Auditoría del ENS: cada cuánto se hace, quién puede hacerla según la categoría, qué mueve su coste y su duración, qué pide el auditor y qué pasa con los hallazgos.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
Una auditoría del Esquema Nacional de Seguridad comprueba que las medidas del anexo II que te corresponden por categoría están implantadas, funcionando y demostrables con evidencia. La periodicidad la fija el artículo 31 del Real Decreto 311/2022: al menos cada dos años, y de forma extraordinaria siempre que haya modificaciones sustanciales en los sistemas. Quién puede hacerla depende de la categoría: los sistemas de categoría BÁSICA se acreditan con una autoevaluación, y los de categoría MEDIA o ALTA necesitan una auditoría para la certificación de conformidad, emitida por una entidad de certificación acreditada por ENAC. Lo que sigue es el recorrido completo por dentro: quién entra, a quién pregunta, qué papeles pide, qué es exactamente un hallazgo, qué plazos hay para cerrarlo y en qué se diferencia la segunda auditoría de la primera. Lo escribo desde el sitio del auditor: el de quien, después de todas las explicaciones, tiene que encontrar la evidencia.
Hay una confusión de fondo que envenena la mitad de las conversaciones sobre este tema, y conviene desactivarla antes de seguir: «auditoría del ENS» nombra dos cosas distintas que ocurren en momentos distintos y las hace gente distinta.
La conexión entre ambas la establece el artículo 38, que es el que de verdad decide tu vida: «los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoría de certificación», mientras que «los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad».
Traducido a la práctica: si eres categoría básica, la obligación de revisar cada dos años sigue existiendo, pero puedes cumplirla tú mismo y firmar una declaración. Si eres media o alta, cada dos años entra alguien de fuera. Si has llegado hasta aquí sin saber en qué categoría estás, para y empieza por el pilar del ENS: la categoría lo determina absolutamente todo, incluido el presupuesto.
Esta es la tabla que resuelve el 80 % de las dudas comerciales:
| Categoría del sistema | Vía de conformidad | Quién la ejecuta | Qué se obtiene |
|---|---|---|---|
| BÁSICA | Autoevaluación (art. 38) | Personal propio de la entidad, con independencia suficiente respecto de quien implantó las medidas | Declaración de conformidad, firmada por la propia entidad |
| BÁSICA (opcional) | Auditoría de certificación | Entidad de certificación acreditada por ENAC | Certificación de conformidad |
| MEDIA | Auditoría de certificación (art. 38) | Entidad de certificación acreditada por ENAC | Certificación de conformidad |
| ALTA | Auditoría de certificación (art. 38) | Entidad de certificación acreditada por ENAC | Certificación de conformidad |
| Sector público (interno) | Auditoría interna del art. 31 | Órgano de Auditoría Técnica (OAT) del propio sector público, o auditor independiente | Informe de auditoría del art. 31 |
Tres precisiones que evitan disgustos.
1. «Acreditada por ENAC» es verificable, y hay que verificarlo. La acreditación se concede bajo la norma UNE-EN ISO/IEC 17065 y el esquema desarrollado por ENAC junto al CCN. El CCN mantiene el listado público de entidades acreditadas y de entidades en proceso de acreditación —dos estados distintos que conviene no confundir cuando alguien te dice «estamos acreditados»—. Antes de firmar nada: busca el nombre exacto de la empresa en ese listado. Es gratis y son dos minutos.
2. Una consultora que te ayuda a implantar no puede después certificarte. No es una opinión mía sobre buenas prácticas: es el principio de imparcialidad que sostiene todo el edificio de la certificación acreditada. Si una misma empresa te ofrece «te lo montamos y te lo certificamos», una de las dos mitades no es lo que dice ser. Es el mismo motivo por el que yo mismo no puedo auditar a quien he asesorado.
3. La auditoría interna del artículo 31 no es un trámite de segunda. En el sector público la ejecutan los Órganos de Auditoría Técnica; en una entidad privada la hace quien tenga competencia técnica e independencia respecto de lo auditado. Es, con diferencia, el mejor dinero que se gasta en este proceso, porque es donde los hallazgos todavía son baratos. Volveré sobre esto.
El ENS no reparte la seguridad «al departamento de informática». Reparte responsabilidades nominales, y el auditor va a pedir ver quién ocupa cada una por escrito. Es una de las primeras cosas que se miran y una de las que más papeletas suspende, porque muchas entidades tienen las funciones repartidas de facto pero sin nombramiento formal.
| Rol | De qué responde | Qué le pide el auditor |
|---|---|---|
| Responsable de la información | Determina el nivel de seguridad de la información en cada dimensión | El acta o documento donde valoró los niveles y con qué criterio |
| Responsable del servicio | Determina el nivel de seguridad de los servicios | Lo mismo, respecto de los servicios prestados |
| Responsable del sistema | Explota el sistema y aplica las medidas | Arquitectura, configuraciones, evidencia de operación |
| Responsable de la seguridad | Vela por el cumplimiento y reporta el estado | El plan de adecuación, el análisis de riesgos, los informes de seguimiento |
A esos cuatro se les suma, en organizaciones de cierto tamaño, un comité de seguridad que coordina y decide, y la política de seguridad de la información aprobada al máximo nivel, que es el documento del que cuelga todo lo demás.
La pregunta que hago yo cuando entro —y no es una pregunta capciosa, es literalmente la primera— es: ¿quién decidió que este sistema es categoría media, y dónde está eso escrito? Si nadie sabe responder, ya sé cómo va a ir el resto del día. No porque la seguridad sea mala: muchas veces es buena. Porque una medida sin responsable identificado no se puede auditar, y lo que no se puede auditar, en una auditoría, no existe.
Las guías del CCN dan el itinerario metodológico —la CCN-STIC 802 es la guía de auditoría del ENS y la CCN-STIC 808 desarrolla la verificación del cumplimiento medida a medida—, pero el recorrido real, visto desde dentro, tiene esta forma:
| Fase | Qué ocurre | Entregable | Duración típica |
|---|---|---|---|
| 1. Alcance y planificación | Se fija qué sistemas entran, qué categoría tienen, qué perfil de cumplimiento aplica y con qué documentación se arranca | Plan de auditoría | 1-2 semanas antes |
| 2. Revisión documental | El auditor lee política, análisis de riesgos, declaración de aplicabilidad, procedimientos, plan de adecuación | Lista de peticiones de evidencia | 3-5 días |
| 3. Trabajo de campo | Entrevistas por rol, revisión técnica de configuraciones, muestreo de registros y de evidencia de operación | Notas y hallazgos preliminares | 2-5 días in situ o remotos |
| 4. Informe | Se dictamina el grado de cumplimiento, se documentan hallazgos y se explicita la metodología, el alcance y los datos en que se basan las conclusiones | Informe de auditoría (art. 31.4) | 1-2 semanas |
| 5. Tratamiento y cierre | Análisis por los responsables del sistema y de la seguridad, plan de acciones correctoras y seguimiento | Plan de acción con responsables y fechas | Semanas o meses |
Las duraciones son órdenes de magnitud de un sistema de tamaño medio, no una tarifa: un ayuntamiento pequeño de categoría básica y una plataforma de categoría alta con seis proveedores no se parecen en nada. Lo que sí se repite siempre es la proporción: la fase que más tiempo consume no es la auditoría, es la 5, y es la que nadie planifica.
Sobre el informe conviene ser preciso, porque el artículo 31.4 es más exigente de lo que la gente espera: no basta con un veredicto. El informe debe dictaminar sobre el grado de cumplimiento, identificar los hallazgos e incluir los criterios metodológicos, el alcance, el objetivo y los datos en que se basan las conclusiones. Un informe de auditoría del ENS que sea una lista de semáforos verdes sin metodología ni trazabilidad de la evidencia no cumple el artículo. Y el artículo 31.7 permite que esos informes sean requeridos tanto por los responsables de la organización como por el CCN.
Aquí es donde se separa la teoría de lo que pasa en la sala. Una medida del anexo II se da por implantada cuando se puede demostrar las tres cosas a la vez: que está definida, que se aplica y que alguien comprueba que se sigue aplicando. Fallar en la tercera es el motivo más común de hallazgo, y el más difícil de digerir para quien ha trabajado bien.
Un ejemplo cualquiera, de los que salen todas las veces. La medida de gestión de accesos:
El patrón se repite medida a medida: copias de seguridad que existen pero cuya restauración no se ha probado nunca; registros de actividad que se generan pero que nadie revisa; formación en seguridad impartida pero sin registro de asistencia ni evaluación. La evidencia de la verificación es el punto ciego estructural del ENS, y es exactamente donde un auditor con oficio va a mirar primero, porque sabe que es donde está.
Dicho al revés, y es el consejo más rentable de todo este artículo: si te queda poco tiempo antes de la auditoría, no inviertas en escribir procedimientos nuevos. Invierte en generar y ordenar la evidencia de que los que ya tienes se aplican y se revisan.
Si quieres hacerte la foto antes de que venga nadie, la Checklist NIS2 que publico en la web (16 dominios, 149 controles) comparte buena parte del terreno con el anexo II del ENS y sirve perfectamente como primer barrido de «esto lo tengo / esto no lo tengo / esto no lo puedo demostrar».
El ENS no impone en su articulado una taxonomía cerrada de hallazgos con la literalidad con que lo hace la ISO 27001; la práctica de auditoría, apoyada en las guías del CCN y en la normalización internacional que el propio artículo 31.3 manda utilizar, converge en estas cuatro categorías:
| Tipo de hallazgo | Qué significa | Qué obliga a hacer |
|---|---|---|
| No conformidad mayor | Una medida exigible por la categoría no está implantada, o el fallo compromete el sistema de gestión en su conjunto | Bloquea la conformidad. Corrección y evidencia antes de emitir certificado |
| No conformidad menor | Un incumplimiento puntual y acotado, que no compromete el conjunto | Plan de acciones correctoras con plazo, verificable en el seguimiento |
| Observación | Cumple, pero con una debilidad que puede degenerar en no conformidad | No bloquea; se registra y se vigila |
| Oportunidad de mejora | Cumple correctamente y existe una forma mejor de hacerlo | Voluntaria |
Dos matices con consecuencias prácticas.
Un hallazgo no es un suspenso, es información. Lo he dicho en cada auditoría que he cerrado y lo mantengo: la auditoría que sale con cero hallazgos y sin una sola observación no suele ser una organización perfecta, suele ser una auditoría superficial. Lo que hay que evitar no son los hallazgos, son las no conformidades mayores, que son las que paran el certificado.
El artículo 31.6 tiene un poder que sorprende. En sistemas de categoría ALTA, el responsable puede acordar la suspensión temporal de la operación hasta que se subsanen las deficiencias. No es una potestad que se ejerza a la ligera, pero explica por qué la categoría alta se audita con otra tensión: ahí un hallazgo grave puede parar un servicio.
Y sobre la palabra que todo el mundo tiene en la cabeza: yo no publico cifras de sanciones del ENS, porque el ENS no es un régimen sancionador con multas tasadas al estilo del RGPD. El coste real de no estar conforme es contractual: quedarte fuera de una licitación, no poder acreditar el requisito en la fase de valoración, o que un cliente público te lo exija a mitad de contrato. Ese es el daño, y llega mucho antes que cualquier expediente.
Este apartado es, a fecha de hoy, el más útil de todos, y es puramente aritmético: el plazo de adecuación al RD 311/2022 venció en mayo de 2024. Quien certificó entonces está entrando ahora, en 2026, en su segundo o tercer ciclo. Y el segundo ciclo cambia de pregunta.
El fallo clásico —y lo he visto en más de una norma, no solo en el ENS— es el sistema de gestión estacional: seis semanas de actividad febril antes de la auditoría y veintidós meses de silencio. Sobrevive a la primera auditoría porque en la primera todo es nuevo. En la segunda salta, porque los registros tienen agujeros con forma de calendario y eso se ve a simple vista al ordenar la evidencia por fecha.
La forma de no llegar ahí no es misteriosa y no requiere un equipo grande: es tener a alguien con el encargo explícito de que el sistema respire entre auditorías —la función que describo en el pilar del CISO externo— y hacer una auditoría interna intermedia de verdad, no una revisión de cortesía.
Es exactamente el método con el que cerré dos ciclos consecutivos de ISO 27001 con cero no conformidades sin contratar consultora: la auditoría interna hecha en serio, con la misma vara con la que después iba a medir el auditor externo, y varios meses antes para que diera tiempo a corregir. Y aquí es donde tengo que ser claro sobre lo que hago y lo que no: yo no emito certificados del ENS —eso corresponde a una entidad acreditada por ENAC—, y precisamente por eso puedo revisar tu evidencia sin tener ningún interés en que el resultado sea bueno.
Si tu organización ya está certificada en ISO 27001, llegas a la auditoría del ENS con una ventaja real y con un riesgo: creerte que ya está.
Lo que te sirve tal cual: el análisis de riesgos, la política de seguridad, la gestión de incidentes, la continuidad, el control de accesos, la gestión de proveedores, la formación y concienciación, y —sobre todo— la cultura de evidencia. Si tienes un SGSI vivo, tienes ya montada la maquinaria de generar y conservar registros, que es la mitad del trabajo.
Lo que no te sirve: lo específicamente español. La valoración en cinco dimensiones, la categorización del sistema, los refuerzos que cada categoría impone sobre medidas concretas del anexo II, y los perfiles de cumplimiento específicos. Nada de eso tiene equivalente en la ISO 27001, y es donde se concentran los hallazgos de las organizaciones que llegan confiadas.
Para no hacer el trabajo dos veces existe una herramienta oficial que casi nadie abre: la CCN-STIC 825, que establece la correspondencia entre la ISO/IEC 27001 y el ENS. Está publicada precisamente para eso. Cómo se articula la certificación completa lo desarrollo en la guía de certificación ISO 27001, y cómo encajan los tres marcos a la vez —ENS, NIS2 e ISO 27001— en la guía de NIS2 para pymes.
Y si tu sistema es de categoría básica y la adecuación estándar se te hace cuesta arriba, antes de dimensionar nada: el perfil de cumplimiento específico de la CCN-STIC 890 reduce a 38 las medidas del anexo II para ese caso. Lo aprueba el CCN, pero desde su actualización de julio de 2025 tiene carácter transitorio y exige asumir el riesgo derivado de usarlo: es una vía de entrada, no un destino. El detalle está en el pilar del ENS.
El artículo 31.1 del RD 311/2022 exige una auditoría regular ordinaria al menos cada dos años, y una extraordinaria siempre que se produzcan modificaciones sustanciales en los sistemas de información. El plazo de dos años puede extenderse tres meses cuando concurran impedimentos de fuerza mayor.
Depende de para qué. Para la certificación de conformidad de un sistema de categoría MEDIA o ALTA, una entidad de certificación acreditada por ENAC bajo UNE-EN ISO/IEC 17065. Para la revisión periódica del artículo 31 en el sector público, los Órganos de Auditoría Técnica. Y para la categoría BÁSICA basta una autoevaluación (art. 38), realizada con independencia suficiente respecto de quien implantó las medidas.
No publico tarifas de terceros porque varían con el alcance, la categoría, el número de sistemas y la entidad certificadora. Lo que sí puedo decir es qué mueve el precio: la categoría, el número de sistemas y sedes dentro del alcance, y cuántos proveedores entran en él. Pide siempre presupuesto sobre un alcance escrito; un precio dado sin alcance definido no significa nada.
No hay una duración fija: depende del alcance, la categoría, el número de sistemas y sedes y la entidad que audite, y no publico cifras de terceros. Lo que sí está fijado es el ritmo: una auditoría ordinaria al menos cada dos años (art. 31.1), y la evidencia tiene que cubrir ese periodo, no solo los días de la visita. Por eso conviene preparar la auditoría con meses de margen.
Se documentan en el informe, se presentan a los responsables del sistema y de la seguridad, y se abre un plan de acciones correctoras con responsables y plazos (art. 31.5). Una no conformidad mayor bloquea la certificación hasta su corrección; una menor se cierra con evidencia en el seguimiento. En sistemas de categoría ALTA, el responsable puede además acordar la suspensión temporal de la operación hasta subsanar (art. 31.6).
Responsable de la información, responsable del servicio, responsable del sistema y responsable de la seguridad, con la política de seguridad aprobada al máximo nivel y, en organizaciones de cierto tamaño, un comité de seguridad. El auditor pide ver los nombramientos formales, no solo quién hace qué en la práctica.
Ayuda mucho y no equivale. Te sirve el análisis de riesgos, la política, la gestión de incidentes, la continuidad, los accesos, los proveedores y la cultura de evidencia. No te cubre lo específicamente español: valoración en cinco dimensiones, categorización y refuerzos por categoría. La correspondencia entre ambos marcos está publicada en la guía CCN-STIC 825.
Sí. El artículo 2.3 del RD 311/2022 alcanza a los sistemas de las entidades del sector privado que, por relación contractual, prestan servicios o proveen soluciones al sector público. No a toda la empresa: solo a los sistemas que sostienen ese servicio. Por eso suele aparecer dentro de un pliego y no por una comunicación previa.
La auditoría del ENS tiene fama de trámite y no lo es; tiene fama de examen y tampoco. Es un ejercicio de trazabilidad: alguien de fuera va a intentar reconstruir, solo con lo que puedas enseñarle, que tu organización decidió qué proteger, eligió cómo, lo hizo y comprobó que seguía haciéndolo. Todo lo demás —el nerviosismo, las carpetas de última hora, los procedimientos escritos en tres días— es ruido alrededor de esa única pregunta.
La buena noticia es que la respuesta se construye durante los dos años que separan una auditoría de la siguiente, no en las dos semanas de antes. Y quien lo entiende deja de temer la auditoría, porque pasa a ser lo que debería haber sido siempre: el día en que alguien ajeno te confirma que el sistema que dices tener existe de verdad.
Si tienes la auditoría encima o la ves venir, agenda una llamada de 30 minutos: en media hora se ve con bastante claridad qué te falta de verdad. Y si prefieres empezar solo, descarga la Checklist NIS2 —16 dominios, 149 controles— y haz el primer barrido de evidencia tú mismo.
Estado normativo verificado a 25 de agosto de 2026. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad; texto consolidado en el BOE (BOE-A-2022-7191). Artículos citados: 2.3 (ámbito, sector privado), 30 (perfiles de cumplimiento específicos), 31 (auditoría de la seguridad: periodicidad, contenido del informe, suspensión en categoría ALTA, requerimiento por el CCN), 38 (procedimientos de determinación de la conformidad), anexo II (medidas de seguridad) y anexo III (auditoría de la seguridad). Guías del Centro Criptológico Nacional: CCN-STIC 801 (responsabilidades y funciones), 802 (guía de auditoría del ENS), 808 (verificación del cumplimiento de las medidas), 809 (declaración y certificación de conformidad), 825 (correspondencia entre ISO/IEC 27001 y el ENS) y 890 (perfil de cumplimiento específico de requisitos fundamentales de seguridad: categoría básica, 38 medidas, para organizaciones con dificultades para abordar la adecuación estándar, con carácter transitorio según la actualización del CCN de 29 de julio de 2025). ENAC como entidad nacional de acreditación de las entidades de certificación del ENS bajo UNE-EN ISO/IEC 17065, con listado público de entidades acreditadas y en proceso de acreditación mantenido por el CCN. La clasificación de hallazgos en cuatro tipos se presenta como práctica de auditoría convergente, no como taxonomía literal del articulado.