Modelos y registros · ENS
Modelo de categorización del sistema según el ENS
La valoración del daño que causaría un incidente en cada dimensión de seguridad, de la que sale la categoría del sistema y, con ella, qué medidas hay que aplicar.
En una frase
La categorización del sistema asigna un nivel bajo, medio o alto a cada dimensión de seguridad —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— según el perjuicio de un incidente, y de ahí deduce la categoría básica, media o alta del sistema, que es la del nivel más alto, siguiendo el procedimiento del Anexo I del Real Decreto 311/2022.
- Tipo de información
- Documento obligatorio Art. 40 y Anexo I del Real Decreto 311/2022
- Quién lo rellena
- Responsables de la información y del servicio Valoran las dimensiones; el responsable de la seguridad determina la categoría
- Cuándo
- Antes de seleccionar las medidas Y de nuevo cuando cambian la información tratada o los servicios
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
El Anexo I pide valorar, para cada información que trata el sistema y cada servicio que presta, el nivel de cada una de las cinco dimensiones. Una dimensión que no se ve afectada no recibe nivel. Si el sistema trata varias informaciones o presta varios servicios, cada dimensión toma el nivel más alto de todos ellos.
La categoría resulta de la dimensión con nivel más alto: alta si alguna es alta, media si la más alta es media, básica si la más alta es baja. No es una media ni una decisión de conveniencia.
El real decreto reparte los papeles: la valoración de la información y de los servicios corresponde a sus responsables, y la categoría la determina el responsable de la seguridad. Que conste quién valoró cada cosa es parte de la evidencia.
Estructura
Campos que debe tener el modelo
- Sistema de información y alcance
- Informaciones tratadas y servicios prestados
- Nivel de cada dimensión por información y por servicio, con su justificación
- Nivel resultante de cada dimensión del sistema
- Categoría del sistema
- Quién valora cada información y cada servicio
- Determinación de la categoría por el responsable de la seguridad, con fecha
Ejemplo
Ejemplo: plataforma de cita previa para ayuntamientos
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Sistema | Plataforma de cita previa de Gestiona Datos Locales (ficticia), usada por doce ayuntamientos |
| Información | Datos de contacto de ciudadanos · Confidencialidad media · Integridad baja |
| Servicio | Reserva y gestión de citas · Disponibilidad media · Trazabilidad baja · Autenticidad baja |
| Justificación de la disponibilidad | Una caída de más de un día obliga a atender sin cita y desborda las oficinas, sin afectar a derechos de forma irreparable |
| Resultado | C media · I baja · T baja · A baja · D media |
| Categoría | Media |
| Determinación | Responsable de la seguridad, 3 de febrero de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Categoría elegida «a ojo» o para rebajar exigencias, sin valoración por dimensiones.
- No consta quién valoró la información y el servicio.
- Se valora el sistema como un todo sin separar informaciones y servicios.
- La categorización no se revisa al incorporar un servicio nuevo.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La valoración de las dimensiones de seguridad se documenta como registro versionado.
- 2La categoría asignada al sistema se registra con su justificación.
- 3El análisis de riesgos se vincula al mapa de procesos del sistema de información.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Puede un sistema tener categoría media si casi todo es bajo?
Sí: basta con una dimensión de nivel medio para que el sistema sea de categoría media. Por eso conviene justificar bien cada valoración, en especial la de disponibilidad.
¿Quién determina la categoría?
El responsable de la seguridad, a partir de las valoraciones de los responsables de la información y de los servicios. El real decreto separa esos papeles para que nadie valore y decida a la vez.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Categorización del sistema
El primer paso del ENS es categorizar el sistema de información según el impacto que tendría un incidente de…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Modelo de política de seguridad según el ENS
Qué debe contener la política de seguridad del ENS según su artículo 12: objetivos, marco legal, roles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes