CCN-STIC 106: cómo incluir vuestro producto en el CPSTIC

Qué regula la CCN-STIC 106

La CCN-STIC 106 describe cómo solicitar, obtener y mantener la inclusión en dos listados del Catálogo CPSTIC: Productos y Servicios Cualificados, y Conformidad y Gobernanza. Los productos aprobados para información nacional clasificada siguen otro procedimiento, el de la CCN-STIC 102.

Para un fabricante, la primera decisión es identificar el listado adecuado y la funcionalidad que quiere incluir. En productos cualificados también hay que definir la familia de CCN-STIC 140 y la categoría ENS objetivo, MEDIA o ALTA. No basta con tener una certificación: su alcance debe cubrir los Requisitos Fundamentales de Seguridad (RFS) aplicables.

Qué vía corresponde a vuestro producto

Productos de seguridad on-premise: Common Criteria o LINCE

Son los productos desplegados en la infraestructura de la organización, en lugar de prestarse desde la nube.

La cualificación parte de una certificación Common Criteria o LINCE. Para MEDIA se exige, como mínimo, LINCE. Para ALTA puede utilizarse Common Criteria o LINCE con las condiciones adicionales del apartado 4.1.1.2.

La vía LINCE para ALTA exige cubrir MEDIA, cumplir la criptografía requerida para ALTA y contratar el mantenimiento de seguridad: análisis de vulnerabilidades y pruebas de penetración al menos anuales en un laboratorio acreditado en el Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información (ENECSTI). En la primera cualificación, se aporta el contrato firmado con el laboratorio para el mantenimiento del año siguiente. Si los RFS de ALTA exceden los de MEDIA, hace falta una evaluación STIC complementaria. No es una subida automática de categoría.

Si la certificación de partida deja RFS sin cubrir, una evaluación STIC complementaria permite evaluar esos requisitos.

Productos de seguridad en la nube: CICLON

La edición de octubre de 2026 incorpora expresamente CICLON, definida en CCN-STIC 2010. La solicitud incluye la Declaración de Seguridad (DS), el Documento de Arquitectura del Servicio (DAS) y la Justificación de Requisitos (JR).

Se evalúan los RFS de la funcionalidad principal. Los requisitos genéricos de nube se cubren mediante la evaluación y la monitorización CICLON. Su Porcentaje de Garantía Compuesto (PGC) combina evaluación y monitorización y puede determinar la entrada, la permanencia, el cambio de categoría o la exclusión del catálogo. La cualificación no termina con la evaluación inicial.

Soluciones de Conformidad y Gobernanza

Este listado recoge soluciones que facilitan el cumplimiento y la gobernanza sin formar parte de la arquitectura de seguridad. La guía cita, entre otros ejemplos orientativos, herramientas GRC, de apoyo al ENS o al RGPD y de concienciación. El encaje depende de la función real del producto.

No se exige verificar RFS de cualificación, sino aportar un informe de pruebas de penetración conforme a CCN-STIC 2030, elaborado por un laboratorio acreditado en el ENECSTI. Las vulnerabilidades críticas o explotables no subsanadas dan lugar a un resultado desfavorable.

Si la solución está en la nube, se añade una declaración responsable basada en el Anexo B de CCN-STIC 2010 (DAS), acreditando la certificación ENS vigente de los sistemas de despliegue. Esta vía tiene su propio distintivo: no equivale a cualificación MEDIA o ALTA ni exige por ese solo motivo una evaluación CICLON completa.

Qué documentación hay que preparar

Para iniciar la cualificación se utilizan FOR-CPSTIC-02 (solicitud) y FOR-CPSTIC-01 (declaración responsable). La documentación adicional depende del caso:

• On-premise con certificación vigente: certificado y DS. Se añade JR si hay diferencias entre los RFS de la familia y los declarados en la DS, e IAD si la versión o los modelos no coinciden con los certificados. La política de versionado es opcional en este supuesto.
• On-premise pendiente de certificación: propuesta de DS, JR y política de versionado. Permite revisar el alcance antes de obtener el certificado.
• Producto cualificado en nube: DS y DAS conforme a los anexos A y B de CCN-STIC 2010, y JR.
• Ampliación a versiones o modelos: DS de partida e Informe de Análisis Diferencial (IAD), firmado por el responsable técnico. Puede partir del último IAD aceptado por el CCN si se indica expresamente.

Los anexos de la nueva 106 se organizan como plantillas: A para la Justificación de Requisitos (JR), B para el Informe de Análisis Diferencial (IAD) y C para el Procedimiento de Empleo Seguro (PES). No deben confundirse con los anexos A y B de la 2010. Se puede adelantar el PES con la solicitud para no dejarlo pendiente al final.

De la solicitud a la inclusión definitiva

1. Definir el alcance. Identificar listado, funcionalidad principal y, para cualificación, familias y categoría. Si no encaja ninguna familia, se indica «Otras herramientas» y el CCN determina los requisitos.
2. Presentar la solicitud y subsanar lo necesario. El CCN emite la comunicación de inicio, COM-INI, que identifica el expediente y comienza el cómputo del plazo del trámite.
3. Revisar la DS cuando corresponda. El Resultado de la Revisión de la Propuesta de Declaración de Seguridad (RRPDS) permite conocer si el alcance propuesto cubre las exigencias del catálogo antes de completar la certificación. No concede por sí mismo la cualificación.
4. Aportar la certificación o evaluación. El CCN revisa la cobertura de RFS y la criptografía, emite el Informe Técnico de Inclusión (ITI) y comunica su resultado (RITI). Si faltan requisitos, indica las evidencias o pruebas pendientes.
5. Completar la ficha y el PES. Tras el RITI favorable se aportan descripción e imagen del producto y el PES, si estaba pendiente. La inclusión puede ser provisional durante un máximo de seis meses.
6. Cerrar la inclusión definitiva. El CCN revisa el PES, solicita correcciones si procede y lo publica como guía de la serie 1000. Después hay que mantener soporte, evidencias y renovaciones.

Esta secuencia corresponde al listado de cualificados. Conformidad y Gobernanza tiene el procedimiento específico del apartado 5. Si el PES no resulta aplicable, la guía permite su inclusión definitiva sin ese documento.

Plazos: no confundir el trámite con la vigencia

Estos plazos son límites y condiciones del procedimiento, no una promesa de cuánto tardará vuestro proyecto. Si vence el plazo sin aportar las evidencias, la guía prevé el archivo y una nueva solicitud con los RFS y algoritmos vigentes en ese momento.

Renovaciones, versiones y continuidad comercial

En on-premise, la renovación exige mantener soporte de seguridad, una certificación con menos de cinco años y el cumplimiento de los RFS vigentes, sin vulnerabilidades críticas no corregidas. El soporte se acredita con documentación del fabricante o con evidencia pública identificada. Puede requerirse actualizar el análisis de vulnerabilidades.

En nube, renovar requiere una nueva solicitud completa y una nueva evaluación CICLON. En Conformidad y Gobernanza también se vuelve a aportar la información y las evidencias como en una inclusión inicial.

Para ampliar versiones o modelos on-premise, el CCN revisa el IAD y decide qué funciones necesitan nuevas pruebas. Puede rechazar esta vía si los cambios son mayores. No se traslada este procedimiento de versiones a nube: CICLON incorpora monitorización continua y periódica.

Una caducidad, la pérdida de soporte, evidencias desfavorables o vulnerabilidades críticas pueden comprometer la permanencia. En CICLON, la guía vincula una vulnerabilidad crítica a PGC cero y exclusión. Los distintivos deben corresponder al producto y listado concretos y retirarse cuando la entrada se excluya.

Cómo os ayuda CYBSER

Nos encargamos de gestionar el proceso de inclusión en CPSTIC: definimos el alcance, preparamos la documentación necesaria, llevamos a cabo la evaluación y realizamos una monitorización durante la inclusión para mantener siempre en catálogo la versión más reciente del producto. Facilitamos el proceso en cada paso para que vuestro equipo solo intervenga en lo imprescindible.

Si ya tenéis una certificación o un expediente abierto, empezamos revisando lo que existe para determinar qué se puede aprovechar y qué debe actualizarse.

Fuente y alcance de esta explicación

Basada en CCN-STIC 106, edición de octubre de 2026, especialmente apartados 4 a 7. Consultad la guía oficial CCN-STIC 106 en español (PDF) y los formularios oficiales de inclusión antes de presentar una solicitud. También está disponible el enlace a la versión oficial en inglés (PDF). La guía no establece un régimen transitorio general para los expedientes abiertos: conviene confirmar su tratamiento con el CCN.