Guía · versión 1.0 · 27 de septiembre de 2026
Pentesting para SOC 2, ISO 27001, ENS y NIS2 en España (2026)
Un informe de 32 páginas: qué exige realmente cada marco, qué esperan los auditores en la práctica y cómo un único programa de tests sirve de evidencia para los cuatro. Situación legal a 27 de septiembre de 2026. Gratuita, sin dejar el email. En inglés.
Descargar la guía (PDF, 0,7 MB, en inglés)
La situación en una tabla
| Marco | Qué dice el texto | Grado | Frecuencia · quién comprueba |
|---|---|---|---|
| SOC 2 | Los Trust Services Criteria nunca nombran un pentest (CC4.1, CC7.1–CC7.4, CC6.1, CC6.6, CC6.7, CC8.1, CC9.2). Pasa a ser auditable en cuanto tu descripción del sistema lo nombra. | C → B | Al menos un test por periodo de revisión, con corrección y retest. Lo comprueba una firma CPA. |
| ISO/IEC 27001:2022 | Ningún control del Anexo A se llama «pentest»; 8.8 y 8.29 dependen de uno. Auditable en cuanto la Declaración de Aplicabilidad lo nombra. | C → B | Basado en riesgo; los auditores esperan un ciclo anual alineado con las auditorías de seguimiento. Entidad acreditada por ENAC. |
| ENS (RD 311/2022) | El único texto que nombra el test: [op.mon.3.r6.3] pruebas de penetración en categoría Alta; [mp.s.2] auditorías de seguridad de aplicaciones web en todas las categorías; [op.nub.1.2] para servicios en la nube de terceros. | A | Sin frecuencia numérica: la fijan el procedimiento de auditoría y el análisis de riesgos. Auditoría del art. 31 al menos cada dos años. Entidad certificadora (Media, Alta); autoevaluación (Básica). |
| NIS2 | El art. 21(2)(f) de la directiva espera evaluaciones de eficacia; el punto 6.5 del Reglamento de Ejecución (UE) 2024/2690 exige una política de pruebas de seguridad a las entidades digitales que enumera. La ley española de transposición no está en vigor a 27 de septiembre de 2026. | B / A | Según tu propia política de pruebas de seguridad. Supervisión pendiente de la designación de autoridades nacionales. |
«A» significa que el propio texto legal exige el test; «B», que el esquema o tus propios controles declarados lo hacen auditable; «C», que los auditores lo esperan en la práctica. La guía mantiene los cuatro separados en cada página.
Tres conclusiones que cambian cómo planificas 2026
Solo dos textos exigen hoy un test en España. El Anexo II del ENS lo hace en categoría Alta ([op.mon.3.r6.3]) y para las aplicaciones web en todas las categorías ([mp.s.2]); el punto 6.5 del Reglamento de Ejecución (UE) 2024/2690 lo hace para las entidades digitales que enumera.
SOC 2 e ISO/IEC 27001 nunca exigen legalmente un pentest. Ninguno lo nombra. Los dos pasan a ser auditables en el momento en que tu descripción del sistema o tu Declaración de Aplicabilidad nombran uno — y se auditan contra lo que escribiste.
La ley española de NIS2 no está en vigor. A 27 de septiembre de 2026 el proyecto no se ha publicado en el BOE. Los artículos 20, 21 y 23 de la directiva ya fijan el fondo y el Reglamento de Ejecución se aplica directamente; el régimen sancionador solo será exigible en España cuando se publique la ley nacional. No existe una «fecha límite NIS2 de octubre de 2026» en España.
Qué contiene
- Resumen ejecutivo: la matriz marco × grado de exigencia.
- Por qué 2026 es distinto en España: NIS2, el ENS a mitad de ciclo, DORA, el CRA — con cronología fechada 2022 → 2027.
- Fundamentos del pentesting para compliance: tipos de test, escaneo frente a pentest frente a red team, metodologías, puntuación de severidad.
- SOC 2: mapeo de criterios, evidencia que piden los auditores, redacción de ejemplo para la descripción del sistema.
- ISO/IEC 27001:2022: mapeo de controles, cláusulas que consumen el test, redacción de la Declaración de Aplicabilidad.
- ENS: categorías, medidas relacionadas con las pruebas por categoría, ciclo de certificación, guías CCN-STIC que aplica el auditor.
- NIS2 en España: cuadro de situación, qué vincula ya en el fondo, qué cambia con la publicación en el BOE.
- Un programa, cuatro marcos: calendario anual unificado, matriz de frecuencias, mapeo cruzado de artefactos.
- Base legal y contractual en España: Código Penal, reglas de compromiso, cláusulas del art. 28 del RGPD, políticas de los proveedores cloud, conservación de evidencias.
- Cómo contratar un proveedor: cualificaciones, independencia, seguros, 21 requisitos para el RFP, señales de alarma, hoja de evaluación.
- Informes: anatomía de un informe listo para auditoría, SLA de corrección, estados de retest, redacción de la attestation letter.
- Listas de comprobación por marco y un plan de 90 días.
- Glosario (inglés/español), referencias, lista de vigilancia regulatoria, registro de cambios.
Para quién
CISOs, responsables de seguridad y GRC, DPOs y CTOs de organizaciones que operan en España — proveedores SaaS y cloud, MSPs, fintech, proveedores del sector público y multinacionales con entidad española — y los proveedores de pentesting que les dan servicio. Presupone conocimientos técnicos, no jurídicos. Las secciones 9 a 12 están escritas para que compras y los equipos de entrega las usen tal cual.
Qué vigencia tiene
Cada página que describe la situación regulatoria lleva «situación legal a 27 de septiembre de 2026». Próxima revisión: marzo de 2027, o antes si España publica en el BOE la ley de transposición de NIS2. La sección 13.3 enumera los hechos que obligarían a reeditarla y la 13.4 los puntos aún por verificar. Es información general para profesionales, no asesoramiento jurídico.
Las páginas breves de esta web tratan las mismas preguntas en español: pentest para el ENS · pentest para ISO 27001 y SOC 2 · ¿qué es una attestation letter?
FAQ
Preguntas frecuentes
¿Es gratuita?
Sí. Descarga el PDF directamente; sin formulario, sin email. La publica Hacketico (CyberScore B.V.) como información general para profesionales de seguridad y compliance, no como asesoramiento jurídico.
¿Está en español?
No: está en inglés. Las páginas Pentest para el ENS y Pentest para ISO 27001 y SOC 2 resumen en español las posiciones sobre ENS y NIS2; si hay demanda, habrá traducción.
¿Cómo sé que sigue vigente?
Cada página lleva «situación legal a 27 de septiembre de 2026». La próxima revisión es en marzo de 2027, o antes si España publica en el BOE la ley de transposición de NIS2; la lista de vigilancia de la sección 13.3 dice qué obligaría a reeditarla.
¿Puedo compartirla con mi auditor o mis clientes?
Sí. Compártela entera, con su versión y su fecha, para que todos lean la misma posición.
Una llamada de 30 minutos basta para saber si esto encaja.
Agenda una scoping call¿Prefieres email? Envía tu alcance a info@hacketico.es — en 24 horas en días laborables sabrás si cabe en 5 días y cuánto cuesta.