Pentest y certificación OEA: qué revisa la Aduana en seguridad informática

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

La certificación de Operador Económico Autorizado (OEA) no exige un test de intrusión. Lo que exige es que tu empresa tenga medidas apropiadas para proteger su sistema informático de cualquier intrusión no autorizada, y el cuestionario de autoevaluación de la Agencia Tributaria pregunta expresamente si se ha hecho algún test de penetración y con qué resultado. Esta guía explica qué dice la norma, qué te van a preguntar y qué evidencias encajan, sin vender como obligatorio lo que no lo es.

La respuesta corta: no es obligatorio, pero te lo van a preguntar

Ninguna norma del OEA obliga a contratar un pentest. Sí obliga a demostrar que el sistema informático está protegido contra intrusiones, y ahí el cuestionario de autoevaluación incluye una pregunta literal: si se ha efectuado algún test de penetración. Si la respuesta es sí, se pide el resultado y las medidas correctoras adoptadas.

Por eso, para un operador logístico o un transitario que prepara la solicitud, un pentest reciente con su plan de corrección es la forma más directa de responder a esa pregunta con evidencia y no con una declaración. Si no se ha hecho, hay que acreditar la protección por otras vías, y la Aduana valorará si son suficientes.

Qué dice la norma sobre seguridad informática

El artículo 39 del Código Aduanero de la Unión (Reglamento (UE) 952/2013) fija los criterios del OEA. Uno de ellos, la letra b), es demostrar un alto nivel de control de las operaciones mediante un sistema adecuado de gestión de registros.

El Reglamento de Ejecución (UE) 2015/2447 desarrolla ese criterio en su artículo 25. Dos letras afectan directamente a la seguridad informática:

Artículo 25.1.j): el solicitante debe haber establecido medidas apropiadas de seguridad para proteger su sistema informático de cualquier intrusión no autorizada y para asegurar su documentación.
Artículo 25.1.h): debe tener procedimientos satisfactorios de archivo de registros e información y de protección frente a su pérdida.

Este criterio se exige tanto para el OEA de simplificaciones aduaneras (OEAC) como para el de protección y seguridad (OEAS), y para la autorización combinada. El criterio propio del OEAS (artículo 28 del Reglamento de Ejecución) se centra en la seguridad física y de la cadena de suministro: instalaciones, accesos, mercancías, socios comerciales y personal.

Qué pregunta el cuestionario de autoevaluación

El cuestionario que acompaña a la solicitud dedica varias secciones a los sistemas de información. Según la versión anexa a las Orientaciones OEA que publica la Agencia Tributaria:

Sección	Qué se pregunta
3.6 Copias de seguridad	Cómo se hacen y se conservan, y qué plan de emergencia hay ante un fallo del sistema
3.7 Protección de los sistemas informáticos	Medidas contra intrusiones (cortafuegos, antivirus, contraseñas), si se ha hecho algún test de penetración y sus resultados, incidentes del último año, derechos de acceso, responsable de informática e instrucciones internas
3.8 Seguridad de la documentación	Cómo se protege la documentación frente al acceso no autorizado y la pérdida

La Aduana contrasta estas respuestas en su auditoría. Una respuesta sin evidencia detrás es el tipo de punto que acaba en un requerimiento de información o en una recomendación de mejora antes de conceder la autorización.

Qué evidencias encajan con cada requisito

Las Orientaciones OEA incluyen un anexo de posibles soluciones para cada riesgo. Entre ellas figuran las pruebas de intrusión a intervalos periódicos, registradas, y la presentación de un certificado ISO 27001. El propio anexo advierte de que la lista no es exhaustiva ni definitiva: son ejemplos, no requisitos.

Requisito	Evidencia razonable
Protección contra intrusiones (25.1.j)	Informe de pentest reciente, con plan de corrección y retest; configuración de cortafuegos y antivirus; doble factor en accesos remotos
Control de accesos	Relación de usuarios y permisos, y procedimiento de altas y bajas
Copias y continuidad (25.1.h)	Política de copias, prueba de restauración documentada y plan de emergencia
Incidentes	Registro de incidentes del último año y cómo se resolvieron
Documentación	Dónde se guarda, quién accede y cómo se protege

Un informe de pentest no sustituye al resto: demuestra que las medidas declaradas funcionan frente a un ataque real, que es justo lo que una declaración por escrito no puede demostrar.

Qué alcance de pentest tiene sentido para un operador logístico

El alcance debe seguir a los sistemas que sostienen las operaciones aduaneras, no a todo lo que tenga una IP:

Perímetro expuesto: las direcciones IP públicas, la VPN o el acceso remoto, el correo y cualquier panel accesible desde Internet. Es un pentest externo de caja negra, como el que haría un atacante sin credenciales.
Aplicaciones expuestas: el portal de clientes, el seguimiento de envíos o cualquier aplicación web que toque datos de las operaciones.
Sistemas internos críticos: el ERP o el sistema de gestión de despachos y las conexiones con la Aduana. Si un empleado o un equipo comprometido puede llegar a ellos, merece un pentest interno.

Para una pyme logística suele bastar con empezar por el perímetro y las aplicaciones expuestas, y ampliar al interno si el análisis de riesgos lo justifica.

Cuándo hacerlo: antes de rellenar la solicitud

La Agencia Tributaria tiene un plazo de 120 días desde la aceptación de la solicitud para resolver, según el artículo 22.3 del Código Aduanero, ampliable en los supuestos que prevé la norma. Lo útil es hacer el pentest antes de presentar la solicitud: así la pregunta del cuestionario se responde con un informe, los fallos críticos llegan corregidos y el retest documenta que lo están.

Un apunte de vigencia: la UE está reformando el Código Aduanero. Esta guía describe los criterios que aplica hoy la Agencia Tributaria (Reglamento 952/2013 y Reglamento de Ejecución 2015/2447) y se revisará cuando la reforma afecte al OEA.

FAQ

¿Es obligatorio un pentest para obtener el OEA?

No. La norma exige medidas apropiadas para proteger el sistema informático de intrusiones no autorizadas (artículo 25.1.j del Reglamento de Ejecución 2015/2447), no un pentest concreto. Pero el cuestionario de autoevaluación pregunta si se ha hecho alguno y con qué resultado, y un pentest documentado es la evidencia más directa para responder.

¿Necesito ISO 27001 para el OEA?

No. Las Orientaciones OEA mencionan un certificado ISO 27001 como una posible forma de demostrar estándares elevados de seguridad informática, pero ninguna norma lo exige. Si ya lo tienes, ayuda a acreditar el criterio; si no, se acredita con evidencias concretas de cada medida.

¿El requisito de seguridad informática afecta al OEAC o solo al OEAS?

A los dos. La protección del sistema informático forma parte del criterio de gestión de registros (artículo 39.b del Código Aduanero), que se exige tanto para el OEA de simplificaciones aduaneras como para el de protección y seguridad, y para la autorización combinada.

¿Qué pasa si el pentest encuentra fallos antes de presentar la solicitud?

Es el mejor momento para encontrarlos. El cuestionario pregunta por los resultados y por las medidas correctoras: un informe con los fallos ya corregidos y verificados en el retest demuestra justo lo que la Aduana quiere ver, un sistema que se revisa y se corrige.

¿Cada cuánto conviene repetir el pentest una vez obtenido el OEA?

La norma no fija una frecuencia. Las Orientaciones hablan de pruebas de intrusión a intervalos periódicos y registradas, y la autorización se sigue supervisando después de concederse. Una cadencia anual, y otra prueba tras cambios importantes en los sistemas, es la práctica habitual.