Cumplimiento normativo
Llevamos tu producto de seguridad hasta el Catálogo de Productos y Servicios STIC del CCN: encaje en la taxonomía CCN-STIC 140, brechas frente a los requisitos fundamentales de seguridad, preparación de la documentación, coordinación de la evaluación LINCE o Common Criteria y solicitud de inclusión. Consultoría independiente: tú eliges el laboratorio.
No somos laboratorio: acompañamiento independiente hasta la certificación, con el laboratorio acreditado que elijas.
¿Vendes al sector público? El CPSTIC conecta con la adecuación al ENS de tus clientes de categoría ALTA.
¿Prefieres empezar por tu cuenta? Descarga gratis la guía para incluir tu producto en el CPSTIC.
Por qué importa
El Esquema Nacional de Seguridad (RD 311/2022) exige que los sistemas de categoría ALTA empleen productos cualificados incluidos en el CPSTIC cuando existe esa exigencia para la función de seguridad. La consecuencia es directa: si tu producto (cifrado, cortafuegos, VPN, gestión de identidades, protección del puesto, monitorización…) quiere competir por proyectos de la Administración, o venderle a integradores y proveedores que sí trabajan con ella, estar en el catálogo deja de ser una ventaja para convertirse en un requisito.
Y el mercado se amplía: el efecto cascada de NIS2 y la exigencia creciente en contratación pública empujan a más organizaciones a mirar el CPSTIC antes de comprar. Cualificar tu producto no es solo cumplir; es un argumento comercial y una barrera de entrada frente a quien no lo ha hecho.
El proceso, sin embargo, es técnico y no perdona: elegir mal la familia de la taxonomía, llegar a la evaluación con lagunas de desarrollo seguro o con una documentación floja significa suspender, y repetir una evaluación cuesta tiempo y dinero. Ahí es donde entra el acompañamiento.
El marco
La cualificación se apoya en tres piezas del CCN: el procedimiento que la ordena, la taxonomía que fija qué se exige a cada tipo de producto, y la certificación funcional que lo demuestra.
La vía del ENS y el uso general en el sector público. Procedimiento de inclusión CCN-STIC 106. Es la que necesita la mayoría de fabricantes.
CCN-STIC 106
La CCN-STIC 140 clasifica los productos por familias y define, en el anexo de cada una, los Requisitos Fundamentales de Seguridad (RFS) exigibles.
CCN-STIC 140
Una certificación que cubra los RFS de tu familia: evaluación LINCE (nacional, ágil) o Common Criteria (internacional, para garantía alta), por laboratorio acreditado.
LINCE · Common Criteria
Nota: no confundir con los productos aprobados (CCN-STIC 102), que es la vía específica para el manejo de información clasificada y sigue un proceso distinto.
Beneficios
El ENS en categoría ALTA exige producto cualificado. Con el sello entras en licitaciones y proyectos que sin él quedan cerrados.
Llegar a la evaluación preparado evita suspender. Repetir una evaluación LINCE o Common Criteria cuesta tiempo y presupuesto.
No somos laboratorio: te aconsejamos sin conflicto de interés y trabajamos con el evaluador que mejor te encaje.
Estar en el CPSTIC es un argumento comercial y una barrera de entrada frente a los competidores que no lo están.
Servicio
Encaje en la taxonomía: identificación de la familia (o familias) de tu producto en la CCN-STIC 140 y de los RFS que le aplican.
Análisis de brechas del producto frente a esos requisitos: qué cumples ya y qué falta para pasar la evaluación.
Plan de remediación: funciones de seguridad, desarrollo seguro y ajustes de producto para cerrar las brechas antes de evaluar.
Documentación de evaluación: Declaración de Seguridad, manuales y evidencias que el laboratorio necesita.
Selección y coordinación del laboratorio acreditado (LINCE o Common Criteria) y seguimiento de la evaluación.
Solicitud de inclusión: preparación de los formularios FOR-CPSTIC-01 y FOR-CPSTIC-02 y gestión con el CCN hasta la publicación.
Mantenimiento de la cualificación: vigencia, nuevas versiones del producto y renovaciones para no salir del catálogo.
Validación técnica opcional: pruebas de seguridad sobre tu producto antes de la evaluación oficial para llegar sobre seguro.
Método
Familia en la CCN-STIC 140, RFS aplicables y análisis de brechas del producto. Salida: estimación realista de esfuerzo, plazo y coste.
Remediación de las brechas, Declaración de Seguridad y evidencias. Dejamos el producto y la documentación listos para evaluar.
Coordinamos con el laboratorio acreditado que elijas la evaluación LINCE o Common Criteria, y te acompañamos durante todo el proceso.
Solicitud con los formularios FOR-CPSTIC-01 y FOR-CPSTIC-02, gestión con el CCN y publicación del producto en el catálogo.
Encaja con
La cualificación no vive aislada: es una pieza del mismo puzzle que la adecuación al ENS de tus clientes. Quien compra tu producto lo hace, muchas veces, porque su sistema de categoría ALTA se lo exige. Entender los dos lados (el del fabricante y el del organismo que se adecúa) es lo que nos permite prepararte bien.
Y antes de la evaluación oficial, poner tu producto a prueba reduce sorpresas: nuestro pentest de infraestructura y las pruebas de seguridad ayudan a detectar lo que un evaluador encontraría, cuando todavía es barato corregirlo.
Dudas
El CPSTIC es el Catálogo de Productos y Servicios de Seguridad TIC del Centro Criptológico Nacional (CCN). Recoge los productos que han acreditado unos requisitos mínimos de seguridad y que, por ello, pueden emplearse en sistemas sujetos al ENS, especialmente en categoría ALTA. Estar en el catálogo es, en la práctica, la llave para vender producto de seguridad a la Administración.
Son dos vías distintas. Los productos cualificados (procedimiento CCN-STIC 106) son los del ENS y el uso general en el sector público: es la vía habitual. Los productos aprobados (CCN-STIC 102) son para el manejo de información clasificada, con un proceso aparte. Para la inmensa mayoría de fabricantes, la vía es la cualificación.
LINCE es la metodología de evaluación nacional del CCN, más ligera y rápida, pensada para cubrir los requisitos fundamentales de seguridad de muchas familias del catálogo. Common Criteria es un esquema internacional más exigente, adecuado para niveles de garantía altos. La certificación funcional válida para la cualificación puede lograrse por cualquiera de las dos vías; cuál conviene depende de tu producto, tu mercado y los plazos.
Para muchos productos, sí en la práctica. El ENS exige que los sistemas de categoría ALTA empleen productos cualificados incluidos en el CPSTIC cuando existe esa exigencia para la función de seguridad. Si tu producto compite por proyectos del sector público o de sus proveedores, no estar en el catálogo te deja fuera de buena parte del mercado.
No, y desconfía de quien lo prometa: la certificación la emite un laboratorio acreditado y la cualificación la resuelve el CCN. Lo que hacemos es preparar tu producto y tu documentación para superar la evaluación a la primera, reduciendo el riesgo de suspender y el coste de repetir. Acompañamos todo el proceso hasta la publicación.
Somos independientes: no somos laboratorio, así que nuestro criterio es imparcial. Trabajamos con el laboratorio acreditado que elijas o, si lo prefieres, te recomendamos el que mejor encaje con tu familia de producto, plazos y presupuesto, y coordinamos la evaluación con él.
Depende de la familia del producto, de su madurez de seguridad y de la vía de certificación (LINCE suele ser más rápida que Common Criteria). El diagnóstico inicial de encaje en la taxonomía y de brechas frente a los requisitos te da, en pocas semanas, una estimación realista de esfuerzo, plazo y coste antes de comprometer la evaluación.
¿Cualificamos tu producto?
Empecemos por el diagnóstico: la familia de tu producto, los requisitos que te aplican y el camino real hasta el CPSTIC, con una estimación de esfuerzo y plazos.
Habla con un consultor