Serie CCN-STIC 800: qué cambia en tu próxima auditoría ENS
El Centro Criptológico Nacional ha actualizado cuatro guías de la serie 800 que forman parte del conjunto documental de las auditorías del ENS. Llegan en plena temporada de certificaciones y renovaciones, y conviene revisarlas antes de sentarse con el auditor.
Qué ha publicado el CCN
El 2 de junio de 2026 el CCN actualizó cuatro guías de la serie 800, la que desarrolla el Esquema Nacional de Seguridad (RD 311/2022) y que la disposición adicional segunda del propio real decreto incorpora al conjunto documental utilizado en las auditorías:
- CCN-STIC 802 · Guía de auditorías de cumplimiento. Incorpora un anexo para auditar conforme al Perfil de Cumplimiento de Requisitos Fundamentales de Seguridad a través de Gobernanza.
- CCN-STIC 808 · Verificación del cumplimiento del ENS. Actualiza las medidas relativas a las auditorías anuales de cumplimiento.
- CCN-STIC 809 · Declaración, certificación y aprobación provisional de conformidad. Concluido el periodo transitorio entre el RD 3/2010 y el RD 311/2022, suprime los distintivos del régimen anterior y actualiza los modelos de declaración y de certificación de conformidad.
- CCN-STIC 825 · ENS y certificaciones 27001. Recoge las medidas compatibles entre el ENS e ISO/IEC 27001:2022, ahora en español y en inglés, e incorpora la no obligatoriedad de la auditoría interna anual según la nota del propio CCN.
Impacto práctico en la auditoría
Perfil de requisitos fundamentales
El nuevo anexo de la 802 da a auditores y auditados un criterio común para el perfil de requisitos fundamentales. En paralelo, la plataforma Gobernanza INÉS permite migrar los sistemas obsoletos a este perfil (PCE-RFS), por lo que las entidades públicas deberían revisar qué sistemas encajan en él antes de planificar su auditoría.
Distintivos y documentación de conformidad
Si tu organización sigue mostrando distintivos o modelos del RD 3/2010 en su web, en ofertas o en pliegos, es el momento de sustituirlos. La 809 deja claro qué modelos son válidos con el RD 311/2022.
🔗 CONVERGENCIA ENS – ISO/IEC 27001:2022
La 825 facilita a quien ya tiene un SGSI certificado aprovechar evidencias para el ENS, y al revés. No sustituye a ninguna de las dos auditorías: ayuda a no duplicar trabajo y a justificar la correspondencia de controles ante el auditor.
Lo que veo en auditoría
Como auditor jefe, las desviaciones más repetidas no están en las medidas técnicas, sino en la coherencia entre la declaración de aplicabilidad, el análisis de riesgos y las evidencias. Con estas guías actualizadas, el auditor tiene menos margen de interpretación y tú también: lo que no esté alineado se verá antes.
Qué hacer ahora
- Descarga las versiones vigentes de las guías 802, 808, 809 y 825 desde el portal del CCN-CERT y sustituye las anteriores en tu repositorio documental.
- Revisa tu declaración de aplicabilidad y el alcance del sistema a la luz del perfil de requisitos fundamentales, si te aplica.
- Retira distintivos y modelos del RD 3/2010 de tu web, ofertas y documentación comercial.
- Si tienes ISO/IEC 27001:2022, usa la 825 para cruzar controles y evidencias antes de la auditoría.
- Planifica la auditoría con tu entidad de certificación con margen: noviembre y diciembre son meses de alta demanda.
Si necesitas una revisión previa de tu documentación frente a estas guías, en amio.es te ayudamos a prepararla.
Referencias
- CCN-CERT · Actualización de las guías CCN-STIC 802, 808, 809 y 825 (02/06/2026)
- Red Seguridad · El CCN renueva Gobernanza INÉS (29/10/2026)
Héctor Traspuesto · Auditor Jefe ENS / ISO 27001