Vens a l’administració. Això és el que l’ENS espera del teu pentest.

Què és l’ENS i a qui afecta

L’Esquema Nacional de Seguridad (Reial decret 311/2022) fixa les mesures de seguretat que han de complir els sistemes del sector públic — i els dels proveïdors privats que els presten serveis, per als sistemes implicats en aquell servei. Per això el veus als plecs: sense Declaració o Certificació de Conformitat, no entres.

Els sistemes es classifiquen en categoria Bàsica, Mitjana o Alta. Per a Bàsica n’hi ha prou amb una autoavaluació. Per a Mitjana i Alta cal una auditoria formal, repetida almenys cada dos anys, feta per una entitat de certificació acreditada.

Quin paper hi juga el pentest

L’ENS exigeix gestionar les vulnerabilitats tècniques i verificar periòdicament que les mesures de seguretat funcionen. Un test de penetració manual sobre el sistema en abast és la manera habitual d’evidenciar-ho, i és el que l’entitat certificadora espera trobar a l’expedient: què es va testejar, amb quin mètode, què es va trobar i què es va corregir.

On ho diu literalment? Amb la paraula «proves de penetració», en dos llocs de l’Annex II del Reial decret 311/2022: a la mesura de vigilància op.mon.3, reforç R6 «Inspeccions de seguretat» ([op.mon.3.r6.3] Proves de penetració), obligatori només en categoria Alta; i a op.nub.1.2, per a serveis al núvol contractats a tercers, en totes les categories. Per a un SaaS hi ha una tercera mesura que pesa més: mp.s.2 «Protecció de serveis i aplicacions web» exigeix auditories de seguretat de l’aplicació web en totes les categories — de caixa negra o de caixa blanca (R1 o R2) en Bàsica i Mitjana, de caixa blanca amb el reforç R3 en Alta — durant el desenvolupament i abans de la posada en producció, amb la periodicitat que fixi el teu procediment d’auditoria. Una auditoria de caixa negra de la teva aplicació és, a la pràctica, un pentest d’aplicació web. Així que en categoria Mitjana l’entitat certificadora no et demanarà «un pentest» per op.mon.3, però sí l’auditoria de seguretat de l’aplicació per mp.s.2 — i l’informe amb retest és la manera més directa de donar-l’hi. El detall, mesura per mesura i categoria per categoria, és a la guia de 2026.

El que l’ENS no diu és «un pentest per trimestre». La periodicitat la marquen la teva anàlisi de riscos i el teu cicle d’auditoria. Un test anual amb retest, més un test intermedi si el teu sistema canvia molt, és el que encaixa amb el cicle de dos anys sense deixar forats.

L’abast segueix la teva declaració d’aplicabilitat

L’entitat certificadora audita el sistema tal com l’has delimitat. Si el pentest cobreix una altra cosa, tens un informe però no una evidència. Per això alineo l’abast abans del test amb la teva declaració d’aplicabilitat — la mateixa aplicació, el mateix entorn, els mateixos rols — i així consta a l’attestation letter (TPM).

Què rep l’entitat certificadora

• L’attestation letter: abast, mètode, període, resultat.
• La declaració de retest per cada ronda: què s’ha corregit.
• Sota petició: la metodologia en detall i resposta a les seves preguntes, sense cost.

L’informe tècnic es queda amb tu. L’auditor no necessita les troballes per comprovar que les has resolt; per a això hi ha la declaració.

Sobre l’idioma

Informe i attestation letter es lliuren en anglès (també treballo en alemany). Moltes entitats certificadores ho accepten sense més; si la teva exigeix l’evidència en castellà, digues-m’ho a la scoping call i veiem si encaixa.

I NIS2 o DORA?

Demanen el mateix amb altres paraules: evidència recent de proves de seguretat, gestió de vulnerabilitats i correcció verificada. Un test amb attestation letter i declaració de retest respon a les tres.

Un matís de dates: a setembre de 2026, Espanya encara no ha publicat al BOE la llei que transposa NIS2, i la Comissió Europea va portar Espanya davant el TJUE el juliol de 2026 pel retard. El que avui li arriba a un proveïdor SaaS no és una obligació pròpia, sinó el qüestionari d’un client que sí que està sota NIS2 i ha de vigilar els seus proveïdors — i aquest qüestionari es respon amb l’attestation letter, no amb l’informe.