Modelos y registros · ENS
Informe de auditoría del ENS: contenido y ejemplo
El informe que, al menos cada dos años, dictamina el grado de cumplimiento del ENS en un sistema de categoría media o alta y abre el plan de corrección.
En una frase
El informe de auditoría del ENS dictamina el grado de cumplimiento del Real Decreto 311/2022, identifica los hallazgos de cumplimiento e incumplimiento e incluye la metodología, el alcance, el objetivo y los datos en que se basan las conclusiones; el artículo 31 exige auditar al menos cada dos años y presentar el informe al responsable del sistema y al de la seguridad.
- Tipo de información
- Registro obligatorio Art. 31 y Anexo III del Real Decreto 311/2022
- Quién lo rellena
- Entidad auditora Para la certificación, una entidad que cumpla los requisitos de la Instrucción Técnica de Seguridad de conformidad
- Cuándo
- Al menos cada dos años Y tras modificaciones sustanciales del sistema
- Cuánto se conserva
- Todos los ciclos Los responsables de seguridad y el CCN pueden requerir los informes (art. 31.7); conservar los anteriores permite demostrar la evolución
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
Los sistemas se auditan de forma ordinaria al menos cada dos años y de forma extraordinaria tras modificaciones sustanciales, que reinician el cómputo. El plazo de dos años solo puede ampliarse tres meses por causa de fuerza mayor.
El informe debe dictaminar el grado de cumplimiento, identificar hallazgos e incluir criterios metodológicos, alcance, objetivo y los datos, hechos y observaciones que sustentan las conclusiones. Se presenta al responsable del sistema y al de la seguridad; este analiza las conclusiones y las traslada al primero para que adopte las medidas correctoras.
En categoría media y alta, la auditoría de certificación puede coincidir con la ordinaria. En categoría alta, ante deficiencias graves, el responsable del sistema puede suspender temporalmente el servicio.
Estructura
Campos que debe tener el modelo
- Sistema, categoría y alcance auditado
- Objetivo y tipo de auditoría: ordinaria, extraordinaria, de certificación
- Criterios y metodología
- Equipo auditor y fechas
- Dictamen sobre el grado de cumplimiento
- Hallazgos de cumplimiento e incumplimiento por medida
- Datos, hechos y observaciones que los sustentan
- Análisis del responsable de la seguridad y medidas correctoras con plazo
Ejemplo
Ejemplo: auditoría de recertificación en categoría media
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Sistema | Plataforma de cita previa (ficticia) · categoría media |
| Tipo | Ordinaria y de certificación · 14 a 16 de septiembre de 2026 |
| Dictamen | Conforme con no conformidades menores |
| Hallazgo 1 | op.acc: dos cuentas de exempleados activas en la consola de administración · no conformidad menor |
| Hallazgo 2 | org.3: el procedimiento de copias no refleja la nueva región de respaldo · no conformidad menor |
| Observación | Buena práctica en la gestión de incidentes y su notificación |
| Medidas correctoras | Revisión de accesos y actualización del procedimiento · responsable del sistema · 31 de octubre |
En la auditoría
Errores que suelen señalar los auditores
- Auditoría fuera de plazo tras un cambio sustancial que no se consideró como tal.
- Hallazgos sin plan de corrección ni responsable.
- No consta el análisis del responsable de la seguridad.
- Las no conformidades de una auditoría reaparecen en la siguiente.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La evidencia de cada medida de seguridad se organiza en el gestor documental.
- 2Los hallazgos de auditoría se registran como no conformidades con su plan de acción.
- 3La declaración o el certificado de conformidad se conservan como documento controlado.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Qué es una modificación sustancial?
La que afecta a la categoría, al alcance o a las medidas de forma relevante: un nuevo servicio, un cambio de alojamiento, una nueva interconexión. El real decreto exige auditoría extraordinaria tras ellas; conviene dejar razonada la decisión de si un cambio lo es o no.
¿El informe de auditoría interna vale para certificar?
No. Para obtener la certificación de conformidad hace falta una entidad de certificación que cumpla los requisitos de la Instrucción Técnica de Seguridad. La auditoría interna prepara, pero no sustituye.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Auditoría y certificación de conformidad
Los sistemas de categoría media y alta requieren una auditoría periódica que verifique el cumplimiento del…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes