Tema 21 Gestión de Sistemas e Informática: auditoría informática

En resumen: El tema 21 de Gestión de Sistemas e Informática trata la auditoría informática: objetivos, alcance, metodología, técnicas, herramientas, normas y estándares, auditoría del ENS y de protección de datos, y seguridad física. Es un tema del Bloque 2 con 6 preguntas oficiales en el banco, y todas se verifican con el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

El tema 21 de Gestión de Sistemas e Informática se titula Auditoría informática y pertenece al Bloque 2, Tecnología básica. Antes de estudiarlo conviene tener claro qué entra, cuánto pesa y qué tipo de preguntas han caído, porque eso te ahorra tiempo y te ayuda a priorizar.

Qué entra según el epígrafe oficial

El epígrafe oficial del tema 21 es: «Auditoría Informática: objetivos, alcance y metodología. Técnicas y herramientas. Normas y estándares. Auditoría del ENS y de protección de datos. Auditoría de seguridad física.»

Es decir, el temario no se queda en la teoría general de la auditoría: baja al detalle del Esquema Nacional de Seguridad (ENS) y a la protección de datos, además de la seguridad física. Por eso las preguntas oficiales del tema se apoyan en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

Cuánto pesa el tema 21 en el banco de preguntas

El tema 21 aporta 6 preguntas oficiales, un 0,9 % del banco. Es un peso pequeño, pero no residual: si dominas el ENS, rentabilizas mucho el estudio.

Así se reparten esas preguntas por año:

Ojo con la tabla: son sumas de todas las convocatorias de ese año (libre, promoción interna y extraordinarias), sin contar repetidas. No es lo que trae un examen concreto. Aun así, se ve una tendencia clara: en 2025 el tema ganó presencia.

Qué tipo de preguntas han caído

Las preguntas oficiales del tema son muy concretas y giran alrededor del ENS. Estas son tres de ejemplo, con la respuesta correcta y por qué las otras opciones despistan.

Ejemplo 1: porcentaje de procedimientos operativos de seguridad

Enunciado resumido: según la Guía CCN-STIC 804 (ENS. Guía de implantación), el conjunto de procedimientos operativos de seguridad [ORG.3] debe cubrir un porcentaje mínimo de las actividades rutinarias, además de tareas poco frecuentes pero con pasos muy precisos.

• Correcta: c) El 80 % de las actividades rutinarias.
• Las opciones a), b) y d) ofrecen 60 %, 90 % y 70 %, cifras plausibles que despistan si no has fijado el dato exacto.

La lección: en este tipo de pregunta no vale «suena razonable», hay que memorizar la cifra.

Ejemplo 2: requisitos de los Órganos de Auditoría Técnica del ENS

Enunciado resumido: ¿qué requisito deben cumplir los Órganos de Auditoría Técnica (OAT) del Sector Público?

• Correcta: d), que exige imparcialidad e independencia respecto de la entidad auditada, de conformidad con la ITS de Auditoría, la ITS de Conformidad con el ENS y la ISO/IEC 17065.
• La opción b) es casi idéntica, pero cita la ISO/IEC 17035, una norma distinta: es el distractor clásico de número cambiado.
• Las opciones a) y c) se centran en años de experiencia (cuatro frente a cinco) y no responden al requisito que se pregunta.

Aquí el truco es doble: fijarte en la norma correcta y no caer en el cambio de un solo dígito.

Ejemplo 3: pruebas en preproducción

Enunciado resumido: según la medida [op.exp.5.3] del ENS, las pruebas en preproducción, cuando sea posible realizarlas:

• Correcta: a) Se efectuarán en equipos equivalentes a los de producción, al menos en los aspectos específicos del cambio.
• Las opciones b), c) y d) suenan a buenas prácticas (virtualizar, saltarse la prueba si hay aprobación, ejecutar en horas de baja demanda), pero no son lo que dice la medida.

Normas que hay que llevar al día

Las preguntas oficiales del tema se han verificado con una única norma, y las 6 preguntas se apoyan en ella:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

Además, en los enunciados aparecen referencias que conviene reconocer: la Guía CCN-STIC 804, las ITS de Auditoría y de Conformidad con el ENS, y las normas ISO/IEC 17065 e ISO/IEC 17035. Saber cuál es cuál marca la diferencia entre acertar y picar.

Cómo enfocar el estudio

Con un peso del 0,9 % y solo 6 preguntas, el tema 21 no pide horas infinitas, pero sí precisión. Te recomiendo:

1. Leer el epígrafe oficial y quedarte con sus seis bloques.
2. Estudiar el ENS con detalle: medidas como [ORG.3] y [op.exp.5.3], y los requisitos de los OAT.
3. Repasar las cifras y los números de norma, que es donde están los distractores.
4. Practicar con preguntas reales para ver el estilo.

Si vienes de temas cercanos, te ayudará repasar el tema 20 de Gestión de Sistemas e Informática: riesgos y el tema 7 de Gestión de Sistemas e Informática: protección de datos, porque conectan con la auditoría del ENS y de protección de datos.

Preguntas frecuentes

¿Qué entra en el tema 21 de Gestión de Sistemas e Informática?

Auditoría informática en sentido amplio: objetivos, alcance y metodología; técnicas y herramientas; normas y estándares; auditoría del ENS y de protección de datos; y auditoría de seguridad física.

¿Cuántas preguntas oficiales tiene el tema 21?

El banco recoge 6 preguntas oficiales, un 0,9 % del total. En 2025 se sumaron 3, el año con más presencia del tema.

¿Qué norma hay que estudiar para el tema 21?

El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, con el que se han verificado las 6 preguntas del tema.

¿Las preguntas del tema 21 son teóricas o prácticas?

Son teóricas y muy concretas: porcentajes, requisitos de los OAT y medidas del ENS. El reto está en la precisión, no en los cálculos.

Siguiente paso

Ya sabes qué entra, cuánto pesa y cómo despistan las opciones. El mejor siguiente paso es ponerte a prueba con el test del tema 21 con preguntas oficiales y comprobar si tienes fijadas las cifras y las normas. Si quieres ampliar, tienes los tests gratis con preguntas oficiales de Gestión de Sistemas e Informática y el calendario de convocatorias y fechas de examen.