Modelos y registros · ENS
Autoevaluación y declaración de conformidad ENS (categoría básica)
En categoría básica no hace falta auditoría externa: basta una autoevaluación documentada que sostenga la declaración de conformidad.
En una frase
La autoevaluación del ENS es la revisión documentada, hecha por el personal que administra el sistema o por quien este delegue, de si cada medida aplicable está implantada y sujeta a revisión, con sus evidencias; según el artículo 38.1 del Real Decreto 311/2022, en categoría básica basta para emitir la declaración de conformidad, sin auditoría de certificación.
- Tipo de información
- Registro obligatorio Art. 38.1 y Anexo III del Real Decreto 311/2022
- Quién lo rellena
- Personal que administra el sistema O quien este delegue; el responsable de la seguridad analiza el resultado
- Cuándo
- Con la misma cadencia que la auditoría La regla general del art. 31 es al menos cada dos años y tras modificaciones sustanciales
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
Los sistemas de categoría básica solo requieren una autoevaluación para declarar su conformidad, aunque pueden optar por una auditoría de certificación. La autoevaluación la hace el mismo personal que administra el sistema o en quien delegue, y debe documentarse indicando si cada medida está implantada y sujeta a revisión regular, con las evidencias que lo sustentan.
El responsable de la seguridad analiza el resultado y eleva sus conclusiones al responsable del sistema para que adopte las medidas correctoras. Con la autoevaluación favorable se emite la declaración de conformidad, en los términos de la Instrucción Técnica de Seguridad de conformidad.
Que sea interna no la hace informal: un pliego que pide «conformidad ENS básica» espera ver la declaración y, si la pide, la autoevaluación que la respalda.
Estructura
Campos que debe tener el modelo
- Sistema, categoría básica y alcance
- Quién realiza la autoevaluación y fechas
- Medida por medida: implantada sí o no, sujeta a revisión regular
- Evidencia de cada medida
- Deficiencias y medidas correctoras con plazo
- Análisis y conclusiones del responsable de la seguridad
- Declaración de conformidad: fecha y firmante
Ejemplo
Ejemplo: autoevaluación de un servicio de formularios web
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Sistema | Servicio de formularios para una mancomunidad (ficticio) · categoría básica |
| Realiza | Técnico de sistemas, por delegación del responsable del sistema · 2 al 6 de marzo de 2026 |
| Medidas revisadas | 41 aplicables · 38 implantadas con evidencia |
| Deficiencias | Normativa de uso de equipos sin acuse de lectura; inventario sin revisar desde 2025; sin prueba de restauración del último año |
| Medidas correctoras | Las tres cerradas antes del 30 de abril |
| Análisis | Responsable de la seguridad, 8 de mayo: conformidad tras las correcciones |
| Declaración | Emitida el 12 de mayo de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Declaración de conformidad sin autoevaluación documentada detrás.
- Medidas marcadas como implantadas sin evidencia.
- La autoevaluación la hace el responsable de la seguridad, que luego la analiza.
- Se aplica la vía de autoevaluación a un sistema que, bien categorizado, sería de categoría media.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La declaración y la evidencia de cumplimiento están siempre listas para el ciclo bienal.
- 2Cada medida se enlaza con su evidencia en el gestor documental.
- 3Las deficiencias se registran como no conformidades con su plan de acción, y la declaración se conserva como documento controlado.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Puede un sistema de categoría básica certificarse?
Sí. El artículo 38.1 permite someterlo a una auditoría de certificación aunque no sea obligatoria. Algunos contratos públicos lo piden, y entonces la autoevaluación no basta.
¿Quién firma la declaración de conformidad?
La organización responsable del sistema, en los términos de la Instrucción Técnica de Seguridad de conformidad. Lo que no puede faltar es el análisis previo del responsable de la seguridad.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Auditoría y certificación de conformidad
Los sistemas de categoría media y alta requieren una auditoría periódica que verifique el cumplimiento del…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes