El CCN-CERT ha publicat en el seu portal web
la Guia CCN-STIC 802 d'Auditoria de l'Esquema Nacional de Seguretat (ENS) cuyo objetivo es encauzar de una forma homogénea la realización de las auditorías, ordinarias o extraordinarias, estableciendo unas premisas mínimas en su ejecución, tal y como marca el artículo 34 del Reial decret 3/2010 de 8 de gener , pel qual es regula l'ENS.
El CCN recorda que el citat article 34 assenyala que els sistemes d'informació als quals es referix el reial decret seran objecte d'una auditoria regular ordinària, almenys cada dos anys, que verifique el compliment dels requeriments del present Esquema Nacional de Seguretat.
Els sistemes d'informació de categoria Alta o Mitjana, inclosos aquells d'empreses del sector privat que presten servicis a les entitats públiques, estan obligats a la realització d'una auditoria regular, almenys cada dos anys i una de caràcter extraordinari sempre que es produïsquen modificacions substancials en el sistema d'informació.
Con carácter extraordinario, deberá realizarse dicha auditoría siempre que se produzcan modificaciones sustanciales en el sistema de información, que puedan repercutir en las medidas de seguridad requeridas.
