Doce fallos que un auditor del ENS encuentra en casi todas las primeras auditorías
Los errores que más no conformidades generan en una primera auditoría del Esquema Nacional de Seguridad no son técnicos: son de encuadre y de evidencia. Se repiten los mismos doce: contratar a quien no puede certificar, llegar sin el alcance escrito, una política a la que le faltan apartados del artículo 12, roles que nadie designó formalmente, un análisis de riesgos sin revisar, una Declaración de Aplicabilidad sin firmar y, sobre todo, medidas documentadas pero no implantadas. Ninguno exige comprar tecnología.
Un aviso sobre la lista: estos doce son recurrencias de práctica profesional, no un catálogo oficial. No existe ninguna relación normativa de «errores típicos» del ENS. Lo que sí está en la norma es el artículo o apartado que convierte cada uno en hallazgo, y por eso va citado junto a cada punto para que puedas comprobarlo.
Conviene entender antes cómo se puntúa. La Instrucción Técnica de Seguridad de Auditoría clasifica los hallazgos en tres grados, y de ellos salen tres dictámenes:
| Grado del hallazgo | Qué es | Consecuencia |
|---|---|---|
| Observación | Una debilidad que aún no compromete nada pero que puede, en la actualidad o en el futuro, derivar en un problema | No impide el dictamen favorable |
| No Conformidad Menor | Ausencia o fallo en la implantación o el mantenimiento de uno o más requisitos del ENS | Dictamen FAVORABLE CON NO CONFORMIDADES: Plan de Acciones Correctivas en un mes |
| No Conformidad Mayor | Varias menores dentro de un mismo grupo o subgrupo que, evaluadas en conjunto, puedan implicar el incumplimiento del objetivo de ese bloque | Si impide resolverlas con un plan, dictamen DESFAVORABLE y auditoría extraordinaria |
Y un matiz previo que ahorra dinero, con la precisión que casi nadie hace. El ciclo del artículo 31.1 —revisión al menos cada dos años— alcanza a todos los sistemas comprendidos en el ámbito de aplicación del real decreto, sin distinguir categoría.
Lo que cambia con la categoría es cómo se cumple. El artículo 31.2 remite la forma al anexo III, y su apartado 2.1.a) dice que los sistemas de categoría BÁSICA «no necesitarán realizar una auditoría», que basta una autoevaluación hecha por el mismo personal que administra el sistema o en quien delegue, y que su resultado debe estar documentado. En básica no hay auditor externo, pero sí hay ciclo, sí hay documento y sí hay que repetirlo. Nada impide además someter un sistema básico a auditoría —la propia instrucción técnica lo considera deseable—, pero eso ya es una decisión, no una obligación.
Antes de empezar: tres errores de encuadre
1. Contratar a quien no puede certificarte
La Certificación de Conformidad con el ENS la expide una entidad certificadora acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. No vale una consultora de seguridad con buen nombre ni el proveedor que administra tus servidores. El Centro Criptológico Nacional mantiene en su sede electrónica la relación actualizada de entidades de certificación, y la instrucción técnica describe esa relación como de entidades «acreditadas o en vías de acreditación» —una vía transitoria que la propia instrucción cerró un año después de su entrada en vigor, de modo que hoy lo exigible es la acreditación plena—. Comprueba que la tuya figura acreditada antes de firmar. Es el prerrequisito que tumba todo lo demás.
2. Llegar sin el alcance y los criterios metodológicos por escrito
La ITS de Auditoría exige que el alcance, el objetivo y los criterios metodológicos estén definidos y documentados, porque tienen que aparecer en el informe. Con un alcance difuso («nuestros sistemas»), la primera jornada se va en delimitar qué se audita, y lo que queda fuera por prisa vuelve como hallazgo.
3. Pedirle al auditor que arregle lo que encuentra
La ITS de Auditoría prohíbe expresamente que las tareas de auditoría incluyan acciones que puedan considerarse consultoría: implantar o modificar aplicaciones, redactar documentos exigidos por el ENS o recomendar productos concretos. Si tu implantador y tu certificador son el mismo, tienes un problema de independencia antes de empezar.
Marco organizativo: cuatro errores que se repiten
4. Una política de seguridad incompleta respecto del artículo 12.1
La política debe incluir seis extremos como mínimo, y hay dos que faltan casi siempre: el procedimiento de designación y renovación de los roles de seguridad (letra c) y los riesgos derivados del tratamiento de datos personales (letra f). Una política heredada de una plantilla de hace cinco años rara vez los tiene.
5. No existe procedimiento para resolver conflictos entre responsables
El Anexo III lo pide de forma literal como objeto de la auditoría, y es la casilla que más organizaciones dejan vacía sin darse cuenta. Si el responsable de la información y el de la seguridad discrepan sobre un requisito, alguien tiene que decidir, y ese mecanismo debe estar escrito.
6. El responsable de la seguridad y el del sistema son la misma persona
El artículo 13.3 exige que sean distintos y sin dependencia jerárquica entre ambos. Solo en situaciones excepcionales, por ausencia justificada de recursos, pueden recaer en la misma persona o en dos con relación jerárquica, y entonces el propio artículo obliga a aplicar medidas compensatorias que preserven la diferenciación de responsabilidades. Ojo al matiz: no basta con dejar por escrito que no había recursos, hay que enseñar la compensación. En entidades pequeñas es el hallazgo estrella; el reparto está desarrollado en la guía de los roles del ENS.
7. Roles «asignados» sin acto formal de designación
El Anexo III pide constatar que se han designado personas para esos roles, atendiendo al principio de diferenciación de responsabilidades. Un organigrama en una diapositiva no es una designación: hace falta el nombramiento formal, con fecha y firma de quien tiene competencia.
Documentación: dos errores caros
8. El análisis de riesgos no se revisa ni se aprueba cada año
El Anexo III no habla de tener un análisis de riesgos: habla de tenerlo «con revisión y aprobación anual». Uno excelente hecho hace dos años y nunca tocado desde entonces es una no conformidad. Y la revisión tiene que dejar rastro: acta, versión, firma.
9. La Declaración de Aplicabilidad falla en la letra pequeña
Tres variantes del mismo error. Que no esté firmada por el responsable de la seguridad, como exige el artículo 28.2. Que haya medidas marcadas como no aplicables sin justificación (el Anexo II tiene 73 medidas y cada exclusión debe sostenerse). Y que se sustituyan medidas por otras compensatorias sin incluir en la propia Declaración la correspondencia detallada con lo que compensan ni la aprobación formal del responsable de la seguridad, que es lo que pide el artículo 28.3.
Evidencias y operación: tres errores de fondo
10. Confundir «documentado» con «implantado»
Es el error madre. El Anexo III establece que la auditoría se basa en evidencias que sustenten objetivamente el cumplimiento: documentación de los procedimientos, registro de incidentes, examen del personal afectado y productos certificados. Un procedimiento impecable que nadie sigue es una no conformidad; uno mediocre que se aplica y deja registros, no.
11. El personal no sabe qué medidas le afectan
El examen del personal es parte explícita del objeto de la auditoría: conocimiento y praxis de las medidas que le afectan. El auditor entrevista a administradores y usuarios, no solo al responsable de seguridad. Un administrador que no sabe dónde está el procedimiento de copias pesa más, en contra, que el propio procedimiento a favor.
12. No hay programa de auditorías, ni comprobaciones acordadas
El Anexo III pide disponer de un programa o plan de auditorías documentado, y añade un detalle que evita sustos: las actividades de auditoría que impliquen comprobaciones en los sistemas operativos deben planificarse y acordarse previamente.
Para situarte antes de contratar nada, el autodiagnóstico ENS da una primera lectura, y la guía de preparación de la auditoría ENS desarrolla la documentación exigible.
Los plazos que empiezan a correr con el dictamen
Aquí un error de la lista se convierte en problema de calendario:
| Situación | Qué plazo se abre | Qué pasa si vence |
|---|---|---|
| FAVORABLE CON NO CONFORMIDADES | Un mes como máximo para presentar el Plan de Acciones Correctivas a la certificadora | La certificación solo se expide si ese plan trata y resuelve los hallazgos, a criterio de la entidad certificadora |
| DESFAVORABLE | Auditoría extraordinaria en un plazo no superior a seis meses desde la emisión del informe, limitada a esos hallazgos | Sin ella no hay certificación |
| Sistema ya certificado con No Conformidades Mayores | Seis meses para cerrarlas, con el certificado en suspenso | Se revoca, y hay que retirar el Distintivo de Conformidad de la sede electrónica hasta la próxima recertificación |
| Ciclo ordinario | Al menos cada dos años, con una extensión de tres meses posible por fuerza mayor no imputable a la entidad titular (art. 31.1) | Se pierde la conformidad por caducidad del ciclo |
| Modificación sustancial del sistema | Auditoría extraordinaria, que además reinicia el cómputo de los dos años | El ciclo ordinario queda desalineado con el sistema real |
Para categoría ALTA hay una advertencia extra: visto el dictamen y según la gravedad de las deficiencias, el artículo 31.6 faculta al responsable del sistema para suspender temporalmente el tratamiento de información o la operación del sistema hasta subsanar. Quién audita y cómo se contrata está en la guía de auditoría ENS: quién la hace y cómo contratarla.
Repaso rápido antes de la auditoría
Doce comprobaciones, una por error. Copia la tabla, anota dónde está la evidencia de cada una y llévala a la reunión de arranque: si una fila se queda sin ubicación, ese es tu hallazgo.
| # | Comprobación | Dónde está la evidencia |
|---|---|---|
| 1 | Certificadora acreditada, verificada en la relación del CCN | [FECHA DE LA COMPROBACIÓN] |
| 2 | Alcance, objetivo y criterios metodológicos escritos y aceptados | [DOCUMENTO] |
| 3 | Implantador y certificador, entidades distintas | [NOMBRES] |
| 4 | Política con los seis extremos del art. 12.1, incluidos datos personales y renovación de roles | [POLÍTICA, VERSIÓN Y FECHA] |
| 5 | Procedimiento de resolución de conflictos entre responsables | [DOCUMENTO] |
| 6 | Responsable de la seguridad y del sistema: personas distintas, sin dependencia jerárquica | [NOMBRES + ORGANIGRAMA] |
| 7 | Nombramientos formales, fechados y firmados, para cada rol | [CARPETA DE NOMBRAMIENTOS] |
| 8 | Análisis de riesgos revisado y aprobado en el último año, con acta | [ACTA Y FECHA] |
| 9 | Declaración de Aplicabilidad firmada, exclusiones justificadas, compensatorias correspondidas | [DA, VERSIÓN Y FIRMA] |
| 10 | Cada medida implantada, con registro, log o configuración observable detrás | [REPOSITORIO DE EVIDENCIAS] |
| 11 | Personal que sabe qué medidas le afectan y dónde están los procedimientos | [REGISTRO DE FORMACIÓN] |
| 12 | Programa de auditorías documentado y pruebas sobre producción acordadas por escrito | [PROGRAMA Y ACUERDO] |
El marco completo, con sus actores y categorías, está en la guía completa del Esquema Nacional de Seguridad; el resto de recursos, en el hub de cumplimiento ENS.
Preguntas frecuentes
¿Cuál es el error más frecuente en una primera auditoría ENS?
Presentar medidas documentadas que no están realmente implantadas. El Anexo III del Real Decreto 311/2022 establece que la auditoría se basa en evidencias objetivas: un procedimiento escrito sin rastro de aplicación no acredita nada. Es también el más caro de corregir, porque no se arregla escribiendo, sino operando y dejando registro.
¿Una no conformidad menor impide certificarse?
No por sí sola. Con un dictamen FAVORABLE CON NO CONFORMIDADES, la certificación puede expedirse si el Plan de Acciones Correctivas presentado en el plazo máximo de un mes trata y resuelve los hallazgos, a criterio de la certificadora. Lo que sí lo impide de inmediato es un dictamen DESFAVORABLE, que obliga a una auditoría extraordinaria en un plazo no superior a seis meses.
¿Puede el auditor ayudarme a corregir lo que encuentre?
No. La ITS de Auditoría prohíbe que las tareas de auditoría incluyan actividades que puedan considerarse consultoría: implantar o modificar aplicaciones, redactar documentos exigidos por el ENS o recomendar productos concretos. La corrección se aborda con recursos propios o con un tercero distinto del que audita.
¿Qué pasa si un sistema ya certificado acumula no conformidades mayores?
El Certificado de Conformidad queda en suspenso mientras se resuelven. Si no se cierran en un plazo de seis meses, se revoca y la entidad debe retirar el Distintivo de Conformidad de su sede electrónica hasta la próxima recertificación. Por eso el seguimiento posterior a la certificación no es opcional.
Fuentes
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad — texto consolidado (artículos 12, 13, 28, 31 y 38; Anexos II y III).
- Resolución de 27 de marzo de 2018, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información (BOE-A-2018-4573): grados de no conformidad, dictámenes y plazos.
- Resolución de 13 de octubre de 2016, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad (BOE-A-2016-10109): requisitos de las entidades certificadoras y publicidad de los distintivos.
- Guías CCN-STIC de la serie 800 referidas por la ITS de Auditoría (802 de auditoría, 804 de implantación y 808 de verificación del cumplimiento), publicadas por el Centro Criptológico Nacional.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.