¿Qué es una auditoría de ciberseguridad?
Es un proceso sistemático, independiente y documentado que reúne evidencias objetivas para ver en qué medida cumples un criterio: tu política, una norma o un contrato. Así la define el Esquema Nacional de Seguridad, que añade que el informe tiene que dictaminar el grado de cumplimiento y señalar cada hallazgo.
Lo que la distingue de una revisión informal es la prueba. El anexo III del Real Decreto 311/2022 dice que la auditoría «se basará en la existencia de evidencias»: procedimientos documentados, el registro de incidentes, el conocimiento y la práctica del personal y los productos certificados. Lo que no está escrito y fechado no cuenta como evidencia.
El informe, según el artículo 31.4 del mismo real decreto, recoge los criterios de auditoría usados, el alcance, el objetivo y los datos, hechos y observaciones en que se basan las conclusiones. Si un auditor no te explica antes con qué criterio te va a medir, pídeselo por escrito.
¿Qué tipos de auditoría de ciberseguridad hay y quién te la pide?
Cinco, según quién la pida: la interna, que haces tú para prepararte; la de un cliente, que la pide por contrato; la de certificación, para la ISO 27001 o el ENS de categoría media y alta; la de una autoridad, que prevé la NIS2; y la técnica, que prueba tus sistemas.
| Tipo | Quién la pide | Quién la hace | Qué entrega |
|---|---|---|---|
| Interna | Tú, para prepararte | Alguien de tu empresa o de confianza | Una lista de huecos y un plan |
| De cliente | Un cliente, por contrato; si tratas datos personales por su cuenta, el RGPD exige que el contrato se lo permita | El cliente o un auditor que él autorice | Hallazgos y plazos para corregirlos |
| De certificación | Tú, para certificarte en la ISO 27001 o en el ENS de categoría media o alta | Una entidad de certificación | El informe y, si lo superas, el certificado |
| De una autoridad | La autoridad competente de la NIS2, a las entidades que cubre | Un organismo independiente o la propia autoridad | Resultados que se ponen a disposición de la autoridad |
| Técnica | Tú o tu cliente | Un especialista | Fallos técnicos con su gravedad |
La que te puede llegar sin buscarla es la de un cliente. El artículo 28.3.h del RGPD exige que el contrato obligue a quien trata datos por cuenta de otro a permitir y facilitar sus auditorías, «incluidas inspecciones». En el estudio NIS Investments 2025 de ENISA, el 54 % de las organizaciones de los sectores críticos encuestadas evalúa o audita el riesgo de sus proveedores.
Las auditorías de una autoridad que prevé la directiva NIS2 dependen de la ley española que la traspone, que a octubre de 2026 no está en el BOE: lo cuenta el estado de la NIS2 en España. Si te piden una auditoría ISO, mira primero me piden la ISO 27001 y no la tengo.
¿Qué revisa un auditor de ciberseguridad?
Que tu política define responsables y funciones, que los has nombrado, que hay un análisis de riesgos revisado cada año, que aplicas las medidas que te corresponden y que la dirección aprueba el sistema. Es la lista del anexo III del ENS. Otra auditoría cambia el criterio, no el método: política, riesgos, controles y pruebas.
Organización
- La política de seguridad define los responsables del sistema, de la información, de los servicios y de la seguridad
- Hay un procedimiento para resolver conflictos entre esos responsables
- Las personas están nombradas, con las responsabilidades diferenciadas
Riesgos y medidas
- Hay un análisis de riesgos revisado y aprobado cada año
- Se cumplen las medidas del anexo II que te aplican
- Hay un sistema de gestión documentado que la dirección aprueba con regularidad, basado en la declaración de aplicabilidad
El artículo 31.3 del ENS pide usar los criterios y métodos de trabajo generalmente reconocidos y las normas nacionales e internacionales aplicables: por eso una auditoría de la ISO 27001 o de un cliente mira cosas parecidas. Qué es el sistema de gestión del que habla el anexo, en qué es un SGSI; cómo se hace el análisis de riesgos, en análisis de riesgos de ciberseguridad.
¿Qué documentos te pedirán en una auditoría de ciberseguridad?
La política de seguridad aprobada por la dirección, los nombramientos de responsables, el análisis de riesgos, la declaración de aplicabilidad, el inventario de equipos y accesos, los procedimientos principales, el registro de incidentes y las pruebas de que cada control funciona: copias restauradas, equipos protegidos, doble factor y formación.
Gobierno
- Política de seguridad firmada y fechada
- Nombramientos de los responsables
- Acta de la última revisión por la dirección
Riesgos y controles
- Análisis de riesgos con su fecha de revisión
- Declaración de aplicabilidad: qué controles aplicas y por qué
- Inventario de equipos, programas y accesos
Pruebas
- Registro de incidentes del periodo
- Última restauración de copias probada
- Informe de estado del antivirus gestionado
- Configuración del doble factor
- Registro de formación del equipo
Si la auditoría es de un cliente
- El contrato o el anexo de seguridad que fija qué se audita
- Las respuestas que diste en su cuestionario
Cómo se ordena todo eso en una carpeta que se pueda enseñar, en el índice del dossier de evidencias. Para la política tienes la plantilla de política de seguridad; para lo que fija un contrato, el anexo de seguridad.
¿Cuánto dura y cuánto cuesta una auditoría de ciberseguridad?
Depende del alcance: cuántos sistemas, sedes y controles entran, y con qué norma. No hay una tarifa pública de referencia. Lo que sí tiene cifra: en el ENS de categoría básica basta una autoevaluación de tu propio personal, y el diagnóstico de ciberseguridad de las Cámaras de Comercio es gratuito para la pyme.
| Qué | Cuánto | Fuente |
|---|---|---|
| Autoevaluación del ENS en categoría básica | La hace el personal que administra el sistema: no hay auditor externo que pagar | Real Decreto 311/2022, anexo III |
| Diagnóstico asistido de Pyme Cibersegura | Gratuito para la pyme: lo prefinancia la Cámara | Convocatoria 2026 de la Cámara de Sevilla |
| Plan de mejoras de Pyme Cibersegura | Hasta 4.280 € elegibles; en Sevilla, 85 % de ayuda (3.638 €) y 642 € a cargo de la empresa | Convocatoria 2026 de la Cámara de Sevilla |
| Autodiagnóstico de INCIBE | Herramienta pública: una serie de preguntas te dice tu estado y qué mejorar | INCIBE, ¿Conoces tus riesgos? |
| Auditoría específica que ordene la autoridad de la NIS2 | La paga la entidad auditada, salvo decisión motivada de la autoridad | Directiva (UE) 2022/2555, arts. 32 y 33 |
| Diagnóstico externo de tu dominio | Gratis, con el resultado en pantalla en menos de un minuto | Protegemos Tu Pyme |
El diagnóstico de la convocatoria Pyme Cibersegura no es una auditoría de certificación: es un análisis asistido de tu nivel de ciberseguridad que da pie a un plan de mejoras subvencionado, con seis meses como máximo para ejecutarlo. Qué ayudas hay abiertas y cuánto cubren, en ayudas de ciberseguridad para pymes.
Si quieres empezar por tu cuenta, INCIBE tiene un autodiagnóstico, ¿Conoces tus riesgos?, y nuestro diagnóstico de tu dominio revisa desde fuera tu correo, tu web y lo que tienes expuesto, sin pedirte que dejes tus datos. Ninguno de los dos sustituye a una auditoría: te dicen por dónde empezar.
¿Cómo se prepara una auditoría de ciberseguridad?
En cuatro pasos: pide por escrito el alcance y el criterio, reúne las pruebas que ya tienes, haz una revisión interna para encontrar tú los huecos antes que el auditor y prepara un plan con fecha y responsable para lo pendiente. Un hallazgo con plan es una respuesta; uno sin plan, un problema abierto.
Pide el alcance por escrito: qué sistemas, qué norma o qué lista y qué fechas
¿Tienes las pruebas reunidas en un solo sitio?
- Sí
- Comprueba que estén fechadas dentro del periodo
- No
- Reúnelas por control antes de la visita
Haz una revisión interna con la misma lista que usará el auditor
¿Has encontrado huecos?
- Sí
- Prepara un plan con fecha y responsable para cada uno
- No
- Prepara a las personas que el auditor va a entrevistar
Acuerda antes cualquier prueba que toque tus sistemas
El ENS pide además un programa de auditorías documentado y que las comprobaciones sobre los sistemas operativos se planifiquen y acuerden antes (anexo III, apartado 1.3). Aunque no te aplique el ENS, es buena regla para cualquier auditoría: nadie debería probar tus sistemas sin que lo sepas y lo hayas acordado.
¿Qué pasa si la auditoría de ciberseguridad encuentra fallos?
Recibes los hallazgos por escrito y respondes con medidas correctoras. En el ENS, el responsable de la seguridad analiza el informe y lleva sus conclusiones al responsable del sistema para que las adopte. Con un cliente, manda lo que diga el contrato. La NIS2 también pide corregir sin demora indebida.
| Situación | Qué respondes | Qué guardas |
|---|---|---|
| Ya está corregido | La fecha y la prueba de la corrección | La evidencia nueva en el dossier |
| Se corrige en semanas | Plan con fecha y responsable | El seguimiento hasta cerrarlo |
| No se puede corregir ahora | Una medida que compense el riesgo mientras tanto | La decisión firmada por la dirección |
| No estás de acuerdo | Tus alegaciones por escrito, con pruebas | La respuesta del auditor |
En el ENS, si el sistema es de categoría alta y las deficiencias son graves, el responsable del sistema puede suspender temporalmente el servicio hasta corregirlas (art. 31.6). La NIS2 pide a las entidades que cubre que, si detectan que no cumplen sus medidas, adopten las correctoras «sin demora indebida» (art. 21.4). Cómo responder un fallo sin perder al cliente, en qué responder si no cumples un control.
¿Cada cuánto conviene hacer una auditoría de ciberseguridad?
Si te aplica el ENS, al menos cada dos años y siempre que tus sistemas cambien de forma sustancial. Si no, cuando lo pida un cliente o un certificado, con una revisión interna al año. En 2025, el 63 % de las pymes encuestadas por ENISA no había hecho ninguna evaluación en doce meses.
Año 0
Auditoría ordinaria
O autoevaluación documentada, en categoría básica.
Cada año
Revisión y aprobación del análisis de riesgos
Si hay un cambio sustancial
Auditoría extraordinaria
Su fecha es la que cuenta para calcular los dos años siguientes.
Año 2
Siguiente auditoría ordinaria
El plazo se puede extender tres meses por fuerza mayor.
Fuente: Real Decreto 311/2022, Esquema Nacional de Seguridad, arts. 31 y 38 y anexos III y IV, consultado el .
Los datos de ENISA salen de 1.080 profesionales de los sectores críticos de la NIS2, el 17 % de pymes; los de Achilles, de su registro de proveedores RePro en España, en 2020. Qué te pregunta hoy esa plataforma, en Achilles y ciberseguridad.
Talvit no hace auditorías de certificación. Lo que hacemos es una valoración inicial de tu estado, tu sistema de gestión de la seguridad a medida y un dossier de evidencias que se mantiene al día cada mes, para que cuando llegue el auditor las pruebas ya estén reunidas. Si vendes a la Administración, mira la declaración de conformidad con el ENS. Más guías, en Clientes.
Lo que esta guía no cubre
- Cómo se hace por dentro una auditoría de certificación ISO 27001, que fija cada entidad de certificación.
- La Instrucción Técnica de Seguridad de auditoría del ENS, que desarrolla el anexo III y no resumimos aquí.
- Precios de mercado de una auditoría, que no tienen fuente pública.
Preguntas frecuentes
¿Puedo auditarme yo mismo?
Sí, como revisión interna, y en el ENS de categoría básica basta una autoevaluación documentada. Para certificarte, o si te lo exige un cliente, la hace un tercero.
¿Cuánto dura una auditoría de ciberseguridad?
Depende del alcance y de cómo tengas las pruebas. Pide al auditor el plan con las fechas antes de empezar.
¿Es lo mismo que un test de intrusión?
No. El test busca fallos técnicos intentando entrar en tus sistemas; la auditoría revisa el conjunto, de la política a las pruebas de cada control.
¿Puede auditarme un cliente?
Si lo dice el contrato, sí. Y si tratas datos personales por su cuenta, el RGPD exige que el contrato te obligue a permitir sus auditorías o las de un auditor que él autorice.
Fuentes
- Real Decreto 311/2022, Esquema Nacional de Seguridad, arts. 31 y 38 y anexos III y IV, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21, 32 y 33, consultado el
- Reglamento (UE) 2016/679 (RGPD), art. 28.3.h, consultado el
- ENISA, NIS Investments 2025 (8-12-2025), consultado el
- Achilles, RePro España, preguntas de ciberseguridad (junio de 2020, copia archivada), consultado el
- Cámara de Comercio de Sevilla, convocatoria Pyme Cibersegura 2026 (23-02-2026), consultado el
- INCIBE, ¿Conoces tus riesgos?, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: qué revisa un auditor según el ENS, quién te la puede pedir, lo que se sabe del coste con fuente, cada cuánto conviene y los datos de ENISA y Achilles. Quita «desde un día hasta varias semanas», que no tenía fuente.
