Evidencias de cumplimiento automáticas: menos auditoría, más control
Las evidencias de cumplimiento son las pruebas de que un control funciona: un registro de accesos, una copia restaurada o una política aprobada. Sin embargo, recopilarlas a mano consume semanas antes de cada auditoría. Por eso, aquí verás qué automatizar, qué dejar en manos de personas y cómo lograr que auditores y supervisores las acepten.
En 30 segundos: una evidencia demuestra que un control opera durante todo el periodo auditado, no solo la víspera. Los registros técnicos (accesos, copias, parches, formación) admiten una recogida automática y continua. En cambio, las decisiones de la dirección, el análisis de riesgos y las pruebas de continuidad necesitan juicio humano. Para que el auditor confíe en las evidencias de cumplimiento automáticas, necesita conocer su origen y su fecha. Además, debe saber que nadie las ha alterado.
Qué son las evidencias de cumplimiento
Una evidencia es cualquier información que permite a un tercero comprobar que un control existe y funciona. Puede ser un documento, como una política firmada. También puede ser un registro de accesos, una configuración de doble factor o el informe de una restauración. Por tanto, sin ella un control es solo una intención.
Además, la carga de la prueba recae en ti. El RGPD lo dice de forma expresa: el responsable del tratamiento debe cumplir y «ser capaz de demostrarlo» (artículo 5.2, responsabilidad proactiva). Del mismo modo, la directiva NIS2 permite a la autoridad pedir pruebas de la aplicación de las políticas de ciberseguridad. Entre ellas cita, por ejemplo, los resultados de auditorías y la evidencia que los sustenta (artículos 32.2.g y 33.2.f). Así que las evidencias de cumplimiento no son un trámite: te protegen ante un supervisor.
Qué piden auditores y supervisores en cada norma
Además, cada marco tiene su revisor y su foco. La tabla resume quién mira tus evidencias de cumplimiento y en qué artículos se apoya.
| Norma | Quién revisa | Qué espera ver |
|---|---|---|
| ISO 27001 | Entidad de certificación (seguimiento anual y renovación cada tres años) | Información documentada (cláusula 7.5), resultados de seguimiento y medición (9.1), auditorías internas (9.2) y revisión por la dirección (9.3) |
| ENS | Autoevaluación en categoría BÁSICA; entidad de certificación acreditada por ENAC en MEDIA y ALTA | Declaración de Aplicabilidad, registro de la actividad (op.exp.8) y auditoría ordinaria al menos cada dos años (artículo 31) |
| NIS2 | Autoridad competente nacional | Políticas documentadas, resultados de auditorías y la evidencia que los respalda (artículos 32.2 y 33.2) |
| DORA | Supervisor financiero: Banco de España, CNMV o DGSFP, según la entidad | Marco de riesgo TIC documentado y revisado al menos una vez al año, auditoría interna periódica y registro de información de terceros TIC (artículos 6 y 28.3) |
| RGPD | AEPD | Registro de actividades de tratamiento (artículo 30), documentación de cada brecha (artículo 33.5) y verificación regular de la eficacia de las medidas (artículo 32.1.d) |
En España, NIS2 sigue sin transponer a 14 de octubre de 2026 y rige el Real Decreto-ley 12/2018. Lo explicamos en el artículo sobre la transposición pendiente de NIS2 y el TJUE. Aun así, conviene preparar tus evidencias de cumplimiento con el nivel de la directiva, porque la ley española tendrá que recogerlo.
Qué evidencias de cumplimiento se pueden automatizar
La regla es clara: automatiza lo que un sistema ya registra y deja a las personas lo que exige criterio. Así, el equipo dedica su tiempo a revisar, no a hacer capturas. Se automatiza bien:
- Altas, bajas y cambios de permisos del directorio de usuarios.
- Estado del doble factor por usuario y por aplicación.
- Resultado de cada copia de seguridad y de las pruebas de restauración.
- Parches pendientes y vulnerabilidades abiertas por criticidad.
- Registros de actividad centralizados y alertas de monitorización.
- Cursos de concienciación completados por cada empleado.
- Inventario de activos y desviaciones frente a la configuración de referencia.
Necesita juicio humano:
- La aprobación de las medidas por la dirección, que exige el artículo 20 de NIS2.
- El análisis de riesgos y la aceptación del riesgo residual.
- La revisión por la dirección y las lecciones aprendidas tras un incidente.
- Decidir si procede notificar una brecha en 72 horas a la AEPD.
- También la evaluación de un proveedor crítico antes de contratarlo.
Por último, entre ambos extremos está lo híbrido. Por ejemplo, cada trimestre el sistema prepara la lista de usuarios con acceso a una aplicación crítica. Después, el responsable la revisa y la firma. Es decir, la máquina aporta los datos; la persona, la decisión. Ese modelo encaja con lo que buscan los auditores: control continuo con supervisión humana documentada.
Ejemplos por control: qué recoger y cada cuánto
La tabla recoge evidencias de cumplimiento habituales con su referencia en cada marco. La frecuencia es orientativa: la fija tu análisis de riesgos, no la norma.
| Control | Evidencia automática | Frecuencia orientativa | Referencias |
|---|---|---|---|
| Gestión de accesos | Altas, bajas y permisos, con revisión firmada | Continua; revisión trimestral | ISO A.5.15 y A.5.18; NIS2 21.2.i; DORA 9.4.c |
| Doble factor | Usuarios y aplicaciones con MFA activa | Diaria | ISO A.8.5; NIS2 21.2.j; ENS op.acc.6 |
| Copias de seguridad | Registro de cada copia y de las restauraciones de prueba | Diaria; restauración periódica | ISO A.8.13; ENS mp.info.6; DORA art. 12 |
| Vulnerabilidades | Escaneos y estado de parches por criticidad | Semanal o continua | ISO A.8.8; ENS op.exp.4; NIS2 21.2.e |
| Registro de actividad | Logs centralizados, protegidos y con hora sincronizada | Continua | ISO A.8.15 y A.8.17; ENS op.exp.8; RTS de DORA, art. 12 |
| Formación | Cursos completados por persona | Mensual | ISO A.6.3; NIS2 21.2.g; DORA 13.6 |
| Proveedores TIC | Contratos, evaluaciones y registro de información | Al contratar y cada año | ISO A.5.19 a A.5.22; DORA 28.3; RGPD art. 28 |
Si eres una entidad financiera, el registro de proveedores es una prueba clave. Por eso lo detallamos en la guía del registro de información de terceros TIC de DORA.
Cadena de custodia de las evidencias de cumplimiento
Las evidencias de cumplimiento automáticas solo valen si el auditor puede confiar en ellas. Para eso necesita saber de dónde salen, cuándo se generaron, quién ha accedido y si alguien las ha cambiado.
- Origen: cada evidencia guarda su sistema de procedencia y el control al que responde.
- Fecha fiable: los relojes deben ir sincronizados con una fuente de referencia. Lo piden el control A.8.17 de ISO 27001 y el artículo 12 del Reglamento Delegado (UE) 2024/1774 de DORA.
- Integridad: una huella criptográfica (hash) y un almacenamiento de solo escritura permiten demostrar que nadie la ha alterado.
- Acceso y retención: solo acceden roles autorizados durante un plazo definido. Asimismo, el Reglamento (UE) 2024/2690 de NIS2 pide guardar los registros un tiempo predefinido y protegerlos de cambios no autorizados.
Sin embargo, esto no convierte la evidencia en una prueba pericial. Si un incidente puede acabar en los tribunales, aplica además el control A.5.28 de ISO 27001 (recogida de evidencias). Después, preserva los datos con un procedimiento forense.
Cómo empezar sin un gran proyecto
- Primero, elige los diez o doce controles que más tiempo te cuestan en cada auditoría.
- Después, conecta las fuentes que ya existen: directorio, copias, escáner de vulnerabilidades y plataforma de formación.
- Luego, define para cada evidencia su responsable, su frecuencia y su plazo de conservación.
- Además, revisa cada mes los controles sin prueba reciente y corrígelos antes de la auditoría.
- Por último, reutiliza cada evidencia en todas las normas que la piden con un mapa de controles común.
Con ese orden, las evidencias de cumplimiento dejan de ser un sprint previo a la auditoría. Al final, pasan a ser un subproducto de la operación diaria.
Preguntas frecuentes
¿Aceptan los auditores evidencias de cumplimiento automáticas?
Sí, siempre que puedan verificar su origen, su integridad y que cubren todo el periodo auditado. De hecho, una serie continua de registros convence más que una captura del día anterior. Aun así, el auditor puede pedir una demostración en directo o una muestra para contrastar los datos.
¿Cuánto tiempo conservo las evidencias de cumplimiento?
No hay un plazo único. Como mínimo, guarda lo que cubra el ciclo de auditoría: tres años en ISO 27001 y dos en el ENS. Además, DORA y el Reglamento 2024/2690 piden fijar un periodo de retención para los registros. Asimismo, si la prueba contiene datos personales, limita el plazo a lo necesario, como exige el RGPD.
¿Vale una captura de pantalla como prueba?
Puede valer para un hecho puntual, pero es débil: no muestra el origen ni prueba que el control funcionara antes. Por eso, conviene sustituirla por exportaciones fechadas del propio sistema o por consultas que el auditor pueda repetir.
¿Puedo usar la misma evidencia para varias normas?
Sí, y es la forma más eficaz de trabajar. Por ejemplo, el informe de restauración sirve para ISO 27001 (A.8.13), el ENS (mp.info.6), DORA (artículo 12) y el RGPD (artículo 32.1.c). Así, basta con vincularla una vez a cada requisito.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC recoge evidencias de cumplimiento de forma automática y las asocia a un modelo de controles común: un control, varias normas. Así ves, servicio por servicio, qué controles tienen prueba reciente y cuáles no. Además, el reloj regulatorio te avisa antes de cada revisión o plazo. También la gestión de incidentes y el registro de terceros dejan su propio rastro documental. Consulta la ficha de ISO 27001 e ISO 22301 o solicita una demo.
