Guia
Cómo preparar la primera auditoría de conformidad del ENS
Qué hacer en los meses previos a una auditoría de certificación del ENS, en qué orden, y cuáles son los tres documentos cuya fecha decide el resultado.
En castellàAquest document és en castellà.
La primera auditoría del ENS raramente se suspende por deficiencias técnicas. Se suspende por documentos que no existen, por firmas que nadie puso y por fechas que van en el orden equivocado. Eso son buenas noticias: casi todo lo que falla se puede arreglar antes, y no requiere presupuesto de infraestructura.
Esta guía asume que ya sabes que estás dentro del ámbito, por ser sector público o por ser un proveedor alcanzado por el artículo 2.3 del Real Decreto 311/2022. Si aún no lo tienes claro, empieza por ahí, porque el alcance condiciona todo lo demás.
Primero: fija el alcance, y fíjalo por escrito
El alcance no es «la empresa». Es un conjunto de sistemas de información que soportan unos servicios concretos. La pregunta operativa es: ¿qué servicios prestas a la entidad pública, y qué sistemas los sustentan?
Delimítalo con nombres propios: qué aplicaciones, qué infraestructura, qué centros de proceso, qué personal, qué proveedores quedan dentro. Y delimita también lo que queda fuera, con la justificación de por qué la exclusión no compromete el servicio.
Tener el alcance pequeño y bien definido es mejor que tenerlo grande y difuso. Un certificado con alcance amplio pero impreciso se cae en la primera licitación que lo compare con el objeto del contrato. Además, el alcance se puede ampliar después; lo que no se puede es explicar por qué un sistema que estaba dentro no se auditó.
Segundo: valora las cinco dimensiones antes de tocar ningún control
Este es el paso que más gente se salta, y el que más caro sale. El anexo I obliga a valorar, para cada información y cada servicio del alcance, el impacto de un incidente sobre disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad, asignando nivel BAJO, MEDIO o ALTO.
De esa valoración sale la categoría del sistema: ALTA si alguna dimensión llega a nivel alto, MEDIA si alguna llega a medio, BÁSICA si ninguna supera el bajo. Y la categoría determina qué medidas del anexo II te aplican y con qué intensidad.
Hacerlo al revés —implantar controles y luego categorizar para que encaje— deja un rastro que el auditor detecta de inmediato: el acta de valoración lleva fecha posterior a los procedimientos que supuestamente derivan de ella.
Dos detalles que fallan siempre: la valoración corresponde al responsable de la información o del servicio, y la determinación de la categoría al responsable de la seguridad. Son dos actos distintos, de dos figuras distintas, y ambos deben estar firmados.
Tercero: nombra a las cuatro figuras, y compruébalo en el organigrama
El artículo 11 exige diferenciar responsable de la información, del servicio, de la seguridad y del sistema. El artículo 13.3 añade el requisito que más problemas da en organizaciones pequeñas: el responsable de la seguridad debe ser distinto del responsable del sistema y no debe haber dependencia jerárquica entre ambos.
En la práctica, esto descarta el atajo habitual de nombrar responsable de seguridad al jefe de sistemas. Si por falta justificada de recursos ambas funciones tienen que recaer en la misma persona o en personas con relación jerárquica, la norma lo admite como excepción, pero exige aplicar medidas compensatorias, y exige que consten por escrito.
Prepara: nombramientos firmados y fechados de las cuatro figuras, organigrama que demuestre la independencia, y —si aplica— el documento de excepcionalidad con sus compensaciones.
Cuarto: la Declaración de Aplicabilidad, firmada
El artículo 28.2 es explícito: la relación de medidas seleccionadas se formaliza en un documento llamado Declaración de Aplicabilidad, firmado por el responsable de la seguridad. Las setenta y tres medidas del anexo II son mínimos, no máximos.
La Declaración debe recoger, medida a medida, si aplica y cómo, con la justificación cuando no aplique. Si has sustituido alguna por una medida compensatoria —el artículo 28.3 lo permite—, la correspondencia detallada entre la medida compensatoria y la que sustituye forma parte integral del propio documento, y la justificación de que protege igual o mejor tiene que estar escrita.
Sin firma no es una Declaración de Aplicabilidad. Es una hoja de cálculo.
Quinto: el análisis de riesgos, revisado y aprobado este año
El punto 1.1.d del anexo III dice que la auditoría verificará que se ha realizado un análisis de riesgos «con revisión y aprobación anual». Es una exigencia literal de periodicidad, y está en el anexo de auditoría, no en el articulado, lo que explica que se pase por alto con tanta frecuencia.
Comprueba dos cosas: que la fecha de revisión esté dentro de los doce meses anteriores a la auditoría, y que haya constancia explícita de la aprobación, con autor y cargo. Un análisis excelente de hace dos años es una no conformidad; uno mediocre revisado hace tres meses, no.
Sexto: prepara el expediente pensando en cómo se recorre
El anexo III dice en qué se basa la auditoría: documentación de los procedimientos, registro de incidentes, examen del personal afectado y productos certificados. Ese tercer punto merece atención porque sorprende: el auditor puede preguntar directamente a un administrador o a un operador sobre las medidas que le afectan, y su respuesta es evidencia.
Merece la pena dedicar una sesión corta con los equipos operativos antes de la auditoría. No para ensayar respuestas, sino para asegurarse de que conocen los procedimientos que se han escrito sobre su trabajo. La brecha entre el procedimiento documentado y la práctica real es el hallazgo más común, y se detecta hablando, no leyendo.
El orden de las fechas es el criterio silencioso
Si tuviera que resumir la preparación en una frase: comprueba que las fechas de tus documentos cuentan una historia coherente. Valoración de dimensiones → determinación de categoría → Declaración de Aplicabilidad → implantación → evidencias de operación → auditoría. Cada eslabón con fecha posterior al anterior.
Cuando ese orden se cumple, la auditoría transcurre sobre terreno firme aunque haya hallazgos. Cuando no se cumple, hasta un entorno técnicamente sólido genera la sospecha de que el expediente se montó la semana anterior.
Después de la primera vez
La auditoría regular ordinaria se repite al menos cada dos años, y hay que adelantarla con carácter extraordinario si el sistema sufre modificaciones sustanciales que puedan afectar a las medidas requeridas. Los sistemas de categoría MEDIA o ALTA precisan auditoría de certificación; los de categoría BÁSICA, autoevaluación. En ambos casos, el artículo 38.2 obliga a publicar el distintivo en el portal o sede electrónica.
Lo que cambia a partir de la segunda vez no es el esfuerzo de la auditoría, es el de mantener vivo el expediente entre auditorías: la Declaración de Aplicabilidad actualizada tras cada cambio, el análisis de riesgos revisado cada año, las evidencias retenidas con su fecha. Ahí es donde una herramienta como Violet Security ahorra más que en la auditoría misma.