¿Cuánto tiempo dura la auditoría ENS?

La duración de la auditoría varía según la categoría y el tamaño del sistema en alcance. Para categoría Básica en una pyme, la auditoría documental y la visita técnica pueden completarse en 2-3 días hábiles. Para categoría Media en una empresa mediana con varios sistemas en alcance, puede extenderse a 5-8 días hábiles repartidos entre revisión documental y auditoría in situ. La categoría Alta requiere habitualmente entre 2 y 4 semanas de auditoría intensiva.

¿La auditoría ENS se hace de forma remota o presencial?

Ambas modalidades son válidas. La revisión documental siempre puede hacerse en remoto (los auditores acceden a la documentación a través de plataformas compartidas). La auditoría técnica in situ puede hacerse también en remoto mediante acceso controlado a los sistemas, aunque para categorías Media y Alta los auditores suelen preferir o exigir visita presencial para comprobar las instalaciones físicas, el control de accesos y la segregación de redes.

¿Qué documentos hay que tener listos para la auditoría ENS?

La documentación mínima incluye: Política de Seguridad de la Información aprobada por la dirección, Análisis de riesgos actualizado (metodología MAGERIT o compatible), Declaración de Aplicabilidad con los controles del Anexo II del RD 311/2022, Plan de Tratamiento de Riesgos, procedimientos operativos de seguridad (gestión de incidentes, copias de seguridad, control de accesos, gestión de parches), registros de auditoría de los sistemas, plan de continuidad del servicio y documentación de formación del personal.

¿Cuánto cuesta la auditoría externa ENS?

El coste de la auditoría externa varía según la entidad certificadora, la categoría del sistema y el tamaño del alcance. Como referencia orientativa, una auditoría de certificación para ENS Básico en una pyme puede costar entre 3.000 y 6.000 euros; para ENS Medio, entre 6.000 y 15.000 euros; y para ENS Alto, entre 15.000 y 40.000 euros o más, dependiendo de la complejidad. Estos costes son independientes de los honorarios de la consultora de implantación.

¿Con qué frecuencia hay que repetir la auditoría ENS?

El certificado ENS tiene una vigencia de 2 años. Por tanto, la auditoría de renovación debe realizarse antes de la fecha de caducidad del certificado. Adicionalmente, el RD 311/2022 exige que los sistemas con ENS se sometan a auditorías de mantenimiento periódicas (al menos anuales) para verificar que los controles se mantienen en el nivel requerido, aunque estas auditorías internas no sustituyen a la auditoría de certificación bienal.