Models i registres · ENS

Registre d'autoritzacions de l'ENS (procés org.4)

La porta d'entrada del sistema: res no es posa en producció, es connecta o es contracta sense una autorització prèvia amb criteri i rastre.

En una frase

El registre d'autoritzacions de l'ENS recull cada sol·licitud d'incorporar alguna cosa al sistema —instal·lacions, equips i aplicacions, enllaços de comunicacions, suports, equips mòbils o serveis de tercers—, qui la va autoritzar i amb quin criteri; és l'evidència del procés formal d'autorització que exigeix la mesura org.4 de l'annex II del Reial decret 311/2022.

Contingut revisat el 17 d'octubre de 2026

Tipus d'informació: Registre obligatori Mesura org.4 de l'annex II, exigida en totes les categories
Qui l'emplena: Qui sol·licita i qui autoritza L'autoritzant per a cada tipus de component el fixa el procediment; sol ser el responsable del sistema amb el vistiplau del de seguretat
Quan: Abans d'incorporar el component Una autorització posterior és una regularització i ha de constar com a tal
Quant de temps es conserva: Com a mínim fins a la propera auditoria El reial decret no fixa cap termini de conservació; guardar les versions de cada cicle biennal permet mostrar a l'auditor l'evolució entre auditories.

Què demana la norma

El que exigeix ENS i el que deixa al teu criteri

La mesura org.4 demana un procés formal d'autoritzacions que cobreixi, com a mínim, la utilització d'instal·lacions, l'entrada d'equips i aplicacions en producció, l'establiment d'enllaços de comunicacions amb altres sistemes, la utilització de suports d'informació, l'ús d'equips mòbils i la utilització de serveis de tercers.

El reial decret demana el procés; el registre és el que permet demostrar que se segueix. Una autorització en un correu solt no es pot auditar dos anys després.

Convé deixar escrit qui autoritza cada tipus de component i amb quins criteris: comprovacions prèvies, configuració de seguretat, impacte en la categoria.

Llegeix-ho en context: Marc organitzatiu, a l'Acadèmia de ENS

Estructura

Camps que ha de tenir el model

Número, data de sol·licitud i sol·licitant
Tipus: instal·lació, equip, aplicació, enllaç, suport, equip mòbil, servei de tercer
Descripció i finalitat
Comprovacions de seguretat fetes
Impacte en la categoria o en la declaració d'aplicabilitat
Decisió, persona que autoritza i data
Condicions imposades

Exemple

Exemple: alta d'un servei d'enviament d'SMS

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Número i data	AUT-2026-019 · 4 de març de 2026
Sol·licitant	Cap de producte
Tipus	Servei de tercer
Descripció	Proveïdor d'SMS (fictici) per a recordatoris de cita als ciutadans
Comprovacions	Contracte d'encàrrec de tractament, dades allotjades a la UE, conformitat ENS del proveïdor en categoria mitjana
Impacte	Sense canvi de categoria; s'afegeix a l'inventari i a la mesura op.ext
Decisió	Autoritzat pel responsable del sistema amb el vistiplau del responsable de la seguretat, 11 de març
Condicions	Només el número de telèfon i la data de la cita; mai el motiu

A l'auditoria

Errors que solen assenyalar els auditors

Equips o aplicacions en producció sense autorització registrada.
Serveis al núvol contractats per un departament sense passar pel procés.
No està escrit qui pot autoritzar cada tipus de component.
Autoritzacions sense les comprovacions que justifiquen la decisió.

A Kimobox

Com es porta aquest registre a Kimobox

1El procés d'autorització de components es registra com a flux d'aprovació.
2Cada sol·licitud arriba a qui l'ha d'autoritzar segons el seu tipus, i la decisió queda amb data i autor.
3La documentació del proveïdor d'un servei autoritzat viu al portal de proveïdors, amb les seves caducitats vigilades.

Preguntes freqüents

El que ens pregunten abans de començar

Cal autoritzar cada portàtil nou?

Es pot autoritzar un model i una configuració estàndard una vegada, i registrar després cada alta com a aplicació d'aquesta autorització. El que no val és que ningú no hagi autoritzat mai l'estàndard.

S'aplica en categoria bàsica?

Sí. Les quatre mesures del marc organitzatiu, org.4 inclosa, s'exigeixen en totes les categories.

Porta els registres de ENS sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant