La Guia CCN-STIC 808 ve a complementar a la guia “CCN-STIC-802 Esquema Nacional de Seguretat – Guia d'auditoria” i té com a objecte “el servir tant d'itinerari, com de registre, a aquella persona designada com a auditor dels requisits de l'Esquema Nacional de Seguretat per a un sistema”.
Els sistemes d'informació de categoria Alta o Mitjana, inclosos aquells d'empreses del sector privat que prestin serveis a les entitats públiques, estan obligats a la realització d'una auditoria regular, almenys cada dos anys i una de caràcter extraordinari sempre que es produeixin modificacions substancials en el sistema d'informació.
El CCN-CERT ha publicat al seu portal web la Guia CCN-STIC 808 de verificació de l'Esquema Nacional de Seguretat (ENS)
que el seu objectiu és servir tant d'itinerari, com de registre, a aquella persona designada com a auditor dels requisits de l'ENS. D'aquesta manera, es podrà canalitzar d'una forma homogènia la realització de les auditories, ordinàries o extraordinàries, establint unes premisses mínimes en la seva execució, tal com marca l'article 34 del Reial decret 3/2010 de 8 de gener, pel qual es regula l'ENS.
El citat article 34 assenyala que els sistemes d'informació als quals es refereix el reial decret seran objecte d'una auditoria regular ordinària, almenys cada dos anys, que verifiqui el compliment dels requeriments del present Esquema Nacional de Seguretat.
Amb caràcter extraordinari, haurà de realitzar-se aquesta auditoria sempre que es produeixin modificacions substancials en el sistema d'informació, que puguin repercutir en les mesures de seguretat requerides.
