¿Qué es un dossier de evidencias de ciberseguridad?
Un dossier de evidencias es el documento que demuestra, control a control, que tus medidas de seguridad existen y funcionan. Decir que tienes copias es una promesa; enseñar el registro de la última restauración, con fecha y firma, es una prueba. El dossier reúne esas pruebas en un solo sitio, ordenadas y al día.
| Lo que dices | Lo que lo demuestra |
|---|---|
| «Hacemos copias» | El informe de copias, con la prueba de restauración firmada y fechada |
| «Los equipos están protegidos» | El informe de protección: cuántos equipos hay, cuántos protegidos y cuántos al día |
| «Formamos a la plantilla» | Los resultados de los simulacros de correos trampa por campaña, no una lista de asistencia |
| «Controlamos los accesos» | El registro de accesos y permisos, y qué pasa con las cuentas de quien se va |
| «Gestionamos los incidentes» | El procedimiento y el registro del periodo, firmado aunque esté vacío |
No es un documento técnico para el informático: es lo que adjuntas a un cuestionario de seguridad o enseñas en una auditoría en vez de prometerlo por escrito. Detrás suele haber un sistema de gestión de la seguridad (SGSI), el conjunto de documentos y procedimientos que demuestra que gestionas la seguridad: lo explica qué es un SGSI.
¿Por qué te piden pruebas de ciberseguridad y no promesas?
Te piden pruebas porque las normas exigen poder demostrar. El RGPD obliga a ser «capaz de demostrarlo» (artículo 5.2); la NIS2 deja a la autoridad pedir «pruebas de la aplicación de las políticas de ciberseguridad»; y el ENS exige documentar la autoevaluación con «las evidencias que sustentan la valoración anterior».
| Norma | Artículo | Qué pide | A quién |
|---|---|---|---|
| RGPD | 5.2 y 24.1 | Ser capaz de demostrar el cumplimiento, con medidas para «garantizar y poder demostrar» que el tratamiento es conforme | A quien trata datos personales |
| RGPD | 28.3.h | El encargado pone a disposición «toda la información necesaria para demostrar el cumplimiento» y permite auditorías | A quien trata datos por cuenta de un cliente |
| NIS2 | 32.2 y 33.2 | La autoridad puede pedir las políticas documentadas y «pruebas de la aplicación de las políticas de ciberseguridad» | Entidades esenciales e importantes |
| ENS | Anexo III, 2.1 | Autoevaluación documentada: si cada medida está implantada y las evidencias que lo sustentan | Sistemas de categoría básica |
| ENS | Anexo III, 1.2 | La auditoría «se basará en la existencia de evidencias» | Sistemas que se auditan |
Tus clientes te lo piden por la misma razón: el RGPD les exige demostrar lo que hacen con los datos, también los que te pasan a ti, y la NIS2 obliga a las entidades a cuidar la seguridad de sus proveedores directos (artículo 21.2.d). Por eso te llega como cuestionario, como cláusula o como anexo de seguridad del contrato. Lo del ENS está en su Real Decreto 311/2022, anexo III.
¿Qué documentos lleva un dossier de evidencias?
El dossier de evidencias de Talvit tiene 14 documentos en tres grupos: el plan (política, análisis de riesgos, inventario y procedimiento de incidentes), los controles puestos (protección, copias, correo, accesos y actualizaciones) y el mantenimiento (fichero mensual, incidentes, formación, proveedores y acta de revisión).
| Grupo | Documento | Qué demuestra |
|---|---|---|
| Que hay un plan | Política de seguridad de la información | Se escribe una vez y se revisa al año. Es lo primero que pide un auditor y lo primero que falta |
| Que hay un plan | Análisis de riesgos | Qué puede salir mal, cuánto costaría y qué se ha hecho al respecto |
| Que hay un plan | Inventario de activos | Equipos, cuentas y servicios: no se protege lo que no se sabe que existe |
| Que hay un plan | Procedimiento de gestión de incidentes | Quién hace qué, en qué orden y a quién se avisa; si te aplica la NIS2, el primer aviso de un incidente grave se da en 24 horas |
| Que los controles están puestos | Informe de protección de equipos | Cuántos hay, cuántos protegidos, cuántos al día |
| Que los controles están puestos | Informe de copias de seguridad | Con la prueba de restauración firmada y fechada: sin ella, nadie sabe si la copia sirve |
| Que los controles están puestos | Informe de filtrado de correo | Qué ha entrado, qué se ha retenido y por qué |
| Que los controles están puestos | Registro de accesos y permisos | Quién entra dónde, y qué pasa con las cuentas de quien se va |
| Que los controles están puestos | Registro de actualizaciones | Qué se ha actualizado, en qué equipos y cuándo |
| Que se mantiene | Fichero mensual de evidencias | La foto del mes, con fecha: el documento que se adjunta a un cuestionario |
| Que se mantiene | Registro de incidentes del periodo | También cuando no ha habido ninguno: un registro vacío y firmado es una evidencia |
| Que se mantiene | Registro de formación y simulacros de correos trampa | Resultados por campaña, no una lista de asistencia |
| Que se mantiene | Revisión de proveedores | A quién le has dado acceso a tus datos y qué garantías da |
| Que se mantiene | Acta de revisión | La reunión en la que alguien mira todo lo anterior y decide qué cambia |
El mismo índice está en el índice del dossier de evidencias, con tres pasos para usarlo nos contrates o no: marca lo que ya tienes, busca la prueba de cada «sí» y mira los huecos. Si tienes menos de la mitad, lo que te falta es documentación. Para la política hay plantilla, y el análisis de riesgos tiene su guía.
¿Qué hace que una evidencia de seguridad valga?
Una evidencia vale si tiene cuatro cosas: fecha, porque una prueba de hace un año no dice cómo estás hoy; responsable, que la revisó y responde de ella; origen, el sistema del que sale y que permite volver a generarla; y vigencia, porque se renueva cada mes y no solo cuando alguien la pide.
Las cuatro condiciones
- Tiene fecha, y es del periodo por el que te preguntan
- Tiene un responsable con nombre, que la revisó
- Dice de qué sistema sale: la consola de copias, la del antivirus, la del correo
- Está al día: se renueva cada mes
Antes de enviarla
- Responde al control que se pregunta, no a otro parecido
- Se puede volver a generar si te la piden otra vez
- No enseña contraseñas, direcciones internas ni datos personales que no hagan falta
ENISA, la agencia europea de ciberseguridad, publica en su guía técnica de la NIS2 ejemplos de evidencia para cada requisito. Para las copias, por ejemplo: el plan de copias, los registros del programa que muestran que se hacen con regularidad, los que confirman que una copia está fuera de la oficina y procedimientos de restauración claros. La propia guía avisa de que cumplirlos no supone por sí solo cumplir la norma, y de que una misma prueba puede servir para varios requisitos.
¿Cada cuánto se actualiza un dossier de evidencias?
Un dossier de evidencias se actualiza cada mes. Si se monta cuando llega un cuestionario y se olvida después, el siguiente empieza de cero. Cada mes se generan las pruebas nuevas, se revisan y se guarda la versión del mes, que es la que se adjunta. La política, en cambio, se revisa al año.
El control: por ejemplo, copias diarias de los equipos.
El sistema que genera la prueba: la consola de copias registra la restauración de prueba.
La fecha y el responsable: quién la revisó y cuándo.
¿La prueba responde al control y está al día?
- Sí
- Se guarda en el fichero del mes.
- No
- Se corrige el control o se repite la prueba antes de archivarla.
El archivo del mes: la versión que se adjunta al próximo cuestionario.
Al empezar
Valoración del estado actual y despliegue
En días, no en meses: sin proyecto de implantación ni inversión inicial.
El primer mes
La documentación y el primer dossier
El sistema de seguridad redactado y el primer dossier de evidencias.
Cada mes
Medidas al día y sus pruebas en el dossier
El fichero mensual de evidencias, con fecha: la foto del mes.
Cada año
Revisión de la política de seguridad
Cuando llega un cuestionario
Se adjunta el fichero del mes
Sin empezar de cero: el siguiente va más rápido.
¿Para quién sirve un dossier de evidencias: cliente, auditor, aseguradora o dirección?
Un dossier de evidencias sirve a los cuatro, con partes distintas. Al cliente, las pruebas de lo que pregunta en su cuestionario; al auditor, todo ordenado por control; a la aseguradora, las medidas que exige la póliza, demostradas; y a la dirección, una página con lo que está bien, lo arreglado y lo pendiente.
| Situación | Qué le enseñas | Qué no hace falta |
|---|---|---|
| Un cliente con un cuestionario | Las pruebas de las preguntas que hace, del mes en curso | El dossier entero o tus datos internos |
| Un auditor (ISO 27001, ENS) | Todo, ordenado por control, con la política y el análisis de riesgos | Nada se queda fuera: lo revisa entero |
| Tu aseguradora | Las medidas que pregunta su cuestionario de la póliza, con su prueba | Lo que no pregunta |
| La dirección | El resumen del mes y el acta de revisión | El detalle de cada registro |
Para responder casilla a casilla está la plantilla de respuesta a un cuestionario; qué suele pedir el seguro, en los requisitos del ciberseguro; qué mira un auditor, en la auditoría de ciberseguridad; y lo que tiene que aprobar la dirección, en la responsabilidad de la dirección en la NIS2.
¿En qué se diferencia un dossier de evidencias de una certificación?
Una certificación, como la ISO 27001, la emite una entidad externa tras auditarte. El dossier de evidencias es tu propia documentación, con pruebas: no sustituye a un certificado ni garantiza por sí solo que cumplas una norma. Sirve para responder hoy y de base si decides certificarte, porque una auditoría se basa en evidencias.
| Qué cambia | Dossier de evidencias | Autoevaluación o declaración | Certificación |
|---|---|---|---|
| Quién lo hace | Tú o tu proveedor | Tú, con tus evidencias | Una entidad de certificación |
| Qué demuestra | Que cada control tiene su prueba, al día | Que cada medida está implantada, según tu propia valoración | Que un auditor externo lo ha comprobado |
| Cuándo te lo aceptan | Cuando te piden pruebas, no un sello | En el ENS de categoría básica, por ejemplo | Cuando un cliente o un concurso exigen el certificado |
¿Qué parte del dossier de evidencias puedes enviar a un cliente?
A un cliente envíale solo lo que pide. Si el cuestionario pregunta por copias, adjunta el informe de copias del mes con la prueba de restauración, no el dossier entero. El fichero mensual de evidencias está pensado para eso. Y quita lo que no necesita ver: contraseñas, direcciones internas o datos personales de tu plantilla.
Con Talvit, el dossier y el sistema de seguridad documentado se presupuestan aparte de la cuota de 29 € por puesto y mes, IVA no incluido: la cuota no los incluye. Cada control tiene su evidencia, con fecha y responsable: lo preparamos nosotros y tú lo descargas. Cómo lo usamos con los cuestionarios, en la página para proveedores.
Si alguna casilla no la puedes demostrar, no la marques como cumplida: responder que no a un cuestionario explica cómo decirlo con un plan y una fecha. Más guías sobre lo que piden los clientes, en Clientes.
Lo que esta guía no cubre
- Cómo redactar cada documento uno a uno: la política tiene su plantilla y el análisis de riesgos su guía.
- Lo que exige una certificación concreta (ISO 27001, ENS, TISAX): cada una tiene su guía.
- Qué evidencia pide exactamente tu cliente: lo dice su cuestionario o su contrato.
Preguntas frecuentes
¿Es lo mismo un dossier de evidencias que una certificación?
No. Una certificación la emite una entidad externa. El dossier es tu propia documentación, con pruebas, y sirve de base si algún día quieres certificarte.
¿Cuántas páginas tiene un dossier de evidencias?
Las que hagan falta para tus controles. El índice de Talvit tiene 14 documentos; lo importante es que cada control tenga su prueba y se encuentre rápido.
¿Puedo enviar el dossier de evidencias a un cliente?
Sí. Está pensado para eso, y puedes compartir solo las partes que te pidan.
¿El dossier de evidencias va en la cuota de Talvit?
No: se presupuesta aparte de la cuota de 29 € por puesto y mes, IVA no incluido. El primer dossier llega en el primer mes y después se actualiza cada mes.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), arts. 5.2, 24.1 y 28.3.h, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21, 32.2 y 33.2, consultado el
- BOE, Real Decreto 311/2022, Esquema Nacional de Seguridad, anexo III, consultado el
- ENISA, NIS2 Technical Implementation Guidance (26-6-2025), consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera, con fuentes: qué normas piden poder demostrar, el índice de los 14 documentos y qué parte enseñar a cada uno.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
