Models i registres · ENS

Model de declaració d'aplicabilitat de l'ENS

La relació de mesures de l'annex II que s'apliquen al sistema, amb els seus reforços i les compensatòries que les substitueixen, signada pel responsable de la seguretat.

En una frase

La declaració d'aplicabilitat de l'ENS formalitza les mesures de seguretat de l'annex II seleccionades per a un sistema segons la seva categoria, els seus actius i l'anàlisi de riscos, amb els reforços i les mesures compensatòries que s'hi facin servir; l'article 28 del Reial decret 311/2022 exigeix que la signi el responsable de la seguretat.

Contingut revisat el 17 d'octubre de 2026

Tipus d'informació: Document obligatori Art. 28.2 i 28.3 del Reial decret 311/2022
Qui l'emplena: Responsable de la seguretat La signa; la preparen amb ell els responsables del sistema
Quan: Després de categoritzar i analitzar els riscos S'actualitza quan canvien la categoria, els riscos o les mesures
Quant de temps es conserva: Com a mínim fins a la propera auditoria El reial decret no fixa cap termini de conservació; guardar les versions de cada cicle biennal permet mostrar a l'auditor l'evolució entre auditories.

Què demana la norma

El que exigeix ENS i el que deixa al teu criteri

Les mesures de l'annex II són mínims exigibles que se seleccionen segons la categoria del sistema, els actius i les decisions de gestió de riscos. El responsable de la seguretat les pot ampliar. Les triades es formalitzen en la declaració d'aplicabilitat, que ell signa.

Una mesura es pot substituir per una altra de compensatòria si es justifica documentalment que protegeix igual o millor el risc; aquesta correspondència ha de figurar a la mateixa declaració.

No és la declaració d'aplicabilitat d'ISO/IEC 27001: aquella parteix dels 93 controls de l'annex A i la decideix l'organització; aquesta parteix del catàleg de l'annex II, l'exigència del qual depèn de la categoria, i la signa un rol concret.

Llegeix-ho en context: Categorització del sistema, a l'Acadèmia de ENS

Estructura

Camps que ha de tenir el model

Sistema i categoria
Mesura de l'annex II (codi i nom)
S'aplica o no s'aplica, amb el motiu
Reforços que s'apliquen
Mesura compensatòria, si substitueix l'original, amb la seva justificació
Mesures addicionals derivades de l'anàlisi de riscos
Estat d'implantació i evidència
Signatura del responsable de la seguretat i data

Exemple

Exemple: quatre línies d'una declaració en categoria mitjana

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Sistema	Plataforma de cita prèvia (fictícia) · categoria mitjana
org.1 Política de seguretat	S'aplica · Implantada · Política v3 aprovada el gener de 2026
op.exp.1 Inventari d'actius	S'aplica · Implantada · Inventari al sistema de gestió
mp.if.* Protecció de les instal·lacions	Compensatòria: el sistema s'allotja en un centre de dades d'un proveïdor certificat; es justifica amb el seu certificat i l'acord de servei
Mesura addicional	Segon factor per a tots els usuaris d'ajuntaments, pel risc R-04 de suplantació
Signatura	Responsable de la seguretat, 10 de febrer de 2026

A l'auditoria

Errors que solen assenyalar els auditors

Mesures excloses que la categoria fa obligatòries.
Mesures compensatòries sense justificació documental que protegeixen igual o millor.
Declaració sense la signatura del responsable de la seguretat, o signada per qui no té aquest paper.
Es reutilitza la SoA d'ISO 27001 canviant-ne el títol.

A Kimobox

Com es porta aquest registre a Kimobox

1Les mesures organitzatives, operacionals i de protecció queden registrades amb el seu responsable.
2Cada mesura s'enllaça amb l'evidència que la demostra al gestor documental.
3La declaració és un document controlat: es conserva qui la va signar i cada versió anterior.

Preguntes freqüents

El que ens pregunten abans de començar

Es poden substituir mesures de l'annex II?

Sí, per mesures compensatòries, sempre que es justifiqui documentalment que protegeixen igual o millor el risc i que la correspondència figuri a la declaració d'aplicabilitat (art. 28.3).

Què és un perfil de compliment específic?

Un conjunt de mesures adaptat a un tipus d'entitat o de servei, publicat per facilitar l'adequació. Si n'hi ha un d'aplicable al sistema, la selecció de mesures s'hi pot recolzar.

Porta els registres de ENS sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant