El CCN-CERT ha publicat a el seu portal web
la Guia CCN-STIC 802 d'Auditoria de l'Esquema Nacional de Seguretat (ENS) que el seu objectiu és canalitzar d'una forma homogènia la realització de les auditories, ordinàries o extraordinàries, establint unes premisses mínimes en la seva execució, tal com marca l'article 34 de el Real Decreto 3/2010 de 8 de gener , pel qual es regula l'ENS.
El CCN recuerda que el citado artículo 34 señala que los sistemas de información a los que se refiere el real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del presente Esquema Nacional de Seguridad.
Els sistemes d'informació de categoria Alta o Mitjana, inclosos aquells d'empreses del sector privat que prestin serveis a les entitats públiques, estan obligats a la realització d'una auditoria regular, almenys cada dos anys i una de caràcter extraordinari sempre que es produeixin modificacions substancials en el sistema d'informació.
Amb caràcter extraordinari, haurà de realitzar-se aquesta auditoria sempre que es produeixin modificacions substancials en el sistema d'informació, que puguin repercutir en les mesures de seguretat requerides.
