Models i registres · ISO 27001 · Apartat A.5.31
Registre de requisits legals i contractuals de seguretat
La llista de lleis, reglaments i contractes que imposen obligacions de seguretat a l'empresa, amb el que demanen i com es compleix cadascuna.
En una frase
El registre de requisits legals i contractuals identifica les lleis, els reglaments i els contractes que imposen obligacions de seguretat —protecció de dades, NIS2, ENS, clàusules de clients— i explica com es compleix cadascuna; el demana el control 5.31 d'ISO/IEC 27001:2022, que exigeix identificar-los, documentar-los i mantenir-los al dia.
- On ho demana la norma
- ISO 27001 · Apartat A.5.31 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Document obligatori Control 5.31 de l'annex A, que demana documentar-los i mantenir-los al dia
- Qui l'emplena
- Responsable de seguretat amb l'assessoria jurídica Els contractes els aporta qui els signa: comercial, compres
- Quan
- Quan canvia la llei o se signa un contracte Amb una revisió completa com a mínim una vegada l'any
- Quant de temps es conserva
- Sempre vigent Es manté actualitzat; les versions anteriors mostren des de quan es coneixia cada obligació
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
L'apartat 4.2 demana conèixer els requisits de les parts interessades, i el control 5.31 concreta els que vénen de lleis, reglaments i contractes: identificar-los, documentar-los i mantenir-los actualitzats, juntament amb l'enfocament per complir-los.
A diferència del registre d'obligacions d'un sistema de compliance, aquest es limita al que afecta la seguretat de la informació. La seva utilitat és doble: alimenta l'anàlisi de riscos i justifica la inclusió de controls a la declaració d'aplicabilitat.
Controls veïns completen el quadre: propietat intel·lectual (5.32), protecció de registres (5.33) i privadesa i dades personals (5.34).
Estructura
Camps que ha de tenir el model
- Norma o contracte d'origen, amb la seva referència
- Requisit concret de seguretat que imposa
- Àmbit: quins processos, sistemes o dades afecta
- Com es compleix: control, procediment o evidència
- Responsable
- Terminis de notificació o de resposta que fixi
- Data d'identificació i d'última revisió
Exemple
Exemple: tres requisits d'una empresa de programari
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| RGPD, art. 33 | Notificar les bretxes de dades personals a l'autoritat de control en 72 hores · Procediment d'incidents PS-08 · Delegat de protecció de dades |
| RGPD, art. 28 | Contracte d'encàrrec amb cada client que ens confia dades · Model de contracte aprovat · Comercial i jurídic |
| Contracte amb un client públic (fictici) | Complir l'ENS en categoria mitjana · Certificació prevista · Responsable de seguretat |
| Contracte amb una asseguradora clienta (fictícia) | Avisar dels incidents greus en 24 hores · Afegit al procediment PS-08 |
| Última revisió | 15 de juliol de 2026 |
A l'auditoria
Errors que solen assenyalar els auditors
- Llista de lleis sense dir què demanen ni com es compleixen.
- No hi apareixen els compromisos de seguretat dels contractes amb clients.
- Terminis de notificació dels contractes que el procediment d'incidents ignora.
- No es revisa després de l'entrada en vigor de normes noves, com la transposició de NIS2.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Les parts interessades i els seus requisits de seguretat es donen d'alta en una taula versionada.
- 2Cada requisit s'enllaça al control o al procediment que el compleix, a la declaració d'aplicabilitat.
- 3La revisió periòdica queda programada i avisa el seu responsable.
Preguntes freqüents
El que ens pregunten abans de començar
És el mateix que el registre d'obligacions d'ISO 37301?
No. El d'ISO 37301 abasta totes les obligacions de compliment de l'organització; aquest es limita a les que afecten la seguretat de la informació. Si es tenen tots dos sistemes, el de seguretat pot ser una vista filtrada del general.
Cal incloure-hi els contractes amb clients?
Sí. El control 5.31 parla expressament de requisits contractuals, i solen ser els més exigents: terminis d'avís d'incidents, auditories del client o ubicació de les dades.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model de registre d'obligacions de compliance ISO 37301
Com documentar les obligacions de compliance que demana ISO 37301: requisits obligatoris i compromisos…
Context de l'organització
El sistema de seguretat de la informació comença per saber quins actius cal protegir i qui té expectatives…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022
- Reglament (UE) 2016/679, general de protecció de dades EUR-Lex · 27 d'abril de 2016
- Directiva (UE) 2022/2555 (NIS2) EUR-Lex · 14 de desembre de 2022