Productos cualificados
Son productos y servicios para información sensible en sistemas sujetos al ENS. La ficha indica la categoría máxima en la que pueden utilizarse: ALTA, MEDIA o BÁSICA.
Guía CPSTIC
CCN-STIC 105: Catálogo CPSTIC explicado
Qué contiene la guía CCN-STIC 105, cómo interpretar el Catálogo CPSTIC y la importancia de este.
Qué es CCN-STIC 105
CCN-STIC 105 es el Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación. Es la referencia pública del Catálogo CPSTIC: muestra qué productos y servicios han sido reconocidos por el CCN, en qué categoría aparecen y bajo qué condiciones pueden utilizarse.
Criterio práctico
Estar en el Catálogo CPSTIC no solo demuestra la seguridad del producto o servicio. También es requisito para poder ser utilizado por entidades sujetas al ENS, incluidas las Administraciones Públicas.
Lectura rápida
Qué recoge
Productos aprobados, productos o servicios cualificados y soluciones de conformidad y gobernanza.
A quién aplica
Fabricantes, proveedores y consumidores que necesitan interpretar el catálogo.
Qué aclara
Categoría ENS, versión, familia, condiciones de uso, revisión de validez y exclusión.
Qué leer también
CCN-STIC 106, CCN-STIC 140, LINCE o CICLON según el tipo de producto.
Productos aprobados
Están orientados al manejo de información nacional clasificada. En estos casos la ficha indica el nivel máximo de clasificación para el que se aprueba el uso del producto.
Conformidad y gobernanza
Agrupa soluciones orientadas a cumplimiento, riesgo, auditoría, gestión de incidentes, inteligencia, formación o gobierno de seguridad.
Cómo entrar en el Catálogo CPSTIC
La entrada en CPSTIC no se prepara siempre por la misma vía. Antes de iniciar el proceso conviene confirmar el tipo de producto, el modelo de entrega, la familia del catálogo en la que encaja y la categoría objetivo.
LINCE o CICLON
Para productos on-prem, software, hardware o IoT, la vía de entrada recomendada es LINCE. Si el producto se presta como servicio cloud, la vía de entrada recomendada es CICLON.
Productos ya certificados
Si el producto ya dispone de una certificación Common Criteria o EUCC, puede aprovecharse para la entrada en CPSTIC cuando cubre los requisitos necesarios. Si quedan requisitos sin cubrir, puede ser necesario acompañar esa certificación de una STIC complementaria enfocada a evaluar esos puntos.
Conformidad y gobernanza
Para soluciones de esta categoría, la inclusión se lleva a cabo mediante un pentest siguiendo una metodología de evaluación propia de CCN basada en OWASP Top 10.
Por qué importa en el ENS
El Catálogo CPSTIC no es solo una lista de productos y servicios. El Real Decreto 311/2022, que regula el ENS, referencia expresamente el catálogo en las medidas op.pl.5.1 y op.pl.5.2.
Cuando una empresa selecciona productos o servicios de seguridad suministrados por un tercero, debe utilizar CPSTIC como referencia si el sistema está sujeto al ENS. No basta con que la plataforma sobre la que se presta el servicio esté certificada bajo ENS: el propio servicio debe haber sido evaluado e incluido en el Catálogo CPSTIC cuando aplica.
Impacto práctico
Aparecer en el catálogo puede ser la diferencia entre poder ofrecer el producto a organizaciones sujetas al ENS o quedar fuera de licitaciones del sector público español.
Qué información aporta el catálogo
Cada entrada en el catálogo permite interpretar el estado de un producto o servicio concreto.
Nombre del producto o servicio
Versión cualificada o aprobada
Fabricante
Familia o categoría funcional
Tipo de producto o servicio
Categoría ENS cuando aplica
Fecha de inclusión
Fecha de revisión de validez
Procedimiento de empleo seguro asociado
Familias evaluadas y uso permitido
Que un producto aparezca cualificado en una familia no significa que esté cualificado para todas las familias donde podría encajar funcionalmente. Los productos aparecen únicamente en las familias evaluadas, por lo que su uso cualificado queda vinculado a los propósitos y condiciones evaluados.
Actualización mensual
El catálogo se actualiza mensualmente y refleja altas, revisiones de validez, cambios de versión y posibles exclusiones.
Revisión de validez
- Conservar certificaciones vigentes.
- Atender cambios en RFS.
- Corregir vulnerabilidades relevantes.
- Mantener coherencia entre la versión cualificada y la versión real ofrecida.
- Preparar renovaciones cuando corresponda.
Motivos de exclusión
- Caducidad del certificado o falta de nueva solicitud de inclusión.
- Revocación o caducidad de certificaciones requeridas.
- Pérdida de condiciones de excepcionalidad.
- Incumplimiento de RFS vigentes.
- Vulnerabilidades críticas no corregidas.
Fuente oficial
El CCN mantiene una versión web del catálogo y una versión en PDF de la guía. La versión web es la referencia más útil para comprobar el estado actual de un producto o servicio.
Cómo ayuda CYBSER
Os ayudamos a entrar en el Catálogo CPSTIC con una ruta coherente para vuestro producto o servicio: encaje, familia aplicable, categoría objetivo, documentación, evaluación y acompañamiento hasta la entrada.
¿Queréis entrar en el Catálogo CPSTIC?
Analizamos vuestro producto, confirmamos la vía adecuada y nos encargamos de la documentación, la evaluación y la entrada en el Catálogo CPSTIC.