¿Quién puede auditar el ENS? Certificación, auditoría y pruebas técnicas

Hay una palabra que en el mercado español hace tres trabajos a la vez, y los tres a la vez no caben en el mismo contrato.

Auditoría nombra el procedimiento que termina en un certificado de conformidad con el Esquema Nacional de Seguridad. Nombra también la revisión periódica que el Real Decreto 311/2022 impone en su artículo 31. Y nombra, por costumbre comercial, el trabajo técnico que hay debajo de ambas: el pentesting, el análisis de vulnerabilidades, la revisión de configuraciones y de arquitectura.

Son tres cosas distintas, con tres reglas distintas sobre quién puede hacerlas. Solo una de las tres está reservada a entidades acreditadas. Las otras dos están abiertas a cualquier proveedor competente, y las normas lo dicen con bastante claridad en cuanto se leen en lugar de resumirse.

Escribimos este artículo sabiendo cuál es nuestro interés y diciéndolo primero: Haxoris no está acreditada por ENAC, no es entidad de certificación y no expide certificaciones de conformidad con el ENS. Por eso hemos preferido citar los textos antes que parafrasearlos, y señalar con la misma nitidez los casos en los que hay que llamar a otro y los casos en los que no hace falta.

Las tres actividades que el mercado llama «auditoría»

Una precisión que ahorra muchas discusiones de pliego: el artículo 31 y el artículo 38 del RD 311/2022 no regulan el mismo trámite. El 31 regula la auditoría de la seguridad. El 38 regula cómo se declara o se certifica la conformidad. No son la misma figura, no producen el mismo documento y no exigen lo mismo de quien los ejecuta. Casi todos los errores de compra que vemos empiezan por tratarlos como si fueran uno solo.

Antes de nada: ¿te aplica el ENS?

El Esquema Nacional de Seguridad rige para el sector público. Pero alcanza también a empresas privadas, y el artículo 2.3 del RD 311/2022 es más estrecho de lo que suele contarse. Se aplica a las entidades del sector privado

«cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas».

Tres consecuencias prácticas.

Vender a una administración no te mete automáticamente en el ENS. El texto exige que el servicio o la solución sirva al ejercicio de competencias y potestades administrativas. Suministrar material de oficina a un ayuntamiento no es lo mismo que operar su sede electrónica.

El vehículo es el pliego. Los requisitos de conformidad con el ENS se incorporan a los pliegos de la licitación. Ahí es donde se concreta qué categoría, qué documento y qué plazo se te exigen, y ahí es donde conviene leer antes de presupuestar.

La cadena de suministro no hereda la obligación en bloque. El arrastre a subcontratistas se produce en la medida en que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos, no por el hecho de figurar en la cadena. Si te han trasladado un requisito de conformidad, pregunta de qué análisis de riesgos sale.

Si tu duda es la contraria —si puedes contratar a un proveedor no español para este trabajo— la respondemos por separado en contratar una empresa de pentesting no española.

La categoría decide el camino, y la categoría no la eliges tú

Los artículos 40 y 41 y el Anexo I del RD 311/2022 fijan cómo se categoriza un sistema. Se valora el impacto de un incidente sobre cinco dimensiones —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad—, cada una en un nivel BAJO, MEDIO o ALTO, y del conjunto sale la categoría del sistema: BÁSICA, MEDIA o ALTA. La valoración se revisa periódicamente y siempre que haya cambios significativos.

De ahí cuelga todo lo demás, porque el artículo 38.1 reparte los caminos por categoría: los sistemas de categoría MEDIA o ALTA

«precisarán de una auditoría para la certificación de su conformidad»,

mientras que los de categoría BÁSICA

«solo requerirán de una autoevaluación para su declaración de la conformidad»,

sin perjuicio de que puedan certificarse voluntariamente si así lo deciden. El artículo 38.2 añade la parte que muchas entidades descubren tarde: la declaración o la certificación de conformidad se publica en la sede electrónica o en el sitio web de la entidad. Es un documento destinado a verse.

Quién puede expedir el certificado: ITS de Conformidad, punto VI.1

Aquí está la única puerta cerrada de las tres, y merece cita literal en lugar de resumen. La Instrucción Técnica de Seguridad de Conformidad con el Esquema Nacional de Seguridad, aprobada por Resolución de 13 de octubre de 2016 (BOE-A-2016-10109), dispone en su punto VI.1 que las entidades certificadoras

«deberán estar acreditadas por la Entidad Nacional de Acreditación (ENAC)… conforme a la norma UNE-EN ISO/IEC 17065:2012».

Es una reserva de actividad en toda regla: la certificación de conformidad es una actividad de evaluación de la conformidad y la ejecuta un organismo acreditado para ello. Ningún proveedor técnico, por competente que sea, puede firmar ese documento si no tiene esa acreditación.

El punto VI.4 contempla una excepción tasada para el sector público: determinadas entidades públicas cuya norma de creación les atribuya competencia de auditoría de sistemas de información pueden actuar, siempre que

«quede garantizada la debida imparcialidad».

Dos lecturas que conviene no forzar.

La primera: la acreditación se predica de quien certifica, no de quien testea. El punto VI.1 habla de entidades certificadoras. No dice nada sobre quién ejecuta las pruebas técnicas que se documentan por debajo, ni sobre quién realiza la auditoría del artículo 31.

La segunda: el esquema de conformidad del ENS es específico de España y la ITS nombra a ENAC como entidad de acreditación. No es una puerta que se abra desde fuera, y no pretendemos abrirla. Lo decimos aquí para que nadie tenga que deducirlo del silencio.

La auditoría del artículo 31: dos años, y ninguna acreditación

El artículo 31 del RD 311/2022 es la obligación con la que de verdad convive una entidad sujeta al ENS, y su régimen es más exigente de lo que se suele suponer en el calendario y menos exigente de lo que se suele suponer en el proveedor.

El calendario

La auditoría es regular ordinaria, al menos cada dos años. Además, procede una auditoría extraordinaria siempre que se produzca una modificación sustancial del sistema que pueda repercutir en las medidas de seguridad requeridas, y esa auditoría extraordinaria reinicia el cómputo de los dos años. El plazo admite una única prórroga de tres meses, y solo por causa de fuerza mayor no imputable a la entidad.

Hay dos consecuencias que casi nunca aparecen en un plan de compras. La primera es que una migración a otra plataforma, un cambio de proveedor de alojamiento o el despliegue de una aplicación nueva pueden adelantarte la auditoría y, de paso, moverte todo el ciclo. La segunda es que el informe no se queda en casa: en los sistemas de categoría ALTA, si el informe revela deficiencias graves, puede acordarse la suspensión del tratamiento de la información o de la prestación del servicio. Y los informes de auditoría pueden ser requeridos tanto por los responsables de seguridad de la entidad como por el Centro Criptológico Nacional.

El requisito sobre quien audita, literal

Y ahora la frase que cambia el presupuesto. El artículo 31.3 se limita a exigir que la auditoría se atenga a

«criterios, métodos de trabajo y de conducta generalmente reconocidos».

Eso es todo. No menciona acreditación. No menciona registro. No menciona licencia, habilitación ni establecimiento en España. La palabra «acreditada» existe en el ordenamiento del ENS —la ITS de Conformidad la emplea para las entidades certificadoras—, pero el artículo 31.3 no la usa.

El propio decreto dedica además su Anexo III a la auditoría de la seguridad, y la ITS de Auditoría de la Seguridad de los Sistemas de Información, aprobada por Resolución de 27 de marzo de 2018 (BOE-A-2018-4573), desarrolla cómo se conduce. Ambas instrucciones técnicas siguen publicadas en el BOE sin nota de derogación.

Dicho de otro modo: para la auditoría del artículo 31, la pregunta útil no es «¿estás acreditado?», porque la norma no la hace. La pregunta útil es «¿con qué criterios y con qué método?», y esa sí tiene respuesta verificable antes de firmar.

La regla que descalifica a tu implantador: ITS de Auditoría, punto IV.2

Si solo te llevas un párrafo de este artículo, que sea este.

La ITS de Auditoría establece en su punto IV.2 que el trabajo de auditoría

«no incluirá en ningún caso la ejecución de acciones que puedan ser consideradas actividades de consultoría o similares»,

y enumera expresamente entre ellas la «implantación o modificación de aplicaciones», la «redacción de documentos requeridos por el ENS» y las «recomendaciones particulares sobre productos o soluciones concretas».

Léelo dos veces, porque la consecuencia es económica.

La empresa que implantó tu ENS no puede auditarlo. No es una interpretación agresiva del texto: es lo que queda cuando se resta. Si a tu implantador le quitas del alcance todo lo que implantó, todo lo que redactó y todo lo que te recomendó comprar, lo que puede auditar no es tu sistema, sino la parte de tu sistema que no tocó. Y ese informe no es el que necesitas.

Conviene decir también hasta dónde llega el punto IV.2, porque el rigor es lo que hace útil el argumento. La ITS no dice «cambia de proveedor»: dice qué no puede contener el trabajo de auditoría. Una organización grande puede separar equipos, alcances y contratos. Pero la separación tiene que ser real y demostrable ante quien lea el informe, y en la práctica el camino corto es contratar la auditoría a alguien que no tenga nada que perder en las conclusiones.

Este punto descalifica con mucha más frecuencia al proveedor incumbente que al recién llegado. Es, probablemente, la razón menos comentada por la que una segunda opinión externa vale lo que cuesta.

Cómo se ve esto en un pliego

Tres señales de que un pliego está mezclando papeles, y qué preguntar en cada caso.

1. El pliego pide «auditoría ENS y adecuación al ENS» en un solo lote.

Pregunta cómo se separan las dos prestaciones y quién firma cada entregable. Si acaban en el mismo equipo y al mismo tiempo, el punto IV.2 queda comprometido antes de empezar.

2. El pliego exige acreditación ENAC para la auditoría del artículo 31.

Puede ser una exigencia legítima del órgano de contratación, que es libre de elevar el listón. Pero no viene del artículo 31.3, y merece la pena saberlo antes de descartarse: a veces la línea se ha copiado de otro pliego donde sí se compraba una certificación.

3. El pliego llama «auditoría» a un pentest, o al revés.

Son cosas distintas con entregables distintos. Aclarar cuál de las tres actividades se está comprando evita que recibas un informe técnico donde esperabas un informe de auditoría, o un informe de auditoría sin una sola prueba de explotación detrás.

Las pruebas técnicas: la capa sin puerta

Debajo de la auditoría está el trabajo que produce la evidencia. Aquí el ENS no impone ninguna condición sobre quién lo ejecuta.

El pentesting aparece en el RD 311/2022 exactamente en dos sitios, y los dos están en el Anexo II.

El primero es op.mon.3, refuerzo R6, en su apartado op.mon.3.r6.3, titulado «Pruebas de penetración». Se aplica en categoría ALTA, de forma periódica y también tras incidentes que revelen vulnerabilidades nuevas o infravaloradas. El decreto no fija una frecuencia, lo que significa que el calendario lo justificas tú a partir de tu análisis de riesgos y no de una cifra copiada de un blog.

El segundo es op.nub.1.2 a), «Auditoría de pruebas de penetración (pentesting)». Es un requisito sobre servicios de terceros en la nube que no acreditan conformidad con el ENS, y se aplica desde categoría BÁSICA. Es decir: puedes tener un sistema de categoría BÁSICA sin obligación de pentesting propio y, aun así, tener que exigir pruebas de penetración a tu proveedor cloud.

Desarrollamos el mapa completo de qué exige y qué no exige el decreto en qué exige realmente el ENS sobre pentesting, incluida la medida que se cita con frecuencia y que no dice lo que se le atribuye.

Sobre quién ejecuta esas pruebas, el decreto guarda silencio, y ese silencio contrasta con la precisión de la ITS de Conformidad, que sí nombra a ENAC allí donde el ENS quiere reservar una actividad. Tampoco hay una reserva legal fuera del ENS: la Ley 5/2014 de Seguridad Privada contempló en su artículo 11.4 anotar los datos de las empresas que realicen actividades de seguridad informática «de acuerdo con lo que reglamentariamente se determine», y ese reglamento nunca se dictó. No existe hoy un registro español de empresas de seguridad informática ni una autorización que haya que obtener para hacer pentesting.

Lo que sí es imprescindible es la autorización escrita del cliente, porque los tipos penales de los artículos 197 bis, 197 ter, 264 y 264 bis del Código Penal giran sobre el «sin estar debidamente autorizado». Esa es la pieza que hace lícito el trabajo, y no tiene nada que ver con la nacionalidad de quien lo hace.

Si estás decidiendo qué comprar exactamente en esta capa, la diferencia entre una cosa y otra está explicada en análisis de vulnerabilidades o pentest, y nuestras metodologías están publicadas página a página en metodologías de testing precisamente para que puedas compararlas.

Dos comparaciones que se cuelan en la conversación

La ISO/IEC 27001

La confusión se repite porque también se llama auditoría. La certificación conforme a la ISO/IEC 27001 la expide un organismo de certificación acreditado, no un proveedor de servicios técnicos, y evalúa tu sistema de gestión de la seguridad de la información: cómo identificas vulnerabilidades técnicas, cómo pruebas antes de pasar a producción, cómo tratas los hallazgos y cómo verificas las correcciones. Lo que se valora es la trazabilidad del proceso.

Un pentesting dentro de un programa ISO 27001 se juzga, por tanto, por el informe y por el seguimiento de la remediación. Nosotros aportamos esa evidencia; el certificado lo expide otro.

El RGPD

El artículo 32.1.d) del RGPD exige

«un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento».

Conviene subrayar lo que no dice: no nombra el pentesting, no fija una periodicidad y no impone un perfil de proveedor. Lo que sí impone es el marco contractual del encargo de tratamiento del artículo 28 y el control de los datos que se manejan durante el trabajo, que es una exigencia sobre cómo trabaja el proveedor, no sobre su estatuto administrativo.

Dónde encaja legítimamente un proveedor externo no acreditado

Puesto el mapa, la respuesta comercial se vuelve sencilla y no necesita adornos.

El papel que ocupamos es el de la tercera fila, y a veces el de la cuarta. Ejecutamos las pruebas —test de intrusión, análisis de vulnerabilidades, auditoría de ciberseguridad y, cuando el alcance lo pide, un ejercicio de Red Team—, entregamos un informe con hallazgos reproducibles y ese informe entra como evidencia en el expediente que leerá quien audite y, después, quien certifique.

Y hay una ventaja estructural en comprarle esta capa a alguien que no te ha vendido la implantación: no tenemos nada que defender en tus conclusiones. No redactamos los documentos del ENS que luego habría que auditar, no revendemos producto y no cobramos por la corrección de lo que encontramos. Esa distancia no es una virtud moral, es la condición que el punto IV.2 protege.

Cinco preguntas antes de firmar

1. ¿Cuál de las tres cosas estás comprando?

Certificación, auditoría del artículo 31 o pruebas técnicas. Escríbelo en el objeto del contrato con esas palabras. La mitad de los malentendidos mueren aquí.

2. Si es la certificación: ¿la entidad está acreditada, y con qué alcance?

Pide el documento de acreditación y su alcance, no una afirmación en una propuesta. Es un dato público y comprobable.

3. Si es la auditoría del artículo 31: ¿qué ha hecho antes ese proveedor en tu sistema?

Haz la pregunta por escrito y guarda la respuesta. Si ha implantado, configurado, redactado documentación o recomendado producto, el punto IV.2 ya está encima de la mesa.

4. ¿Qué metodología se aplica, con nombre?

No «un enfoque contrastado», sino referencias identificables: OWASP WSTG para web, OWASP MASTG para móvil, PTES para la conducción del trabajo. Una metodología con nombre se puede comparar entre ofertas; una adjetivada, no.

5. ¿Entra en el precio la verificación de las correcciones, y dónde se quedan las evidencias?

Sin ese retest tienes un problema documentado, no una corrección documentada, y es la segunda la que te pedirán. Sobre las evidencias: dónde se guardan, cuánto tiempo, con qué procedimiento de borrado, con qué subencargados nombrados y bajo qué contrato de encargo de tratamiento. Para un proveedor establecido en la Unión Europea no hay transferencia internacional del capítulo V del RGPD, pero eso se demuestra con el contrato, no con una frase.

Hemos desarrollado esta rejilla, pregunta a pregunta, en cómo elegir una empresa de pentesting.

La posición de Haxoris, sin rodeos

• No estamos acreditados por ENAC. No somos entidad de certificación, no expedimos certificaciones ni distintivos de conformidad con el ENS y no participamos en licitaciones que exijan esa condición.
• No firmamos como entidad certificadora ninguna declaración de conformidad. Si lo que te piden es el certificado, te lo diremos en la primera llamada y no en la tercera reunión de alcance.
• Sí ejecutamos la capa técnica, y entregamos un informe pensado para que lo lea alguien que audita: alcance delimitado, hallazgos reproducibles, prueba de explotación detrás de cada uno y remediación concreta.
• No implantamos lo que después testeamos. Es lo que nos mantiene del lado correcto del punto IV.2 de la ITS de Auditoría, y es también la razón por la que nuestro informe sirve de evidencia a quien audite.
• Somos un proveedor establecido en la Unión Europea: tus informes y las evidencias del trabajo permanecen en la UE, el RGPD se aplica directamente y los subencargados van nombrados en el contrato. Tenemos oficinas en Bratislava y Praga.

Preguntas frecuentes

¿Sigues sin tener claro cuál de las tres actividades te está pidiendo tu pliego? Cuéntanos el alcance y de dónde sale la exigencia: te respondemos por escrito en 24 horas, también cuando la respuesta sea que tienes que dirigirte a una entidad acreditada. Solicita tu presupuesto o empieza por nuestra página de auditoría de ciberseguridad.

Nuestros servicios relacionados: auditoría de ciberseguridad de tu entorno tecnológico · pentesting y tests de intrusión de tus aplicaciones e infraestructuras · análisis de vulnerabilidades de tus sistemas y aplicaciones · pentesting para preparar tu certificación ISO 27001