer normas, informes y buenas prácticas.
Asesorar sobre métodos, procedimientos y criterios.
Informar sobre el grado de implantación de la certificación.
Periodicidad: Se reúne al menos una vez al año.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.