Auditoría interna del ENS y auditoría de certificación: en qué se diferencian
La auditoría interna del ENS es la revisión que tu propia organización (o un consultor contratado por ella) hace de sus sistemas para comprobar, con las mismas reglas del Anexo III del Real Decreto 311/2022, si las medidas de seguridad están implantadas y funcionan. La auditoría de certificación es otra cosa: la realiza una entidad de certificación acreditada por ENAC, ajena a ti, y es la única que termina en una Certificación de Conformidad con el ENS. La primera te dice dónde estás; la segunda te permite demostrarlo ante terceros. No compiten entre sí: una bien hecha es la mejor preparación para la otra.
Conviene aclarar un matiz que casi nadie cuenta: el Real Decreto 311/2022 no regula la «auditoría interna» como figura con nombre propio. El texto habla de la auditoría de la seguridad (artículo 31), de la autoevaluación para sistemas de categoría BÁSICA y de la auditoría de certificación (artículo 38).
El término «auditoría interna» viene de la práctica profesional y aparece de refilón en la Instrucción Técnica de Seguridad de Auditoría, que pide al equipo auditor de certificación valorar «el grado de confianza en las revisiones de la Dirección y auditorías internas del auditado». Es decir: la norma no te la exige con ese nombre, pero la certificadora sí la tiene en cuenta.
Qué es la auditoría interna del ENS
Es el ejercicio de control que haces por iniciativa propia, con tu personal o con un consultor externo que trabaja para ti, para responder a una pregunta: si mañana viniera la entidad de certificación, ¿qué encontraría?
Para que sirva de algo, tiene que usar la misma vara de medir que usará el auditor de verdad. Eso significa revisar lo que el Anexo III del RD 311/2022 establece como objeto de la auditoría:
- Que la política de seguridad define los roles y funciones de los responsables del sistema, la información, los servicios y la seguridad.
- Que hay personas designadas para esos roles, respetando la diferenciación de responsabilidades.
- Que existe un análisis de riesgos con revisión y aprobación anual.
- Que las medidas del Anexo II aplicables a tu categoría están implantadas, con la Declaración de Aplicabilidad como base.
- Que todo lo anterior deja evidencias: procedimientos documentados, registro de incidentes, personal que conoce y aplica las medidas que le afectan.
En sistemas de categoría BÁSICA esta revisión propia tiene además rango normativo: el Anexo III la llama autoevaluación, la puede hacer el mismo personal que administra el sistema y basta para emitir la Declaración de Conformidad. Lo explico en detalle en la guía de la autoevaluación y la declaración de conformidad de nivel básico. En categorías MEDIA y ALTA, en cambio, la revisión interna no sustituye nada: es preparación.
La ventaja de la auditoría interna es que sus hallazgos no tienen consecuencias formales. Un incumplimiento detectado en ella es una tarea; el mismo incumplimiento detectado por la certificadora es una no conformidad escrita en un informe que puede pedir el CCN.
Qué es la auditoría de certificación
Es la auditoría que conduce a la Certificación de Conformidad con el ENS, obligatoria para los sistemas de categoría MEDIA o ALTA según el artículo 38 del RD 311/2022. La pieza clave es quién la hace: una entidad de certificación acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065, tal y como exige la Instrucción Técnica de Seguridad de conformidad con el ENS. Ni tu equipo, ni tu consultor habitual, ni una empresa amiga: solo una certificadora acreditada.
Esa exigencia de independencia va más lejos de lo que parece. La Instrucción Técnica de Seguridad de Auditoría prohíbe expresamente que las tareas de auditoría de la entidad certificadora incluyan acciones que puedan considerarse consultoría. Traducido: quien te certifica no puede ser quien te ha preparado, y durante la auditoría no te va a resolver los problemas que encuentre, solo a documentarlos.
El proceso termina en un dictamen, y la Instrucción Técnica de Seguridad de Auditoría prevé tres, no dos:
- FAVORABLE. No se ha evidenciado ninguna no conformidad, mayor ni menor. La certificación se expide.
- FAVORABLE CON NO CONFORMIDADES. Hay no conformidades, mayores o menores. La certificación solo puede expedirse cuando el plan de acciones correctivas presentado cumple las condiciones que fija la propia Instrucción Técnica.
- DESFAVORABLE. Cuando, por el número o la trascendencia de las no conformidades detectadas, no es posible decidir sobre su resolución a través de un plan de acciones correctivas. En ese caso no hay certificado y se exige una auditoría extraordinaria que verifique la adopción de medidas correctoras adecuadas. Es el desenlace que la gente olvida al planificar y el que más caro sale: obliga a repetir el proceso entero.
La certificación se materializa en un documento electrónico y un Distintivo de Conformidad que debes publicar en tu sede electrónica o portal de internet. El proceso completo, con fases y factores de coste, está desarrollado en la guía de la certificación ENS: proceso y requisitos.
Además, esta auditoría no es un trámite único: el artículo 31 obliga a repetirla al menos cada dos años, y de forma extraordinaria si hay modificaciones sustanciales del sistema que afecten a las medidas de seguridad (en ese caso, el reloj de los dos años se reinicia).
Tabla comparativa
| Auditoría interna | Auditoría de certificación | |
|---|---|---|
| Quién la hace | Tu personal o un consultor contratado por ti | Entidad de certificación acreditada por ENAC (UNE-EN ISO/IEC 17065) |
| Base normativa | Sin figura propia en el RD 311/2022 (salvo la autoevaluación de categoría BÁSICA, Anexo III) | Artículos 31 y 38 y Anexo III del RD 311/2022 + ITS de Auditoría e ITS de Conformidad |
| ¿Obligatoria? | No con ese nombre; la autoevaluación sí lo es en BÁSICA | Sí, para sistemas de categoría MEDIA o ALTA |
| Resultado | Informe interno de trabajo, sin efectos formales | Dictamen de auditoría (FAVORABLE · FAVORABLE CON NO CONFORMIDADES · DESFAVORABLE) → Certificación de Conformidad y distintivo |
| Consecuencia de un fallo | Una tarea en tu plan de adecuación | No conformidad documentada; la certificación queda condicionada al plan de acciones correctivas, y si no cabe resolverlas así, dictamen DESFAVORABLE y auditoría extraordinaria |
| Periodicidad | La que tú decidas (lo razonable: anual, antes de cada ciclo) | Al menos cada dos años, y extraordinaria si hay cambios sustanciales |
| ¿Quién puede ver el informe? | Tú | Responsable del sistema, responsable de la seguridad y, si lo requiere, el CCN |
| Independencia exigida | Ninguna formal (aunque conviene que no se audite a sí mismo quien implantó) | Total: la certificadora no puede hacer consultoría sobre lo que audita |
Cuándo te toca cada una
Depende de la categoría de tu sistema, así que lo primero es tenerla clara; si no es el caso, empieza por las categorías BÁSICA, MEDIA y ALTA del ENS.
Categoría BÁSICA
La norma solo te exige la autoevaluación y la Declaración de Conformidad. Puedes optar voluntariamente a la certificación (el artículo 38 lo permite expresamente), y muchas organizaciones lo hacen porque una declaración propia convence menos en una licitación que un certificado emitido por un tercero.
Categoría MEDIA o ALTA
La certificación es obligatoria, con auditoría al menos bienal. Aquí la auditoría interna encuentra su sitio natural: en el año «valle» entre auditorías de certificación, y siempre unas semanas antes de la auditoría real, para llegar a ella sin sorpresas.
En plena adecuación
Si todavía estás implantando el ENS, la auditoría interna no es el final del camino sino una herramienta de diagnóstico intermedio. Antes incluso de montar una auditoría interna formal, puedes situarte en menos de tres minutos con el autodiagnóstico ENS.
Cómo preparar una auditoría interna que sirva para la certificación
El error habitual es montar la auditoría interna como un repaso informal («¿tenemos política de seguridad? sí; siguiente»). Para que el resultado anticipe de verdad el dictamen de la certificadora, tiene que imitar su método:
- Mismo alcance. Audita exactamente los sistemas y servicios que entrarán en la certificación, con la Declaración de Aplicabilidad delante. Auditar «toda la empresa» en abstracto no anticipa nada.
- Mismas referencias. El equipo de certificación trabaja con la ITS de Auditoría y las guías CCN-STIC que la desarrollan (la 802 de auditoría y la 808 de verificación del cumplimiento de las medidas, entre otras). Usa las mismas.
- Evidencias, no opiniones. El Anexo III es explícito: la auditoría se basa en evidencias. Cada medida marcada como implantada debe tener detrás un documento, un registro o una configuración observable. Si en la auditoría interna aceptas un «eso lo hacemos, aunque no está escrito», en la de certificación será una no conformidad.
- Entrevistas al personal. El Anexo III incluye el examen del personal afectado: conocimiento y práctica de las medidas que le afectan. Es la parte que más auditorías internas omiten y una fuente clásica de hallazgos.
- Informe con formato de informe. Alcance, criterios, hallazgos de cumplimiento e incumplimiento, y evidencias que sustentan cada conclusión, como exige el artículo 31.4 al informe oficial. Además de entrenar el formato, ese documento es justo el tipo de «auditoría interna del auditado» que la certificadora valorará como señal de madurez.
- Plan de acciones correctivas. Cierra la auditoría interna igual que se cierra la de certificación: cada hallazgo con responsable y fecha. Así, si la certificadora encuentra algo parecido, ya tienes medio plan presentable.
Hay una vía de ahorro que conviene conocer: el artículo 38 establece que la auditoría de la seguridad del artículo 31 «podrá servir asimismo para los fines de la certificación». Bien planificado, un mismo ciclo de auditoría bienal con la certificadora cubre las dos obligaciones, sin pagar dos procesos separados. La preparación paso a paso la desarrollo en la guía sobre cómo preparar la auditoría ENS, y el recorrido completo del proceso —calendario, tipos de auditoría, evidencias y tratamiento de las no conformidades— está en cómo se prepara y se pasa una auditoría ENS.
Errores frecuentes
- Confundir el informe del consultor con la certificación. Un informe de auditoría interna, por riguroso que sea, no genera Certificación de Conformidad. Solo la certificadora acreditada por ENAC puede expedirla.
- Pedirle a la certificadora que «ayude a arreglar» lo que encuentra. No puede: la ITS de Auditoría se lo prohíbe para proteger su independencia. La implantación y la certificación deben ir por proveedores separados.
- Hacer la auditoría interna la semana anterior. Si aparecen hallazgos serios (y suelen aparecer), no habrá tiempo de corregirlos. Dos o tres meses antes es un margen razonable para cerrar lo encontrado.
- Olvidar la auditoría extraordinaria. Una migración al cloud o un cambio sustancial de arquitectura obliga a auditar fuera de ciclo (artículo 31.1). La auditoría interna posterior al cambio es la forma barata de saber si estás ante ese supuesto.
- En categoría ALTA, subestimar los hallazgos graves. El artículo 31.6 contempla que, a la vista del dictamen, el responsable del sistema pueda llegar a suspender temporalmente el tratamiento de información o la operación del sistema hasta subsanar. No es teórico: es el escenario que una buena auditoría interna existe para evitar.
El marco completo del esquema, con todos sus actores y plazos, está en la guía completa del Esquema Nacional de Seguridad; el detalle normativo de la auditoría, en el análisis del Anexo III del ENS: la auditoría de conformidad; y el resto de recursos del vertical, en el hub de cumplimiento ENS.
Preguntas frecuentes
¿Es obligatoria la auditoría interna en el ENS?
No como figura con ese nombre. Lo obligatorio es la auditoría de la seguridad del artículo 31 (al menos cada dos años, en categorías MEDIA y ALTA) y, en categoría BÁSICA, la autoevaluación del Anexo III. La auditoría interna es una práctica voluntaria, pero la ITS de Auditoría indica que el equipo certificador valora las auditorías internas del auditado al formarse su opinión.
¿Puede mi propio equipo hacer la auditoría de certificación?
No. La Certificación de Conformidad con el ENS solo puede expedirla una entidad de certificación acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Tu equipo puede (y debería) auditar internamente antes, pero ese trabajo no sustituye a la auditoría de la certificadora.
¿La auditoría bienal del artículo 31 y la de certificación son dos auditorías distintas?
No tienen por qué. El artículo 38 del RD 311/2022 prevé expresamente que la auditoría de la seguridad del artículo 31 pueda servir para los fines de la certificación. En la práctica, los sistemas de categoría MEDIA y ALTA suelen resolver ambas obligaciones en un único ciclo con la entidad certificadora.
¿Qué pasa si la auditoría de certificación encuentra no conformidades?
Depende del dictamen, y hay tres. Con un «FAVORABLE CON NO CONFORMIDADES», la certificación puede expedirse si el plan de acciones correctivas presentado cumple las condiciones de la ITS de Auditoría. Con un «DESFAVORABLE» —cuando por el número o la trascendencia de las no conformidades no cabe resolverlas mediante ese plan— no hay certificado y se exige una auditoría extraordinaria que verifique las medidas correctoras. Y si las deficiencias son graves en un sistema de categoría ALTA, el artículo 31.6 permite además al responsable del sistema suspender temporalmente la operación hasta subsanarlas.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad — texto consolidado (artículos 31 y 38; Anexos II y III).
- Resolución de 27 de marzo de 2018, ITS de Auditoría de la Seguridad de los Sistemas de Información (BOE-A-2018-4573).
- Resolución de 13 de octubre de 2016, ITS de conformidad con el Esquema Nacional de Seguridad (BOE-A-2016-10109).
- Guías CCN-STIC de la serie 800 referidas por la ITS de Auditoría (802, 804 y 808), publicadas por el Centro Criptológico Nacional.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.