Modelos y registros · ENS
Modelo de política de seguridad según el ENS
El documento del que cuelga toda la seguridad del sistema: qué se protege, por qué, quién responde de qué y cómo se organiza el resto de la documentación.
En una frase
La política de seguridad del ENS es el documento aprobado por la dirección que recoge los objetivos o la misión de la organización, el marco regulatorio, los roles de seguridad con sus deberes, la estructura de los comités, las directrices de la documentación y los riesgos del tratamiento de datos personales, que son los contenidos mínimos que fija el artículo 12 del Real Decreto 311/2022.
- Tipo de información
- Documento obligatorio Art. 12 y medida org.1 del Anexo II, exigida en todas las categorías
- Quién lo rellena
- Dirección u órgano superior La aprueba; el comité de seguridad la propone y la revisa
- Cuándo
- Al adecuarse al ENS Y en cada revisión periódica o cambio organizativo relevante
- Cuánto se conserva
- Versión vigente y anteriores Las versiones superadas acreditan desde cuándo estaban asignados los roles
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
Es una de las cuatro medidas del marco organizativo que se exigen igual en categoría básica, media y alta. El artículo 12 fija lo que no puede faltar: objetivos o misión, marco regulatorio, roles de seguridad con sus deberes y responsabilidades, estructura y composición de los comités, directrices para estructurar la documentación y riesgos derivados del tratamiento de datos personales.
El real decreto pide diferenciar responsabilidades: el responsable de la seguridad debe ser distinto del responsable del sistema y sin dependencia jerárquica entre ambos (art. 13.3). Nombrar a una sola persona para todo es el hallazgo más frecuente.
La política se desarrolla en la normativa de seguridad (org.2) y en los procedimientos (org.3); lo que es regla o instrucción no debe estar en la política.
Estructura
Campos que debe tener el modelo
- Objetivos o misión de la organización
- Marco regulatorio aplicable
- Roles de seguridad: responsable de la información, del servicio, de la seguridad y del sistema, con sus deberes
- Comité de seguridad: composición y funciones
- Directrices para estructurar la documentación de seguridad
- Riesgos derivados del tratamiento de datos personales
- Aprobación: órgano, fecha y versión
Ejemplo
Ejemplo: extracto de la política de un proveedor del sector público
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Misión | Prestar a las entidades locales una plataforma de cita previa disponible y fiable |
| Marco regulatorio | RD 311/2022, Reglamento (UE) 2016/679, Ley Orgánica 3/2018 y contratos con cada ayuntamiento |
| Responsable de la seguridad | Responsable de cumplimiento, sin dependencia del área de sistemas |
| Responsable del sistema | Jefe de infraestructura |
| Comité de seguridad | Dirección general, responsable de la seguridad, responsable del sistema y delegado de protección de datos · reunión trimestral |
| Aprobación | Consejo de administración de Gestiona Datos Locales (ficticia), 15 de enero de 2026 · v3 |
En la auditoría
Errores que suelen señalar los auditores
- No consta quién aprobó la política ni cuándo.
- Responsable de la seguridad y del sistema en la misma persona o con dependencia jerárquica.
- Faltan los riesgos derivados del tratamiento de datos personales.
- La política incluye normas de uso de equipos que deberían estar en la normativa.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La política y la normativa de seguridad se gestionan como documentos controlados.
- 2La normativa se comunica al personal implicado desde el portal del empleado, con acuse de lectura.
- 3Cada versión conserva su aprobación, y las anteriores quedan accesibles.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Basta con la política de ISO 27001?
Puede servir de base, pero debe cubrir los seis contenidos del artículo 12, incluidos los roles propios del ENS y la estructura de comités. Lo habitual es una política única que cumpla ambos marcos.
¿Puede una pyme tener una sola persona de seguridad?
La separación entre responsable de la seguridad y del sistema es la regla. El real decreto admite excepciones justificadas, siempre con medidas compensatorias documentadas.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Marco organizativo
El marco organizativo son los cuatro documentos que rigen la seguridad de la organización: la política que…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes
- Reglamento (UE) 2016/679, general de protección de datos EUR-Lex · 27 de abril de 2016