Auditoría ENS: qué revisa el auditor y cómo prepararla

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué revisa la auditoría del Esquema Nacional de Seguridad?

En la auditoría del Esquema Nacional de Seguridad, el auditor constata seis puntos (Anexo III del Real Decreto 311/2022):

• La política de seguridad define los roles de responsable del sistema, de la información, de los servicios y de la seguridad.
• Existen procedimientos para resolver conflictos entre esos responsables.
• Hay personas designadas para cada rol.
• El análisis de riesgos tiene revisión y aprobación anual.
• Se cumplen las medidas del Anexo II que aplican a tu sistema.
• El SGSI (el sistema de gestión que documenta todo lo anterior) está aprobado por la dirección.

Fíjate en el patrón: cinco de los seis puntos son documentales u organizativos; solo uno remite a las medidas técnicas. La auditoría está diseñada para mirar papeles y personas antes que máquinas, y por eso las no conformidades típicas de pyme son documentales.

Las evidencias que admite el Anexo III (ap. 1.2) confirman ese diseño: documentación de los procedimientos, registro de incidentes, examen del personal afectado —el auditor comprobará que tu gente conoce y aplica las medidas que le tocan— y productos certificados. Prepara a las personas, no solo la carpeta.

Cada cuánto toca la auditoría ENS (y a quién)

La auditoría ordinaria es obligatoria al menos cada dos años, y con carácter extraordinario cuando el sistema sufre modificaciones sustanciales que afecten a las medidas de seguridad (art. 31.1 del RD 311/2022). Detalle útil: la extraordinaria reinicia el cómputo bienal. Migrar a la nube cuenta como modificación sustancial del sistema, y por eso, si lo haces en el mes 20, esa auditoría extraordinaria te sirve también de ordinaria. Por fuerza mayor no imputable a tu entidad, el plazo puede extenderse tres meses.

¿A quién aplica? Solo las categorías media y alta necesitan auditoría de certificación; en básica basta una autoevaluación que puede hacer tu propio personal, documentando medida a medida si está implantada y con qué evidencias (art. 38.1 y Anexo III, ap. 2.1). Certificarte en básica es voluntario, pero posible.

Las reglas del juego —hallazgos, dictámenes y plazos— no están en el RD sino en la ITS de Auditoría (Resolución de 27 de marzo de 2018), que remite a las guías CCN-STIC 802 y 808 como referencia metodológica (ap. III.4).

Las cinco no conformidades que más se repiten (y las cinco son documentales)

No existe estadística oficial de no conformidades ENS. Lo que sigue es el patrón que más vemos en pymes proveedoras de la Administración, cada fallo anclado a su requisito:

1. Normativa sin aprobar por la dirección. La política debe estar «formalmente aprobada por el órgano competente» (art. 12.2) y el SGSI exige un proceso regular de aprobación por la dirección (Anexo III, ap. 1.1.f). Tener los documentos escritos no basta: sin acta o firma de aprobación, es no conformidad.
2. Análisis de riesgos caducado o demasiado informal. El dato que casi nadie cuenta: la certificación se verifica cada dos años, pero el análisis de riesgos exige revisión y aprobación anual (Anexo III, ap. 1.1.d). Quien lo actualiza solo para la auditoría llega a la siguiente con un análisis caducado: no conformidad aunque lo técnico esté impecable. En categoría media, además, debe ser semiformal —con tablas y valoración cualitativa (op.pl.1)—; el informal en lenguaje natural solo vale en básica.
3. Registros de actividad sin gestionar. Activar los logs no es cumplir op.exp.8. En trazabilidad de nivel medio, el auditor pedirá evidencia de la revisión periódica buscando patrones anormales, de la retención documentada y del control de acceso a los propios registros (refuerzos R1, R3 y R4). Un año de registros que nadie ha revisado es una no conformidad con fecha.
4. Continuidad de papel. Matiz que se pasa por alto: las pruebas periódicas del plan de continuidad (op.cont.3) solo son exigibles en nivel alto de disponibilidad. En la pyme que certifica media, el fallo realista es no tener el análisis de impacto (op.cont.1). Que no te exijan de más, ni tú entregues de menos.
5. Subcontratistas sin cláusulas ENS. En media y alta, antes de usar recursos externos necesitas un acuerdo de nivel de servicio contractual con el servicio mínimo admisible y las consecuencias de incumplirlo (op.ext.1); y el art. 2.3 extiende el ENS a tu cadena de suministro en la medida que resulte del análisis de riesgos. El correo donde tu proveedor «se compromete» no es un ANS.

Y estas menores escalan rápido: la ITS de Auditoría (ap. VI.2) convierte varias no conformidades menores en una mayor cuando, evaluadas en conjunto, comprometen el objetivo de un grupo o subgrupo de medidas. El marco organizativo solo tiene cuatro medidas, así que dos o tres fallos documentales bastan para esa agregación.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Qué pasa si hay no conformidades: los tres dictámenes

La ITS de Auditoría (ap. VI.3) contempla tres resultados:

Si tu sistema ya está certificado, una no conformidad mayor deja el certificado en suspenso mientras la resuelves; si no la cierras en seis meses, se revoca y debes retirar el Distintivo de Conformidad de tu sede (ap. VI.6). Para un proveedor del sector público, un certificado suspendido es un problema contractual inmediato. En categoría alta, el responsable del sistema puede incluso suspender la operación hasta subsanar las deficiencias graves (art. 31.6).

Cómo preparar la auditoría del Esquema Nacional de Seguridad

• Monta un calendario, no un sprint. Las no conformidades de la lista anterior comparten causa: obligaciones periódicas (aprobación anual del análisis de riesgos, revisión de registros) tratadas como tarea única. Un calendario de mantenimiento entre auditorías las elimina de raíz.
• Separa quién te prepara de quién te audita. La ITS (ap. IV.2) prohíbe al auditor redactar documentos del ENS o recomendar productos concretos: la preparación la haces tú o un consultor distinto. Antes de contratar, compara el coste de la auditoría y la consultoría como dos partidas separadas.
• Acuerda por adelantado las pruebas en producción. El Anexo III (ap. 1.3) exige planificarlas y acordarlas previamente: pacta ventanas con el auditor y evita paradas imprevistas.
• Ensaya el examen del personal. El auditor puede preguntar a cualquiera afectado por una medida. Media hora repasando con tu equipo qué le aplica vale más que otra vuelta a la documentación.

La auditoría es la última fase de un camino que empieza en la categorización del sistema: si aún no has llegado a este punto, revisa el proceso completo de certificación antes de pedir fechas al auditor.

Tu siguiente paso

Abre tu análisis de riesgos y mira la fecha de aprobación. Si tiene más de un año, ya conoces tu primera no conformidad antes de que venga el auditor: subsánala esta semana y repite el ejercicio con las actas de dirección y los registros de actividad. Llegar a la auditoría con esos tres papeles al día resuelve la mayor parte de lo que el auditor viene a constatar.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.