La confusión entre auditoría interna y auditoría externa en el contexto del ENS es habitual, y tiene consecuencias prácticas importantes. Una entidad que realiza únicamente auditorías internas creyendo que cumplen los requisitos de la categoría ALTA comete un error que el auditor externo detectará de inmediato. Este artículo clarifica las diferencias, cuándo aplica cada modalidad y cómo sacar el máximo partido a cada una.
El requisito de auditoría en el ENS
El artículo 31 del Real Decreto 311/2022, que aprueba el Esquema Nacional de Seguridad, establece que los sistemas de información sujetos al ENS deben someterse, al menos cada dos años, a una auditoría de seguridad ordinaria que verifique el cumplimiento de los requisitos del Esquema. Para sistemas de categoría ALTA, la norma añade el requisito de que esta auditoría sea realizada por una entidad de inspección acreditada.
Al margen de la auditoría bienal obligatoria, el propio ciclo de mejora continua del ENS (recogido en el artículo 33 sobre la mejora continua del ENS) hace aconsejable realizar auditorías con mayor frecuencia como mecanismo de control interno.
Qué es la auditoría interna del ENS
La auditoría interna ENS es aquella realizada por personal de la propia organización o por un consultor externo contratado sin que este tenga la condición de entidad de inspección acreditada por ENAC. Lo que la define no es quién la realiza físicamente, sino que no produce un informe formal de certificación con valor acreditado ante terceros.
La auditoría interna puede realizarla el propio responsable de seguridad (siempre que no sea el responsable directo de los procesos auditados, para garantizar un mínimo de independencia), un equipo de auditoría interno, o una consultora externa sin acreditación ENAC.
Cuándo es suficiente la auditoría interna
Para sistemas de categoría BÁSICA y MEDIA, la auditoría interna realizada con rigor técnico y documentada adecuadamente es suficiente para cumplir el requisito bienal del artículo 31. Esto no significa que sea un proceso laxo: el auditor debe verificar el cumplimiento de cada uno de los controles aplicables a la categoría del sistema, con evidencias documentales y pruebas técnicas donde corresponda.
La auditoría interna también es la herramienta idónea para las revisiones intermedias entre auditorías formales, para el seguimiento de planes de acción derivados de auditorías anteriores, y como preparación antes de una auditoría externa.
Qué es la auditoría externa del ENS
La auditoría externa ENS es la realizada por una entidad de inspección acreditada por ENAC (Entidad Nacional de Acreditación) conforme a la norma UNE-EN ISO/IEC 17020. Esta acreditación garantiza que la entidad auditora dispone de los procedimientos, la independencia y la competencia técnica necesarios para emitir informes de auditoría con validez formal.
El resultado de una auditoría externa es un informe de conformidad (o de no conformidad, si se detectan incumplimientos sustanciales) que la entidad puede presentar como evidencia de cumplimiento ante organismos reguladores, organismos contratantes o en pliegos de licitación.
Cuándo es obligatoria la auditoría externa
La auditoría por entidad acreditada es obligatoria para sistemas de categoría ALTA. Para BÁSICA y MEDIA, no es formalmente obligatoria, pero muchas entidades optan por realizarla igualmente porque el informe de una entidad acreditada tiene mayor valor probatorio y credibilidad ante terceros que un informe interno.
Diferencias prácticas en coste, duración y alcance
Una auditoría interna ENS para un sistema de categoría MEDIA de tamaño medio tiene un coste de entre 5.000 y 15.000 euros cuando se realiza con apoyo externo, y puede completarse en dos a cuatro semanas. La profundidad del análisis depende de los recursos disponibles y de la experiencia del auditor.
Una auditoría externa con entidad acreditada ENAC para el mismo sistema tiene un coste de entre 15.000 y 40.000 euros, dependiendo de la complejidad del entorno y del número de jornadas necesarias. El proceso incluye una fase documental previa y varias jornadas de trabajo sobre el terreno. El plazo total, incluyendo la revisión del borrador de informe por la entidad auditada y la emisión del informe definitivo, oscila entre cuatro y ocho semanas.
Para categoría ALTA, los costes de auditoría externa se sitúan habitualmente entre 30.000 y 80.000 euros, reflejando la mayor exigencia del alcance y el mayor número de jornadas necesarias para verificar controles más complejos.
Cuándo hacer ambas: la auditoría interna como preparación
La práctica más recomendable para cualquier entidad que se someta a auditoría externa es realizar previamente una auditoría interna con el mismo alcance y criterios. Esta auditoría de preparación tiene varias funciones:
- Identificar y corregir los hallazgos más evidentes antes de que los detecte el auditor externo, reduciendo el riesgo de no conformidades en el informe formal.
- Verificar que la documentación está completa, actualizada y accesible, evitando pérdidas de tiempo durante las jornadas de auditoría externa.
- Familiarizar al equipo con el proceso de auditoría y con las preguntas y pruebas habituales del auditor, reduciendo el estrés operativo durante la auditoría formal.
- Detectar controles no implementados que requieran tiempo de remediación antes de la auditoría externa.
El tiempo óptimo entre la auditoría interna de preparación y la auditoría externa es de entre cuatro y ocho semanas: suficiente para corregir los hallazgos identificados, pero no tanto que el estado del sistema pueda haber cambiado de forma significativa.
Cómo elegir una empresa auditora ENS
El criterio fundamental es la acreditación ENAC bajo la norma ISO/IEC 17020 con alcance específico en auditorías ENS. El directorio de entidades acreditadas de ENAC (disponible en su web) permite verificar este requisito antes de iniciar cualquier proceso de selección.
Más allá de la acreditación, los criterios relevantes son:
- Experiencia en el sector: una auditora con experiencia en el tipo de organización auditada (Administración Local, sanidad, educación, proveedores TI) conoce mejor los riesgos específicos y los controles críticos de ese entorno.
- Equipo técnico: verificar que el equipo auditor incluye perfiles con experiencia técnica real (administración de sistemas, redes, seguridad) y no solo perfiles exclusivamente documentales.
- Independencia: la entidad auditora no debe haber participado en la implantación de los controles que va a auditar. Si la misma empresa hace la consultoría de implementación y la auditoría, existe un conflicto de interés que puede cuestionar la validez del informe.
- Plazo de disponibilidad: dado el crecimiento de la demanda de auditorías ENS, es recomendable contactar con la auditora con al menos tres meses de antelación a la fecha objetivo.
Documentación a preparar antes de la auditoría
Tanto para auditorías internas como externas, la preparación documental es clave para la eficiencia del proceso. Los documentos que el auditor solicitará en los primeros momentos incluyen:
- Política de seguridad de la información aprobada y en vigor.
- Documento de alcance del sistema o sistemas auditados.
- Análisis y evaluación de riesgos actualizado.
- Declaración de aplicabilidad con el estado de cada control.
- Plan de tratamiento de riesgos con seguimiento de acciones.
- Inventario de activos con propietarios asignados.
- Registros de formación y concienciación del personal.
- Informes de auditorías anteriores y estado de sus hallazgos.
- Procedimientos operativos de seguridad clave (gestión de accesos, copias de seguridad, gestión de incidentes).
Hallazgos más frecuentes en las auditorías ENS
La experiencia acumulada en auditorías ENS muestra un patrón recurrente de hallazgos que aparecen con alta frecuencia independientemente del tipo de organización:
- Política de seguridad desactualizada o sin aprobación formal de la dirección.
- Análisis de riesgos que no cubre todos los activos del alcance o que no se ha revisado en el último ejercicio.
- Declaración de aplicabilidad con controles marcados como implementados sin evidencia de ello.
- Gestión de usuarios privilegiados sin revisión periódica formal: cuentas de antiguos empleados activas, privilegios excesivos no justificados.
- Ausencia de procedimiento formal de gestión de incidentes o procedimiento existente pero no conocido por el personal.
- Copias de seguridad sin pruebas de restauración documentadas.
- Gestión de parches sin frecuencia definida o con sistemas críticos sin actualizar.
Conocer estos patrones permite priorizar las revisiones internas hacia los controles con mayor probabilidad de hallazgo y presentarse a la auditoría externa con las brechas más comunes ya corregidas.
¿Necesitas planificar tu próxima auditoría ENS?
Te ayudamos a preparar la documentación, realizar la auditoría interna de preparación e identificar el tipo de auditoría que necesita tu sistema según su categoría.
Cuéntanos tu caso →Respuesta en menos de 24 h. Sin compromiso.