Models i registres · ENS
Informe d'auditoria de l'ENS: contingut i exemple
L'informe que, com a mínim cada dos anys, dictamina el grau de compliment de l'ENS en un sistema de categoria mitjana o alta i obre el pla de correcció.
En una frase
L'informe d'auditoria de l'ENS dictamina el grau de compliment del Reial decret 311/2022, identifica les troballes de compliment i d'incompliment i inclou la metodologia, l'abast, l'objectiu i les dades en què es basen les conclusions; l'article 31 exigeix auditar com a mínim cada dos anys i presentar l'informe al responsable del sistema i al de la seguretat.
- Tipus d'informació
- Registre obligatori Art. 31 i annex III del Reial decret 311/2022
- Qui l'emplena
- Entitat auditora Per a la certificació, una entitat que compleixi els requisits de la Instrucció Tècnica de Seguretat de conformitat
- Quan
- Com a mínim cada dos anys I després de modificacions substancials del sistema
- Quant de temps es conserva
- Tots els cicles Els responsables de seguretat i el CCN poden requerir els informes (art. 31.7); conservar els anteriors permet demostrar l'evolució
Què demana la norma
El que exigeix ENS i el que deixa al teu criteri
Els sistemes s'auditen de manera ordinària com a mínim cada dos anys i de manera extraordinària després de modificacions substancials, que reinicien el còmput. El termini de dos anys només es pot ampliar tres mesos per causa de força major.
L'informe ha de dictaminar el grau de compliment, identificar troballes i incloure criteris metodològics, abast, objectiu i les dades, els fets i les observacions que sustenten les conclusions. Es presenta al responsable del sistema i al de la seguretat; aquest n'analitza les conclusions i les trasllada al primer perquè adopti les mesures correctores.
En categoria mitjana i alta, l'auditoria de certificació pot coincidir amb l'ordinària. En categoria alta, davant de deficiències greus, el responsable del sistema pot suspendre temporalment el servei.
Estructura
Camps que ha de tenir el model
- Sistema, categoria i abast auditat
- Objectiu i tipus d'auditoria: ordinària, extraordinària, de certificació
- Criteris i metodologia
- Equip auditor i dates
- Dictamen sobre el grau de compliment
- Troballes de compliment i d'incompliment per mesura
- Dades, fets i observacions que les sustenten
- Anàlisi del responsable de la seguretat i mesures correctores amb termini
Exemple
Exemple: auditoria de recertificació en categoria mitjana
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Sistema | Plataforma de cita prèvia (fictícia) · categoria mitjana |
| Tipus | Ordinària i de certificació · del 14 al 16 de setembre de 2026 |
| Dictamen | Conforme amb no conformitats menors |
| Troballa 1 | op.acc: dos comptes d'exempleats actius a la consola d'administració · no conformitat menor |
| Troballa 2 | org.3: el procediment de còpies no reflecteix la nova regió de suport · no conformitat menor |
| Observació | Bona pràctica en la gestió d'incidents i la seva notificació |
| Mesures correctores | Revisió d'accessos i actualització del procediment · responsable del sistema · 31 d'octubre |
A l'auditoria
Errors que solen assenyalar els auditors
- Auditoria fora de termini després d'un canvi substancial que no es va considerar com a tal.
- Troballes sense pla de correcció ni responsable.
- No consta l'anàlisi del responsable de la seguretat.
- Les no conformitats d'una auditoria tornen a aparèixer a la següent.
A Kimobox
Com es porta aquest registre a Kimobox
- 1L'evidència de cada mesura de seguretat s'organitza al gestor documental.
- 2Les troballes d'auditoria es registren com a no conformitats amb el seu pla d'acció.
- 3La declaració o el certificat de conformitat es conserven com a document controlat.
Preguntes freqüents
El que ens pregunten abans de començar
Què és una modificació substancial?
La que afecta la categoria, l'abast o les mesures de manera rellevant: un servei nou, un canvi d'allotjament, una nova interconnexió. El reial decret exigeix una auditoria extraordinària després d'aquestes modificacions; convé deixar raonada la decisió de si un canvi ho és o no.
L'informe d'auditoria interna val per certificar?
No. Per obtenir la certificació de conformitat cal una entitat de certificació que compleixi els requisits de la Instrucció Tècnica de Seguretat. L'auditoria interna prepara, però no substitueix.
Porta els registres de ENS sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Auditoria i certificació de conformitat
Els sistemes de categoria mitjana i alta requereixen una auditoria periòdica que verifiqui el compliment de…
Model de categorització del sistema segons l'ENS
Com documentar la categorització d'un sistema segons l'annex I de l'ENS: nivells de les cinc dimensions…
Model de declaració d'aplicabilitat de l'ENS
Què ha de recollir la declaració d'aplicabilitat de l'ENS: mesures de l'annex II segons la categoria…
Model d'anàlisi de riscos segons l'ENS
Com documentar l'anàlisi de riscos de l'ENS: metodologia reconeguda, actius, amenaces, salvaguardes i risc…