Nueva CCN-STIC 106: qué cambia para llevar vuestro producto a CPSTIC

Si queréis incluir vuestro producto en el Catálogo CPSTIC, la nueva CCN-STIC 106 os afecta a la hora de elegir la evaluación, preparar la documentación y planificar el proyecto.

La edición de octubre de 2026 actualiza el procedimiento de inclusión. Frente a la de abril de 2024, hay cuatro cambios principales que os detallamos a continuación.

1. Si vuestro producto es cloud, CICLON queda expresamente recogido

La guía incorpora CICLON como metodología de evaluación para productos de seguridad en la nube. No basta con revisar el producto una vez: la monitorización forma parte del proceso y puede afectar a su permanencia y categoría en el catálogo.

Para vuestro proyecto, esto significa preparar la evaluación inicial y prever cómo se mantendrá la inclusión mientras el servicio evoluciona. La renovación requiere una nueva evaluación CICLON y una solicitud completa.

La renovación cloud ya existía en la edición anterior. La novedad es que la guía recoge expresamente el marco CICLON. Podéis consultar cómo abordamos la evaluación CICLON.

2. Las herramientas de cumplimiento y gobernanza tienen un procedimiento específico

No todos los productos encajan en la misma vía. Una herramienta de GRC, de apoyo al cumplimiento del ENS o de concienciación puede corresponder al listado de Conformidad y Gobernanza, según su función y siempre que no forme parte de la arquitectura de seguridad del sistema.

El listado ya existía. Lo que desarrolla la nueva guía es su procedimiento de acceso, con pruebas de penetración y evidencias específicas. Para las soluciones cloud también se exige acreditar la certificación ENS vigente de los sistemas donde se despliega el producto.

3. Se puede revisar el alcance antes de completar la certificación

Para productos instalados en la infraestructura del cliente que todavía no tienen certificación, la guía desarrolla una revisión previa de la propuesta de seguridad y de cómo se cubrirán los requisitos del catálogo.

Es una oportunidad para detectar carencias antes de completar la certificación. Así se reduce el riesgo de llegar al final y descubrir que faltan requisitos por evaluar o que hacen falta pruebas adicionales.

Esa revisión no sustituye a la certificación ni garantiza la inclusión. Sirve para comprobar si el alcance planteado responde a lo que pide CPSTIC.

4. El calendario debe incluir la tramitación y el mantenimiento

La nueva edición concreta un plazo de un año por trámite de cualificación, desde la comunicación de inicio, con posibilidad de solicitar una prórroga justificada de seis meses antes de que venza.

Ese año no es una estimación de lo que tardará vuestro proyecto ni una promesa de aprobación. Es el plazo del trámite: documentación, pruebas y correcciones deben coordinarse para no agotarlo.

La inclusión en el catálogo tiene, además, una vigencia que depende de la vía. Para productos cloud y de Conformidad y Gobernanza, la renovación exige una nueva evaluación a los dos años. En productos cualificados mediante LINCE o Common Criteria se admiten renovaciones hasta el fin del soporte de seguridad del producto, con un máximo de cinco años desde la fecha de la certificación. La planificación no termina al conseguir la entrada: también debe contemplar la renovación y los cambios del producto.

Nos encargamos del proceso

En CYBSER revisamos qué vía corresponde a vuestro producto, preparamos la documentación y gestionamos la evaluación y la solicitud de inclusión. Facilitamos el proceso en cada paso para que vuestro equipo solo intervenga en lo imprescindible.

Contadnos qué producto tenéis y en qué punto estáis y revisamos los pasos que necesita vuestro proyecto.

Para el detalle del procedimiento, podéis consultar nuestra guía práctica de CCN-STIC 106.

Comparación entre las ediciones españolas de abril de 2024 y octubre de 2026. Fuente: CCN-STIC 106 oficial (PDF), apartados 4.1.2, 4.5, 5 y 6 de la edición de octubre de 2026.