Pentesting per a SOC 2, ISO 27001, ENS i NIS2 a Espanya (2026)

Descarregar la guia (PDF, 0,7 MB, en anglès)

La situació en una taula

«A» vol dir que el mateix text legal exigeix el test; «B», que l’esquema o els teus propis controls declarats el fan auditable; «C», que els auditors l’esperen a la pràctica. La guia manté els quatre separats a cada pàgina.

Tres conclusions que canvien com planifiques el 2026

Només dos textos exigeixen avui un test a Espanya. L’Annex II de l’ENS ho fa en categoria Alta ([op.mon.3.r6.3]) i per a les aplicacions web en totes les categories ([mp.s.2]); el punt 6.5 del Reglament d’Execució (UE) 2024/2690 ho fa per a les entitats digitals que enumera.

SOC 2 i ISO/IEC 27001 mai exigeixen legalment un pentest. Cap dels dos l’anomena. Tots dos passen a ser auditables en el moment en què la teva descripció del sistema o la teva Declaració d’Aplicabilitat n’anomenen un — i s’auditen contra el que vas escriure.

La llei espanyola de NIS2 no està en vigor. A 27 de setembre de 2026 el projecte no s’ha publicat al BOE. Els articles 20, 21 i 23 de la directiva ja fixen el fons i el Reglament d’Execució s’aplica directament; el règim sancionador només serà exigible a Espanya quan es publiqui la llei nacional. No existeix cap «data límit NIS2 d’octubre de 2026» a Espanya.

Què conté

1. Resum executiu: la matriu marc × grau d’exigència.
2. Per què el 2026 és diferent a Espanya: NIS2, l’ENS a mig cicle, DORA, el CRA — amb cronologia datada 2022 → 2027.
3. Fonaments del pentesting per a compliance: tipus de test, escaneig davant pentest davant red team, metodologies, puntuació de severitat.
4. SOC 2: mapatge de criteris, evidència que demanen els auditors, redacció d’exemple per a la descripció del sistema.
5. ISO/IEC 27001:2022: mapatge de controls, clàusules que consumeixen el test, redacció de la Declaració d’Aplicabilitat.
6. ENS: categories, mesures relacionades amb les proves per categoria, cicle de certificació, guies CCN-STIC que aplica l’auditor.
7. NIS2 a Espanya: quadre de situació, què vincula ja en el fons, què canvia amb la publicació al BOE.
8. Un programa, quatre marcs: calendari anual unificat, matriu de freqüències, mapatge creuat d’artefactes.
9. Base legal i contractual a Espanya: Codi Penal, regles de compromís, clàusules de l’art. 28 del RGPD, polítiques dels proveïdors cloud, conservació d’evidències.
10. Com contractar un proveïdor: qualificacions, independència, assegurances, 21 requisits per al RFP, senyals d’alarma, full d’avaluació.
11. Informes: anatomia d’un informe a punt per a auditoria, SLA de correcció, estats de retest, redacció de l’attestation letter.
12. Llistes de comprovació per marc i un pla de 90 dies.
13. Glossari (anglès/castellà), referències, llista de vigilància regulatòria, registre de canvis.

Per a qui

CISOs, responsables de seguretat i GRC, DPOs i CTOs d’organitzacions que operen a Espanya — proveïdors SaaS i cloud, MSPs, fintech, proveïdors del sector públic i multinacionals amb entitat espanyola — i els proveïdors de pentesting que els donen servei. Pressuposa coneixements tècnics, no jurídics. Les seccions 9 a 12 estan escrites perquè compres i els equips de lliurament les facin servir tal qual.

Quina vigència té

Cada pàgina que descriu la situació regulatòria porta «situació legal a 27 de setembre de 2026». Propera revisió: març de 2027, o abans si Espanya publica al BOE la llei de transposició de NIS2. La secció 13.3 enumera els fets que obligarien a reeditar-la i la 13.4 els punts encara per verificar. És informació general per a professionals, no assessorament jurídic.

Les pàgines breus d’aquest web tracten les mateixes preguntes en català: pentest per a l’ENS · pentest per a ISO 27001 i SOC 2 · què és una attestation letter?