Models i registres · ENS
Model de categorització del sistema segons l'ENS
La valoració del dany que causaria un incident en cada dimensió de seguretat, de la qual surt la categoria del sistema i, amb ella, quines mesures cal aplicar.
En una frase
La categorització del sistema assigna un nivell baix, mitjà o alt a cada dimensió de seguretat —confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat— segons el perjudici d'un incident, i d'aquí en dedueix la categoria bàsica, mitjana o alta del sistema, que és la del nivell més alt, seguint el procediment de l'annex I del Reial decret 311/2022.
- Tipus d'informació
- Document obligatori Art. 40 i annex I del Reial decret 311/2022
- Qui l'emplena
- Responsables de la informació i del servei Valoren les dimensions; el responsable de la seguretat determina la categoria
- Quan
- Abans de seleccionar les mesures I de nou quan canvien la informació tractada o els serveis
- Quant de temps es conserva
- Com a mínim fins a la propera auditoria El reial decret no fixa cap termini de conservació; guardar les versions de cada cicle biennal permet mostrar a l'auditor l'evolució entre auditories.
Què demana la norma
El que exigeix ENS i el que deixa al teu criteri
L'annex I demana valorar, per a cada informació que tracta el sistema i cada servei que presta, el nivell de cadascuna de les cinc dimensions. Una dimensió que no es veu afectada no rep nivell. Si el sistema tracta diverses informacions o presta diversos serveis, cada dimensió pren el nivell més alt de tots.
La categoria resulta de la dimensió amb el nivell més alt: alta si alguna és alta, mitjana si la més alta és mitjana, bàsica si la més alta és baixa. No és una mitjana ni una decisió de conveniència.
El reial decret reparteix els papers: la valoració de la informació i dels serveis correspon als seus responsables, i la categoria la determina el responsable de la seguretat. Que consti qui va valorar cada cosa forma part de l'evidència.
Estructura
Camps que ha de tenir el model
- Sistema d'informació i abast
- Informacions tractades i serveis prestats
- Nivell de cada dimensió per informació i per servei, amb la seva justificació
- Nivell resultant de cada dimensió del sistema
- Categoria del sistema
- Qui valora cada informació i cada servei
- Determinació de la categoria pel responsable de la seguretat, amb data
Exemple
Exemple: plataforma de cita prèvia per a ajuntaments
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Sistema | Plataforma de cita prèvia de Gestiona Dades Locals (fictícia), utilitzada per dotze ajuntaments |
| Informació | Dades de contacte de ciutadans · Confidencialitat mitjana · Integritat baixa |
| Servei | Reserva i gestió de cites · Disponibilitat mitjana · Traçabilitat baixa · Autenticitat baixa |
| Justificació de la disponibilitat | Una caiguda de més d'un dia obliga a atendre sense cita i desborda les oficines, sense afectar drets de manera irreparable |
| Resultat | C mitjana · I baixa · T baixa · A baixa · D mitjana |
| Categoria | Mitjana |
| Determinació | Responsable de la seguretat, 3 de febrer de 2026 |
A l'auditoria
Errors que solen assenyalar els auditors
- Categoria triada «a ull» o per rebaixar exigències, sense valoració per dimensions.
- No consta qui va valorar la informació i el servei.
- Es valora el sistema com un tot sense separar informacions i serveis.
- La categorització no es revisa en incorporar un servei nou.
A Kimobox
Com es porta aquest registre a Kimobox
- 1La valoració de les dimensions de seguretat es documenta com a registre versionat.
- 2La categoria assignada al sistema es registra amb la seva justificació.
- 3L'anàlisi de riscos es vincula al mapa de processos del sistema d'informació.
Preguntes freqüents
El que ens pregunten abans de començar
Un sistema pot tenir categoria mitjana si gairebé tot és baix?
Sí: n'hi ha prou amb una dimensió de nivell mitjà perquè el sistema sigui de categoria mitjana. Per això convé justificar bé cada valoració, en especial la de disponibilitat.
Qui determina la categoria?
El responsable de la seguretat, a partir de les valoracions dels responsables de la informació i dels serveis. El reial decret separa aquests papers perquè ningú no valori i decideixi alhora.
Porta els registres de ENS sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Categorització del sistema
El primer pas de l'ENS és categoritzar el sistema d'informació segons l'impacte que tindria un incident de…
Model de declaració d'aplicabilitat de l'ENS
Què ha de recollir la declaració d'aplicabilitat de l'ENS: mesures de l'annex II segons la categoria…
Model d'anàlisi de riscos segons l'ENS
Com documentar l'anàlisi de riscos de l'ENS: metodologia reconeguda, actius, amenaces, salvaguardes i risc…
Model de política de seguretat segons l'ENS
Què ha de contenir la política de seguretat de l'ENS segons l'article 12: objectius, marc legal, rols…