Models i registres · ENS
Model de política de seguretat segons l'ENS
El document del qual penja tota la seguretat del sistema: què es protegeix, per què, qui respon de què i com s'organitza la resta de la documentació.
En una frase
La política de seguretat de l'ENS és el document aprovat per la direcció que recull els objectius o la missió de l'organització, el marc regulador, els rols de seguretat amb els seus deures, l'estructura dels comitès, les directrius de la documentació i els riscos del tractament de dades personals, que són els continguts mínims que fixa l'article 12 del Reial decret 311/2022.
- Tipus d'informació
- Document obligatori Art. 12 i mesura org.1 de l'annex II, exigida en totes les categories
- Qui l'emplena
- Direcció o òrgan superior L'aprova; el comitè de seguretat la proposa i la revisa
- Quan
- En adequar-se a l'ENS I a cada revisió periòdica o canvi organitzatiu rellevant
- Quant de temps es conserva
- Versió vigent i anteriors Les versions superades acrediten des de quan estaven assignats els rols
Què demana la norma
El que exigeix ENS i el que deixa al teu criteri
És una de les quatre mesures del marc organitzatiu que s'exigeixen igual en categoria bàsica, mitjana i alta. L'article 12 fixa el que no hi pot faltar: objectius o missió, marc regulador, rols de seguretat amb els seus deures i responsabilitats, estructura i composició dels comitès, directrius per estructurar la documentació i riscos derivats del tractament de dades personals.
El reial decret demana diferenciar responsabilitats: el responsable de la seguretat ha de ser diferent del responsable del sistema i sense dependència jeràrquica entre tots dos (art. 13.3). Designar una sola persona per a tot és la troballa més freqüent.
La política es desenvolupa en la normativa de seguretat (org.2) i en els procediments (org.3); el que és regla o instrucció no ha de ser a la política.
Estructura
Camps que ha de tenir el model
- Objectius o missió de l'organització
- Marc regulador aplicable
- Rols de seguretat: responsable de la informació, del servei, de la seguretat i del sistema, amb els seus deures
- Comitè de seguretat: composició i funcions
- Directrius per estructurar la documentació de seguretat
- Riscos derivats del tractament de dades personals
- Aprovació: òrgan, data i versió
Exemple
Exemple: extracte de la política d'un proveïdor del sector públic
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Missió | Prestar a les entitats locals una plataforma de cita prèvia disponible i fiable |
| Marc regulador | RD 311/2022, Reglament (UE) 2016/679, Llei orgànica 3/2018 i contractes amb cada ajuntament |
| Responsable de la seguretat | Responsable de compliment, sense dependència de l'àrea de sistemes |
| Responsable del sistema | Cap d'infraestructura |
| Comitè de seguretat | Direcció general, responsable de la seguretat, responsable del sistema i delegat de protecció de dades · reunió trimestral |
| Aprovació | Consell d'administració de Gestiona Dades Locals (fictícia), 15 de gener de 2026 · v3 |
A l'auditoria
Errors que solen assenyalar els auditors
- No consta qui va aprovar la política ni quan.
- Responsable de la seguretat i del sistema en la mateixa persona o amb dependència jeràrquica.
- Hi falten els riscos derivats del tractament de dades personals.
- La política inclou normes d'ús d'equips que haurien de ser a la normativa.
A Kimobox
Com es porta aquest registre a Kimobox
- 1La política i la normativa de seguretat es gestionen com a documents controlats.
- 2La normativa es comunica al personal implicat des del portal de l'empleat, amb justificant de lectura.
- 3Cada versió conserva la seva aprovació, i les anteriors queden accessibles.
Preguntes freqüents
El que ens pregunten abans de començar
N'hi ha prou amb la política d'ISO 27001?
Pot servir de base, però ha de cobrir els sis continguts de l'article 12, inclosos els rols propis de l'ENS i l'estructura de comitès. El més habitual és una política única que compleixi tots dos marcs.
Una pime pot tenir una sola persona de seguretat?
La separació entre el responsable de la seguretat i el del sistema és la regla. El reial decret admet excepcions justificades, sempre amb mesures compensatòries documentades.
Porta els registres de ENS sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Marc organitzatiu
El marc organitzatiu són els quatre documents que regeixen la seguretat de l'organització: la política que…
Model de categorització del sistema segons l'ENS
Com documentar la categorització d'un sistema segons l'annex I de l'ENS: nivells de les cinc dimensions…
Model de declaració d'aplicabilitat de l'ENS
Què ha de recollir la declaració d'aplicabilitat de l'ENS: mesures de l'annex II segons la categoria…
Model d'anàlisi de riscos segons l'ENS
Com documentar l'anàlisi de riscos de l'ENS: metodologia reconeguda, actius, amenaces, salvaguardes i risc…