El CCN-STIC-896 establece un perfil de cumplimiento específico para los proveedores de Servicios de Seguridad Gestionados (SSG) en el marco del Esquema Nacional de Seguridad (ENS). Define los requisitos técnicos, operativos y organizativos que deben cumplir tanto los sistemas que soportan los SSG como las entidades que los prestan, con el objetivo de garantizar calidad, fiabilidad y confianza en la gestión de riesgos de ciberseguridad. Su ámbito abarca al sector público y al privado que actúe en su cadena de suministro, siendo de aplicación también a Centros de Operaciones de Seguridad (SOC) bajo diferentes niveles de madurez.

El documento clasifica los servicios en cinco bloques: prevención, protección, detección, respuesta y gestión de la ciberseguridad. Cada bloque detalla requisitos complementarios mínimos para obtener certificación, como el análisis de vulnerabilidades, la monitorización, la caza de amenazas, la inteligencia, la gestión de incidentes y la coordinación estratégica. Incluye además medidas reforzadas de seguridad del ENS, como inventarios de activos, auditorías, segregación de funciones, uso de componentes certificados, protección de servicios en la nube, formación del personal y planes de continuidad.

El PCE-SSG se convierte en un marco normativo esencial para acreditar que los servicios cumplen estándares nacionales y europeos (incluida la Directiva NIS2). Permite a clientes y organismos validar la eficacia de los SSG contratados, mejorando la resiliencia frente a incidentes críticos. Asimismo, promueve la profesionalización del sector al definir perfiles de competencias técnicas y roles en los SOC. Con ello, refuerza la confianza en la ciberseguridad institucional y nacional, fomentando una defensa más robusta y alineada con la estrategia digital de España.