Normas y esquemas que auditamos

Sobre los marcos que no son certificables

Dos de la lista merecen una precisión, porque circula oferta comercial que promete lo que no existe.

NIS2 es una directiva europea, no una norma certificable. No hay certificado NIS2 ni entidad acreditada que pueda emitirlo. Lo que sí puede hacerse, y es lo que auditamos, es verificar que las medidas exigidas por el artículo 21 están implantadas y documentadas, apoyándose en marcos auditables como ISO/IEC 27001 o el Esquema Nacional de Seguridad.

El Esquema Nacional de Seguridad sí tiene certificación, pero la emite una entidad de certificación acreditada por ENAC, no nosotros. Lo que hacemos es gestionar esa certificación ante la entidad, auditar el cumplimiento de las medidas del Anexo II y preparar la evidencia.

A esta lista se han incorporado los marcos de la línea de certificación de sistemas de gestión IT: ISO/IEC 27017 e ISO/IEC 27018, que se certifican como extensión de un sistema ya certificado en ISO/IEC 27001, y el Reglamento (UE) 2024/2847 de ciberresiliencia, que no es una norma de sistema de gestión sino un régimen de evaluación de conformidad de productos con elementos digitales.

Auditoría de sistemas integrados

Cuando la organización tiene dos o más sistemas certificados, la auditoría se planifica como una sola. Los requisitos comunes a todas las normas con estructura armonizada, contexto, liderazgo, planificación, apoyo, evaluación del desempeño y mejora, se auditan una vez, y el informe distingue después qué hallazgo afecta a qué norma.

Ahorra tiempo de la organización y, sobre todo, evita el efecto más común de auditar por separado: tres informes que dicen cosas distintas sobre el mismo proceso.