La lista de comprobación por defecto

Cada proyecto empieza con esta lista de ocho puntos, cinco obligatorios y tres opcionales. Sale de la medida op.exp.5 «Gestión de cambios» del Esquema Nacional de Seguridad (Real Decreto 311/2022, anexo II), de la propuesta de evidencias de su guía de auditoría, la CCN-STIC 808 (edición de abril de 2026, ficha op.exp.5), y del control 8.32 «Change management» de la ISO/IEC 27002:2022, que desarrolla el control A.8.32 del anexo A de la ISO/IEC 27001:2022.

Junto a cada punto se dice de dónde sale: qué requisito o qué control lo piden. Eso explica por qué está en la lista, no que marcarlo baste: un punto marcado deja constancia de quién dice haberlo hecho y cuándo, pero no demuestra por sí solo que se hizo bien ni que la organización cumpla el requisito. Eso lo valora el auditor, con la evidencia que cada punto pide enlazar en la incidencia.

El administrador del proyecto puede cambiar la lista: quitar, editar o añadir puntos (hasta doce) y decidir cuáles son obligatorios (Administración). Los textos del ENS se citan del texto consolidado del BOE; los títulos de los controles de la ISO/IEC 27002, en su inglés original, porque la norma es de pago.

La medida op.exp.5 se aplica a los sistemas de categoría MEDIA y ALTA; el refuerzo R1 («Prevención de fallos»), solo a los de categoría ALTA.

1. Nivel de riesgo del cambio valorado (BAJO, MEDIO, ALTO) y, si es ALTO, aprobación previa del Responsable de Seguridad registrada

Obligatorio. En Lacre, el riesgo se elige siempre en el panel, y el proyecto puede exigir que un cambio de riesgo alto tenga la aprobación previa sellada antes de la comprobación («Exigir aprobación previa en riesgo ALTO»): así la aprobación queda registrada con quién, cuándo y con qué rol.

• ENS, [op.exp.5.4]: «Mediante un análisis de riesgos se determinará si los cambios son relevantes para la seguridad del sistema. Aquellos cambios que impliquen un riesgo de nivel ALTO deberán ser aprobados, explícitamente, de forma previa a su implantación, por el Responsable de la Seguridad.»
• CCN-STIC 808, evidencias que propone: «Evidencia de informes de riesgos asociados a determinados cambios» y «Evidencia de aprobación adicional de los cambios de riesgo ALTO de forma previa antes de su implantación por parte del Responsable de Seguridad».
• ISO/IEC 27002:2022: 8.32 Change management.

2. Impacto en seguridad documentado en la incidencia

Obligatorio. La valoración del impacto en la seguridad se escribe en la propia incidencia (en la descripción o en un campo), para que quede en lo que se sella.

• ENS, [op.exp.5.4]: «Mediante un análisis de riesgos se determinará si los cambios son relevantes para la seguridad del sistema. Aquellos cambios que impliquen un riesgo de nivel ALTO deberán ser aprobados, explícitamente, de forma previa a su implantación, por el Responsable de la Seguridad.»
• ENS, refuerzo R1, [op.exp.5.r1.3]: «Todos los cambios en el sistema deberán documentarse, incluyendo una valoración del impacto que dicho cambio supone en la seguridad del sistema.»
• CCN-STIC 808, evidencia que propone: «Evidencia de documentación del impacto de los cambios en la seguridad del sistema».
• ISO/IEC 27002:2022: 8.32 Change management.

3. Pruebas en un entorno separado de producción, con el resultado enlazado

Obligatorio. El resultado de las pruebas (un informe, la ejecución de la integración continua) se enlaza en la incidencia antes de marcar el punto.

• ENS, [op.exp.5.3]: «Las pruebas de preproducción, siempre que sea posible realizarlas, se efectuarán en equipos equivalentes a los de producción, al menos en los aspectos específicos del cambio.»
• CCN-STIC 808, evidencia que propone: «Informes de pruebas de preproducción».
• ISO/IEC 27002:2022: 8.31 Separation of development, test and production environments, 8.29 Security testing in development and acceptance y 8.32 Change management.

4. Pruebas de aceptación, con el resultado enlazado

Obligatorio. Las pruebas de aceptación se hacen una vez implantado el cambio; su resultado se enlaza en la incidencia.

• ENS, [op.exp.5.5]: «Una vez implementado el cambio, se realizarán las pruebas de aceptación convenientes. Si son positivas, se actualizará la documentación de configuración (diagramas de red, manuales, el inventario, etc.), siempre que proceda.»
• CCN-STIC 808, evidencia que propone: «Informes de pruebas de aceptación».
• ISO/IEC 27002:2022: 8.29 Security testing in development and acceptance y 8.32 Change management.

5. Plan de marcha atrás escrito

Obligatorio. Cómo deshacer el cambio si sale mal, escrito antes de aplicarlo. El ENS solo lo pide en categoría ALTA (refuerzo R1); en la lista por defecto es obligatorio como buena práctica.

• ENS, refuerzo R1, [op.exp.5.r1.1]: «Antes de la aplicación de los cambios, se deberá tener en cuenta la posibilidad de revertirlos en caso de la aparición de efectos adversos.»
• CCN-STIC 808, evidencia que propone: «Evidencia de plan de marcha atrás respecto a un cambio».
• ISO/IEC 27002:2022: 8.32 Change management.

6. Configuración e inventario actualizados

Opcional. Se marca cuando el cambio obliga a actualizar la configuración documentada o el inventario de activos y se ha hecho.

• ENS, [op.exp.5.5]: «Una vez implementado el cambio, se realizarán las pruebas de aceptación convenientes. Si son positivas, se actualizará la documentación de configuración (diagramas de red, manuales, el inventario, etc.), siempre que proceda.»
• CCN-STIC 808, evidencia que propone: «Evidencia de actualización de configuración (inventario, manuales, diagramas de red…), tras un cambio implementado».
• ISO/IEC 27002:2022: 8.9 Configuration management y 5.9 Inventory of information and other associated assets.

7. Partes afectadas informadas del cambio

Opcional. Quienes usan o dependen del servicio saben del cambio y de cuándo se hace. La ficha de la CCN-STIC 808 no propone una evidencia propia para esto; entre sus preguntas al auditor está «¿Se han definido ventanas de mantenimiento acordadas con los usuarios?».

• ENS, [op.exp.5.1]: «Los cambios se planificarán para reducir el impacto sobre la prestación de los servicios afectados. Para ello, todas las peticiones de cambio se registrarán asignando un número de referencia que permita su seguimiento, de forma equivalente al registro de los incidentes.»
• ISO/IEC 27002:2022: 8.32 Change management.

8. Documentación operativa actualizada

Opcional. Se marca cuando el cambio obliga a actualizar los manuales o procedimientos de operación y se ha hecho.

• ENS, [op.exp.5.5]: «Una vez implementado el cambio, se realizarán las pruebas de aceptación convenientes. Si son positivas, se actualizará la documentación de configuración (diagramas de red, manuales, el inventario, etc.), siempre que proceda.»
• CCN-STIC 808, evidencia que propone: «Evidencia de actualización de configuración (inventario, manuales, diagramas de red…), tras un cambio implementado».
• ISO/IEC 27002:2022: 5.37 Documented operating procedures y 8.32 Change management.

Lo que la lista no cubre

La propuesta de evidencias de la CCN-STIC 808 para op.exp.5 incluye también el registro de peticiones de cambio (en Jira, la propia incidencia, con su clave como número de referencia), las actas del comité de cambios, si lo hay, y la comunicación de fallos al Responsable de Seguridad. Lacre no los genera: si el proyecto los necesita en cada cambio, puede añadir sus propios puntos a la lista.