Una Declaración de Aplicabilidad útil no es una tabla en la que todas las medidas aparecen marcadas como implantadas. Debe reflejar el sistema real, la categoría, los requisitos aplicables y las decisiones justificadas.
El artículo 28 del Real Decreto 311/2022 regula el cumplimiento de los requisitos mínimos y el uso de medidas compensatorias cuando proceda. El anexo II relaciona medidas con categoría y dimensiones. Las guías de la serie 800 del CCN desarrollan la interpretación y se actualizan con el tiempo.
Cuatro situaciones que no deben mezclarse
Fuera de alcance
La medida se refiere a un servicio, activo o tecnología que no forma parte del sistema evaluado. La explicación debe enlazar con el alcance aprobado, no con una preferencia de implantación.
No aplicable por diseño
El supuesto de hecho de la medida no existe. Por ejemplo, una medida relativa a un tipo de soporte puede no aplicar si ese soporte no se utiliza y hay evidencia de la restricción técnica y organizativa.
Medida equivalente o compensatoria
La organización aplica otra protección para alcanzar una seguridad equivalente. Hay que explicar la equivalencia, analizar el riesgo y aprobar la decisión. No es lo mismo que “no aplica”.
Pendiente o deficiente
La medida sí aplica, pero no está implantada o no funciona como debería. Debe figurar como brecha y entrar en un plan de adecuación o tratamiento. Etiquetarla como excluida oculta el riesgo.
Una ficha defendible
Para cada medida marcada como no aplicable, registra:
- identificador y versión de la medida;
- sistema, servicio y activos afectados;
- motivo exacto de no aplicabilidad;
- referencia al alcance, arquitectura o procedimiento que lo demuestra;
- escenarios de riesgo considerados;
- controles que impiden que cambie el supuesto;
- responsable de la decisión;
- fecha de aprobación y próxima revisión.
Una justificación como “no se utiliza” es débil si nadie puede demostrar que el uso está bloqueado o gobernado. Una evidencia verificable puede ser una configuración, un inventario, una norma técnica o un contrato, según el caso.
Ejemplos prudentes
Soportes extraíbles: la organización no entrega ni admite soportes extraíbles en el sistema, los puertos están controlados y el procedimiento de excepciones queda registrado. La justificación se revisa si aparece un nuevo flujo de intercambio.
Desarrollo de software: el alcance no incluye desarrollo ni mantenimiento de código y todo el software se adquiere como servicio bajo contratos definidos. La conclusión debe revisarse si el equipo empieza a crear integraciones, scripts o componentes propios.
Interconexiones: una medida asociada a conexiones externas no puede marcarse como no aplicable solo porque el servicio está “en la nube”. La arquitectura y los flujos reales deciden.
Estos ejemplos no son respuestas universales. La misma etiqueta tecnológica puede ocultar situaciones distintas.
Revisión y auditoría
La auditoría examina la coherencia entre alcance, categoría, análisis de riesgos, Declaración de Aplicabilidad y evidencia técnica. Ninguna redacción garantiza que una decisión sea aceptada.
Antes de cerrar la DdA:
- utiliza la versión vigente del RD 311/2022 y de las guías CCN aplicables;
- confirma que la categoría y las dimensiones están aprobadas;
- distingue ausencia de aplicabilidad de falta de implantación;
- comprueba que la evidencia sigue vigente;
- somete la decisión a las funciones responsables.
El CCN anunció en junio de 2026 nuevas ediciones de varias guías de la serie 800, incluidas 802, 808, 809 y 825. Reutilizar citas de versiones anteriores sin comprobar el texto vigente puede alterar la interpretación.
Uso de herramientas generativas
Una IA puede ayudar a convertir evidencias en un primer borrador. No debe inventar arquitectura, afirmar que una medida no aplica ni prometer que una entidad de certificación aceptará la exclusión. Toda propuesta requiere revisión por personas que conozcan el sistema y el marco aplicable.
Fuentes primarias
- Real Decreto 311/2022
- Guías CCN-STIC de la serie 800
- Actualización de las guías 802, 808, 809 y 825, junio de 2026
Este contenido no sustituye una revisión del sistema ni asesoramiento especializado. La organización conserva la responsabilidad de justificar y aprobar cada decisión.