120 CPE en tres años: cómo funciona la renovación del CISSP

Hacen falta 120 CPE por ciclo de tres años, y nada más: el mínimo anual de 40 ya no existe desde 2022 para los miembros certificados. La pregunta, sin embargo, vuelve una y otra vez bajo formas apenas distintas: ¿40 al año o 120 en tres años? ¿Cuándo arranca el contador? ¿Cuenta un pódcast? Las respuestas de la comunidad son en general convergentes, pero conviven con recuerdos de reglas antiguas que ya no están vigentes. Este artículo recoge lo que entienden los profesionales certificados; el CPE Handbook publicado por ISC2 en isc2.org sigue siendo el documento de referencia en caso de litigio o de auditoría.

¿Cuántos CPE hacen falta y en qué periodo?

La respuesta constante de los testimonios: 120 CPE por ciclo de tres años. El ciclo se comporta como un bloque, y no como tres tramos anuales que haya que validar por separado.

La unidad de cuenta es sencilla y se recuerda cada vez que un miembro se equivoca: una hora de actividad vale un crédito. Un hilo de 2025 es explícito en este punto, después de que un miembro anunciara 30 a 40 CPE por una formación de once horas:

« 1 hour = 1 CPE so not entirely sure where the 30-40 comes from »

Traducción: «1 hora = 1 CPE, así que no veo muy bien de dónde salen los 30 a 40».

El autor del mensaje original reconoció que su estimación procedía de un asistente conversacional y corrigió su declaración. Es un recordatorio útil: los órdenes de magnitud que circulan hay que reducirlos al tiempo realmente dedicado.

El volumen parece intimidante, pero los testimonios no lo describen como un obstáculo: varios miembros muestran contadores de 250, 400, 467 e incluso 490 créditos sin esfuerzo particular, y uno de ellos resume la mecánica ganadora en una frase:

« I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor. »

Traducción: «Suelo ver un seminario web de una hora en mi segundo monitor casi todos los viernes, mientras termino la semana laboral en el monitor principal».

Una precisión importante para un lector hispanohablante: todas las fuentes de CPE recogidas en los testimonios están en inglés. Seminarios web, pódcast, congresos, plataformas de formación: no se cita ninguna fuente en español en tres años de archivos. Mantener la certificación supone, en la práctica, estar cómodo leyendo y escuchando en inglés.

¿Sigue existiendo el mínimo de 40 CPE al año?

No para los miembros certificados, y es probablemente la confusión más extendida de los testimonios. Un comentario zanja el debate citando el handbook:

« ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status. »

Traducción: «ISC2 propone un mínimo anual sugerido para ayudar a repartir el esfuerzo de mantenimiento de la certificación, pero no existe ninguna obligación anual, salvo que se tenga el estatus Associate».

El historial de esta regla lo cuenta un miembro que se presenta como redactor de exámenes para ISC2 y CISSP desde hace trece años:

Periodo	Regla tal como se relata
Antes de 2020	40 CPE anuales obligatorios, 120 por ciclo de tres años
2020	Mínimo anual rebajado a 20 CPE
Desde 2022	Mínimo anual suprimido: solo quedan los 120 por ciclo

« Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together. »

Traducción: «Antes de 2020 había que hacer 40 al año, con 120 por ciclo de tres años. En 2020 lo bajaron a 20 al año y en 2022 lo eliminaron por completo».

La misma persona lo ve como un riesgo más que como un regalo, y predice que la desaparición de la salvaguarda anual volverá negligentes a los profesionales certificados hasta que «una primera hornada» pierda su certificación. La confusión, por su parte, persiste sobre el terreno: todavía en mayo de 2026, un recién certificado escribía que buscaba cómo mantener su certificación «con 40 CPE al año O 120 en tres años».

¿Cuál es la diferencia entre el grupo A y el grupo B?

El reparto es sencillo: el grupo A cubre las actividades directamente relacionadas con los dominios de la seguridad de la información, y el grupo B el desarrollo profesional más general. La estrategia tipo compartida en un hilo dedicado a acumular créditos deprisa:

« Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings »

Traducción: «Categoría A: una mezcla de pódcast, formaciones en línea y lecturas de libros blancos o artículos. […] Categoría B: sobre todo cosas relacionadas con el trabajo, como reuniones de dirección».

La clasificación no es definitiva, sin embargo. Un caso de enero de 2026 relata una reclasificación de 20 horas del grupo A al grupo B decidida por ISC2 sin aviso, entre ellas dos horas de seminarios web que la propia ISC2 había enviado al miembro por correo electrónico. Otro miembro cuenta que consiguió anular un rechazo reescribiendo la descripción de su actividad para vincularla explícitamente a la seguridad. El consejo que se desprende de estos hilos: recurrir, pero con un expediente.

« If you can show why they should count they will likely accept them. »

Traducción: «Si puede demostrar por qué deberían contar, probablemente los aceptarán».

Consecuencia práctica: redacte las descripciones de sus actividades pensando en alguien que tendrá que juzgar, más adelante y sin contexto, si la hora declarada corresponde realmente a la seguridad.

¿A partir de cuándo se pueden acumular créditos?

Solo a partir de la fecha de certificación, es decir, una vez aprobado el endorsement y pagada la cuota anual.

« You can’t collect CPE until after your certification date which is when it is fully endorsed »

Traducción: «No puede acumular CPE antes de su fecha de certificación, que es el momento en que el endorsement queda completamente validado».

La trampa es real. Un candidato cuenta que «perdió» un congreso RSA y tres certificaciones realizadas mientras esperaba su endorsement: nada de eso pudo declararse. Dado que los plazos de endorsement referidos se sitúan entre tres y seis semanas y media desde la presentación del expediente —y más si hay una revisión en profundidad de la experiencia—, se trata de una ventana durante la cual el esfuerzo de formación no cuenta. Como el pago de la cuota forma parte del desencadenante, el funcionamiento de la AMF condiciona directamente el arranque del contador.

Para quienes tienen varias certificaciones ISC2, los testimonios describen contadores separados, pero un mismo CPE puede declararse en las dos siempre que el tema cubra los dominios de ambas; los eventos organizados por ISC2 se aplicarían automáticamente a las dos.

¿Se pueden trasladar los CPE sobrantes al ciclo siguiente?

Parcialmente. El traslado que describe la comunidad solo afecta a los créditos obtenidos durante los seis últimos meses del ciclo, con un tope de 40 mencionado: una cifra que conviene confirmar en el CPE Handbook antes de construir un plan sobre ella.

La implicación práctica sí es unánime: no deje de declarar sus actividades una vez alcanzados los 120 si el final del ciclo se acerca. Lo que se gana en esa ventana final no se pierde.

¿Cómo se desarrolla una auditoría y qué pruebas se aceptan?

Las auditorías de CPE se describen como aleatorias y poco exigentes en cuanto a la forma. Un miembro cuenta que fue auditado por primera vez en varios años por medio crédito de un curso en línea, y concluye que la selección no tiene nada de dirigida.

Prueba referida en los testimonios	Resultado descrito
Captura de pantalla de una aplicación de escucha de pódcast	Aceptada
Capturas de publicaciones hechas durante un congreso	Aceptadas, 35 créditos validados
Certificados de finalización, recibos	Aceptados
Simple declaración de lo que se ha hecho	A veces suficiente

« 'proof' doesn’t have to be formal… sometimes (gasp) they’ll take whatever you tell them you did »

Traducción: «la “prueba” no tiene por qué ser formal… a veces, por sorprendente que parezca, aceptan sin más lo que usted declara haber hecho».

La buena práctica descrita es constante: llevar una hoja de cálculo con fecha, título, número de horas y enlace; descargar los certificados cuando la plataforma los ofrece; escribir dos o tres líneas de resumen para los pódcast y las lecturas. «No hace falta más detalle que eso, salvo que su declaración sea auditada». Esta auditoría no debe confundirse con la auditoría de endorsement, que se refiere a la experiencia profesional en el momento de la candidatura.

¿Qué se arriesga al dejar pasar un ciclo?

La suspensión y después la pérdida de la certificación. Y los testimonios no dejan lugar a dudas sobre lo que viene a continuación: entre los miembros que perdieron su CISSP y volvieron a necesitarlo, todos tuvieron que repetir el examen completo. Cuatro testimonios lo confirman, entre ellos una persona certificada en 2002 que la dejó caducar en 2020 y otra certificada en 2014 que no aguantó el ritmo después del periodo covid. Repetir el examen significa volver a pagar un intento: los importes declarados figuran en la página dedicada al precio del examen CISSP, y las razones por las que profesionales veteranos suspenden, en por qué se suspende el CISSP.

Las dos situaciones de recuperación más frecuentes de los testimonios —«estoy en el año 3 con 0 CPE y diez meses por delante» y «tengo 1 crédito de 120»— terminan bien: las respuestas detallan soluciones de recuperación rápida, esencialmente seminarios web en cadena y congresos. Las fuentes gratuitas recogidas por la comunidad bastan, por sí solas, para cubrir un ciclo entero. El consejo más repetido sigue siendo, no obstante, el más sencillo: empezar pronto, aunque eso suponga cerrar los 120 créditos en ocho meses y vivir el resto del ciclo con tranquilidad.