¿Qué exige este criterio?
Una NC mayor es un incumplimiento que el CAB no puede dejar pasar: impide que el servicio se cualifique. Ejemplos típicos: ausencia del ERDS-PS, ausencia del plan de cese, HSM sin certificación adecuada, algoritmos criptográficos deprecados en producción. Para cerrar una NC mayor, el TSP debe: (1) implementar la corrección; (2) generar la evidencia de que está corregida; (3) comunicársela al CAB para que la verifique. El cierre puede hacerse in situ o de forma remota con evidencias documentales.

¿Qué hay que revisar al cliente?

• Listado de NCM identificadas en la auditoría (o en la pre-auditoría).
• Plan de cierre de cada NCM con acción, responsable y fecha.
• Evidencias generadas para demostrar el cierre de cada NCM.
• Verificación de cierre por el CAB.

Preguntas clave para las entrevistas

• ¿Hay NCM identificadas en la pre-auditoría que aún no estén cerradas?
• ¿Para cada NCM hay un plan de cierre con fecha comprometida?
• ¿El CAB ha verificado el cierre de las NCM antes de emitir el CAR?
• ¿Hay NCM cuyo cierre requiere más tiempo del disponible antes del CAR?

¿Por qué es esencial para QERDS y TSA?
Una NCM abierta en el momento del CAR hace imposible la emisión de un CAR positivo. Si aparece una NCM inesperada en la auditoría real (no detectada en la pre-auditoría), el proceso de cualificación puede retrasarse entre 3 y 6 meses hasta que se corrija y el CAB la verifique. La pre-auditoría es la mejor forma de evitar esta situación.

Evidencia que demostraría conformidad

• Listado de NCM con plan de cierre.
• Evidencias de cierre de cada NCM.
• Verificación de cierre por el CAB (comunicación escrita).