Models i registres · ENS
Model de registre d'incidents segons l'ENS
Cada incident amb la seva classificació, el seu escalat i, quan l'impacte és significatiu, la notificació que l'ENS obliga a fer.
En una frase
El registre d'incidents de l'ENS documenta la detecció, la classificació segons criteris definits, l'escalat, la resposta i, quan l'impacte és significatiu, la notificació al CERT competent; respon a la mesura op.exp.7 de l'annex II, que demana un procés integral de gestió d'incidents, i a l'article 33 del Reial decret 311/2022, que en regula la notificació.
- Tipus d'informació
- Registre obligatori Mesura op.exp.7 de l'annex II i art. 33 del Reial decret 311/2022
- Qui l'emplena
- Responsable de la seguretat Coordina la resposta i decideix la notificació; sistemes executa la contenció
- Quan
- Des de la detecció La notificació segueix els terminis que fixen les guies del CCN segons la perillositat
- Quant de temps es conserva
- Com a mínim fins a la propera auditoria El reial decret no fixa cap termini de conservació; guardar les versions de cada cicle biennal permet mostrar a l'auditor l'evolució entre auditories.
Què demana la norma
El que exigeix ENS i el que deixa al teu criteri
La mesura op.exp.7 demana un procés integral per fer front als incidents, amb criteris de classificació i d'escalat. Si l'incident afecta dades personals, també es té en compte la normativa de protecció de dades. Als nivells superiors s'hi afegeixen reforços sobre la notificació i la resposta.
L'article 33 obliga les entitats del sector públic a notificar al CCN els incidents amb impacte significatiu, i preveu com ho fan les organitzacions privades que els presten serveis. La guia CCN-STIC 817 detalla els criteris de classificació i perillositat.
Davant del registre d'incidents d'ISO/IEC 27001, el de l'ENS hi afegeix la classificació segons les guies del CCN i l'obligació de notificar; si es tenen tots dos sistemes, un únic registre amb aquests camps serveix per a tots dos.
Estructura
Camps que ha de tenir el model
- Número, data i hora de detecció i origen
- Sistema i servei afectats
- Classificació i nivell de perillositat i d'impacte
- Escalat: a qui es comunica i quan
- Notificació al CERT competent i als organismes clients, amb data i referència
- Afecta dades personals? Decisió sobre la notificació a l'autoritat de control
- Resposta: contenció, eradicació, recuperació
- Lliçons apreses i mesures derivades
- Tancament
Exemple
Exemple: atac de denegació de servei a la plataforma
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Número | INC-ENS-2026-03 · 9 de juny de 2026, 18:05 |
| Afectat | Servei de reserva de cites · caiguda de 3 h en 12 ajuntaments |
| Classificació | Disponibilitat · perillositat mitjana segons la guia de referència |
| Escalat | 18:15 responsable de la seguretat · 18:30 comitè de crisi · 19:00 avís als ajuntaments |
| Notificació | Comunicada al CERT competent a través de la seva plataforma de notificació · referència anotada |
| Dades personals | No afectades: només disponibilitat |
| Resposta | Filtratge del trànsit amb el proveïdor de xarxa; servei restablert a les 21:10 |
| Lliçó | Contractar protecció anti-DDoS permanent · afegida a l'anàlisi de riscos |
A l'auditoria
Errors que solen assenyalar els auditors
- No hi ha criteris escrits de classificació ni d'escalat.
- Incidents significatius no notificats, o sense constància de la notificació.
- No s'avisa els organismes clients, que tenen la seva pròpia obligació.
- Les lliçons apreses no arriben a l'anàlisi de riscos ni a la declaració d'aplicabilitat.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Els incidents de seguretat es classifiquen i es notifiquen segons l'ENS, amb la seva cronologia i el seu tancament.
- 2Les incidències de seguretat es vinculen a les no conformitats del sistema.
- 3L'acció correctiva s'assigna amb responsable i data, amb avís si es retarda.
Preguntes freqüents
El que ens pregunten abans de començar
A qui notifica una empresa privada?
L'article 33 regula la notificació de les entitats del sector públic al CCN i la de les organitzacions privades que els presten serveis a través del CERT que els correspon. Convé a més avisar l'organisme client, que sol exigir-ho per contracte.
És el mateix que notificar una bretxa de dades?
No. La bretxa de dades personals es notifica a l'autoritat de protecció de dades en 72 hores segons el RGPD. Un mateix incident pot exigir totes dues notificacions, amb els seus propis terminis.
Porta els registres de ENS sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model de registre d'incidents de seguretat ISO 27001
Què ha de recollir el registre d'incidents de seguretat de la informació segons els controls 5.24 a 5.28…
Marc operacional
El marc operacional cobreix com es planifica, opera i controla el sistema dia a dia per mantenir la seguretat.
Model de categorització del sistema segons l'ENS
Com documentar la categorització d'un sistema segons l'annex I de l'ENS: nivells de les cinc dimensions…
Model de declaració d'aplicabilitat de l'ENS
Què ha de recollir la declaració d'aplicabilitat de l'ENS: mesures de l'annex II segons la categoria…