Modelos y registros · ENS
Modelo de declaración de aplicabilidad del ENS
La relación de medidas del Anexo II que se aplican al sistema, con sus refuerzos y las compensatorias que las sustituyen, firmada por el responsable de la seguridad.
En una frase
La declaración de aplicabilidad del ENS formaliza las medidas de seguridad del Anexo II seleccionadas para un sistema según su categoría, sus activos y el análisis de riesgos, con los refuerzos y las medidas compensatorias que se usen; el artículo 28 del Real Decreto 311/2022 exige que la firme el responsable de la seguridad.
- Tipo de información
- Documento obligatorio Art. 28.2 y 28.3 del Real Decreto 311/2022
- Quién lo rellena
- Responsable de la seguridad La firma; la preparan con él los responsables del sistema
- Cuándo
- Tras categorizar y analizar riesgos Se actualiza cuando cambian la categoría, los riesgos o las medidas
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
Las medidas del Anexo II son mínimos exigibles que se seleccionan según la categoría del sistema, los activos y las decisiones de gestión de riesgos. El responsable de la seguridad puede ampliarlas. Las elegidas se formalizan en la declaración de aplicabilidad, que él firma.
Una medida puede sustituirse por otra compensatoria si se justifica documentalmente que protege igual o mejor el riesgo; esa correspondencia tiene que figurar en la propia declaración.
No es la declaración de aplicabilidad de ISO/IEC 27001: aquella parte de los 93 controles del Anexo A y la decide la organización; esta parte del catálogo del Anexo II, cuya exigencia depende de la categoría, y la firma un rol concreto.
Estructura
Campos que debe tener el modelo
- Sistema y categoría
- Medida del Anexo II (código y nombre)
- Aplica o no aplica, con su motivo
- Refuerzos que se aplican
- Medida compensatoria, si sustituye a la original, con su justificación
- Medidas adicionales derivadas del análisis de riesgos
- Estado de implantación y evidencia
- Firma del responsable de la seguridad y fecha
Ejemplo
Ejemplo: cuatro líneas de una declaración en categoría media
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Sistema | Plataforma de cita previa (ficticia) · categoría media |
| org.1 Política de seguridad | Aplica · Implantada · Política v3 aprobada en enero de 2026 |
| op.exp.1 Inventario de activos | Aplica · Implantada · Inventario en el sistema de gestión |
| mp.if.* Protección de instalaciones | Compensatoria: el sistema se aloja en un centro de datos de un proveedor certificado; se justifica con su certificado y el acuerdo de servicio |
| Medida adicional | Segundo factor para todos los usuarios de ayuntamientos, por el riesgo R-04 de suplantación |
| Firma | Responsable de la seguridad, 10 de febrero de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Medidas excluidas que la categoría hace obligatorias.
- Medidas compensatorias sin justificación documental de que protegen igual o mejor.
- Declaración sin firma del responsable de la seguridad, o firmada por quien no ostenta ese papel.
- Se reutiliza la SoA de ISO 27001 cambiando el título.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Las medidas organizativas, operacionales y de protección quedan registradas con su responsable.
- 2Cada medida se enlaza con la evidencia que la demuestra en el gestor documental.
- 3La declaración es un documento controlado: se conserva quién la firmó y cada versión anterior.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Se pueden sustituir medidas del Anexo II?
Sí, por medidas compensatorias, siempre que se justifique documentalmente que protegen igual o mejor el riesgo y que la correspondencia figure en la declaración de aplicabilidad (art. 28.3).
¿Qué es un perfil de cumplimiento específico?
Un conjunto de medidas adaptado a un tipo de entidad o de servicio, publicado para facilitar la adecuación. Si hay uno aplicable al sistema, la selección de medidas puede apoyarse en él.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Categorización del sistema
El primer paso del ENS es categorizar el sistema de información según el impacto que tendría un incidente de…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes