La respuesta corta: el expediente ENS no es una lista, es un sistema vivo: 73 medidas del Anexo II, cada una con aplicabilidad justificada, estado, responsable, evidencias con fecha de caducidad y su rastro de cambios. La hoja de cálculo aguanta el primer mes; después se multiplica en versiones, pierde los adjuntos y nadie sabe qué cambió ni cuándo. El método que funciona — con herramienta o sin ella — se resume en cuatro reglas: una sola fuente de verdad por sistema, un dueño por medida, evidencias fechadas con vigencia y trazabilidad de cada cambio.
Lo que de verdad hay que gestionar (y casi nadie dimensiona)
La foto ingenua del ENS es una checklist de 73 casillas. La real tiene varias dimensiones más:
- Aplicabilidad: qué medidas aplican a tu sistema según su categoría — y la justificación escrita de cada exclusión, porque va a la Declaración de Aplicabilidad.
- Estado real por medida: pendiente, en curso, implantada, verificada — decidido por una persona con nombre, no por una macro.
- Evidencias: el acta, la configuración, el informe. Muchas caducan (formaciones, revisiones, certificados de terceros) y una evidencia caducada es, a ojos del auditor, una medida sin evidencia. Ya contamos cuáles hacen perder más tiempo.
- Personas: quién implanta, quién verifica, quién aprueba — con la separación de funciones que el propio ENS pide (op.acc.3).
- Historia: qué cambió, quién y cuándo. La trazabilidad no es paranoia: es lo que te permite defender el expediente meses después.
Por qué la hoja de cálculo se rompe siempre igual
- Se multiplica. «medidas_v3_FINAL_revisadoRM.xlsx» — en tres carpetas y dos correos. La fuente única de verdad muere la primera semana.
- No lleva las evidencias. La celda dice «ver carpeta»; la carpeta dice otra cosa. El vínculo medida↔evidencia vive en la memoria de alguien.
- No sabe de caducidades. Nada avisa de que la formación anual venció o de que el informe del proveedor tiene fecha del año pasado. Te enteras en la auditoría.
- No tiene memoria. ¿Quién cambió op.exp.8 a «implantada» y con qué base? La hoja no lo sabe; el auditor lo pregunta.
- No genera nada. La Declaración de Aplicabilidad, el estado para dirección y el paquete para el auditor se rehacen a mano cada vez — la semana antes, de noche.
El método, tenga la forma que tenga
Puedes implantarlo con disciplina y carpetas bien llevadas, o con una herramienta. Lo que no es negociable es el método:
| Regla | En la práctica |
|---|---|
| Una fuente de verdad | Un único lugar por sistema con las 73 medidas, su aplicabilidad y su estado. Todo lo demás (informes, resúmenes) se genera desde ahí, nunca al revés. |
| Un dueño por medida | Cada medida aplicable tiene un responsable con nombre y las tareas pendientes asociadas. «De todos» es el sinónimo corporativo de «de nadie». |
| Evidencias fechadas y con vigencia | Cada evidencia, unida a su medida, con fecha y — si caduca — su «vigente hasta». Alguien (o algo) revisa las próximas a vencer cada semana. |
| Trazabilidad | Cambios de estado y de aplicabilidad con autor, fecha y motivo. La DoA se versiona: la que vio el auditor queda congelada para siempre. |
Así lo hemos convertido en producto
Declaración de interés: ENSFácil desarrolla la plataforma que describimos a continuación, así que juzga tú si el método te sirve — eso es lo importante — y considera esto un ejemplo con nombre propio.
Nuestra plataforma (en beta abierta y gratuita) implementa exactamente las cuatro reglas: cada sistema nace con su mapa de las 73 medidas y la categoría por la regla del máximo; los estados los cambian personas con roles (nada se marca «cumplido» solo, y «verificada» queda reservada a roles responsables); las evidencias se adjuntan a su medida con vigencia y hay avisos diarios de caducidades y tareas vencidas; todo queda en un registro de auditoría; y la Declaración de Aplicabilidad se genera versionada — con huella criptográfica — igual que el paquete de auditoría completo (DoA, estados, evidencias y documentos) en un clic. Si gestionas varios clientes, cada organización vive separada con su propio equipo.
Pruébalo con tu sistema real: crea tu cuenta en la beta gratuita, define tu sistema y tendrás tu mapa de medidas ordenado esta misma tarde. Sin tarjeta, sin permanencia — la beta es nuestra fase de aprendizaje contigo.
Crear cuenta en la betaFuentes: RD 311/2022 (BOE), Anexo II — medidas de seguridad · Guías de implantación de la serie CCN-STIC 800, en el portal CCN-CERT.