La actualización de la guía CCN-STIC 122, publicada en marzo de 2026 por el Centro Criptológico Nacional (CCN), establece un marco más detallado para el reconocimiento de los Órganos de Auditoría Técnica (OAT) del sector público. La competencia profesional, la ausencia de conflictos de interés y la posibilidad de incorporar auditores externos especializados adquieren una especial relevancia.
La seguridad de los sistemas de información de las Administraciones Públicas no depende únicamente de disponer de herramientas tecnológicas avanzadas. También exige mecanismos de evaluación capaces de comprobar, con objetividad y rigor, que las medidas implantadas cumplen las obligaciones establecidas por el Esquema Nacional de Seguridad (ENS).
En este escenario, la auditoría se convierte en una herramienta esencial para detectar vulnerabilidades, identificar incumplimientos y reforzar la confianza en los servicios públicos digitales.
¿Qué establece la nueva guía CCN-STIC 122?
La versión de marzo de 2026 de la guía CCN-STIC 122 desarrolla el procedimiento mediante el cual el Centro Criptológico Nacional reconoce la capacidad de los Órganos de Auditoría Técnica de las Administraciones Públicas para realizar auditorías de conformidad con el ENS.
El reconocimiento se apoya en dos condiciones fundamentales: disponer de los conocimientos y recursos necesarios para ejecutar las auditorías y garantizar una independencia real respecto de los sistemas evaluados.
Esto significa que no basta con contar con personal cualificado. También deben existir mecanismos que eviten interferencias, incompatibilidades o situaciones en las que un profesional termine evaluando decisiones técnicas en las que participó anteriormente.
La guía contempla, además, la incorporación de profesionales externos a los equipos de auditoría, siempre que acrediten las competencias exigidas y cumplan los requisitos de imparcialidad y confidencialidad.
Auditores externos del ENS: una oportunidad para las Administraciones Públicas
Las Administraciones gestionan entornos tecnológicos cada vez más complejos, en los que conviven servicios en la nube, infraestructuras críticas, plataformas de administración electrónica y soluciones basadas en inteligencia artificial.
Evaluar adecuadamente estos sistemas requiere conocimientos especializados que no siempre están disponibles dentro de una misma organización.
La participación de auditores externos permite complementar los recursos propios de los OAT, incorporar experiencia en áreas técnicas específicas y reforzar la objetividad de determinadas evaluaciones.
No obstante, la contratación de especialistas externos no elimina las responsabilidades del órgano auditor. El OAT debe supervisar los trabajos, verificar la competencia de los profesionales participantes y mantener el control del procedimiento conforme a los requisitos aplicables.
Asimismo, la guía establece restricciones para evitar que quienes hayan intervenido en la implantación de los requisitos del ENS durante los dos años anteriores participen en la auditoría del mismo sistema.
Legal & Digital Auditors: experiencia especializada en auditoría externa del ENS
En Legal & Digital Auditors ofrecemos servicios de auditoría informática, ciberseguridad y evaluación del cumplimiento normativo, con especial atención a los requisitos establecidos por el Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad.
Nuestra actividad está dirigida por Luis Vilanova Blanco, auditor CISA por ISACA, auditor ENS formado por AENOR y especialista en sistemas de gestión de seguridad de la información, con una trayectoria que supera las 500 auditorías de sistemas de información y cumplimiento normativo.
Esta experiencia nos permite abordar evaluaciones que requieren combinar conocimientos técnicos, jurídicos y organizativos.
Nuestros servicios comprenden:
- Auditorías externas del ENS, con revisión de las medidas de seguridad aplicables y análisis de las evidencias de cumplimiento.
- Auditorías de seguridad de la información, incluyendo los estándares ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27701.
- Evaluaciones de controles de ciberseguridad, gestión de accesos, protección de datos, trazabilidad, continuidad y respuesta ante incidentes.
- Análisis de sistemas que utilizan inteligencia artificial, considerando el Reglamento Europeo de IA y la norma ISO/IEC 42001.
- Identificación de no conformidades y evaluación de riesgos, mediante conclusiones respaldadas por evidencias verificables.
Nuestra experiencia en el ámbito pericial judicial aporta, además, un enfoque especialmente riguroso en el tratamiento de las pruebas y la fundamentación de los resultados.
Una auditoría eficaz debe ir más allá de la documentación
Uno de los principales riesgos de cualquier proceso de evaluación es confundir el cumplimiento documental con la seguridad real.
Disponer de políticas, procedimientos y registros no garantiza, por sí solo, que los controles funcionen correctamente.
Por ello, nuestra metodología combina el análisis documental con comprobaciones técnicas proporcionadas al alcance de cada auditoría, buscando verificar la aplicación efectiva de las medidas de seguridad.
Este planteamiento permite ofrecer a las organizaciones una visión más precisa de sus riesgos y de las mejoras necesarias.
En todo caso, debe diferenciarse la prestación de servicios de auditoría externa de la emisión de certificados oficiales de conformidad, reservada a las entidades u órganos habilitados para ello.
Independencia y rigor: las claves de una auditoría ENS fiable
La evolución del marco de auditoría del ENS confirma la importancia de contar con evaluaciones transparentes, técnicamente solventes y libres de conflictos de interés.
La colaboración entre Administraciones Públicas y profesionales externos especializados puede contribuir a mejorar la calidad de estas evaluaciones y fortalecer la protección de los sistemas de información.
Porque una auditoría aporta verdadero valor cuando sus conclusiones responden exclusivamente a las evidencias obtenidas, incluso cuando revelan deficiencias que resulta incómodo reconocer.
En Legal & Digital Auditors ayudamos a las organizaciones públicas y privadas a evaluar su cumplimiento del ENS mediante auditorías externas independientes y servicios especializados de apoyo técnico a los Órganos de Auditoría Técnica.
Contáctanos en info@legalauditors.es
