Modelos y registros · ENS
Modelo de registro de incidentes según el ENS
Cada incidente con su clasificación, su escalado y, cuando el impacto es significativo, la notificación que el ENS obliga a hacer.
En una frase
El registro de incidentes del ENS documenta la detección, la clasificación según criterios definidos, el escalado, la respuesta y, cuando el impacto es significativo, la notificación al CERT competente; responde a la medida op.exp.7 del Anexo II, que pide un proceso integral de gestión de incidentes, y al artículo 33 del Real Decreto 311/2022, que regula su notificación.
- Tipo de información
- Registro obligatorio Medida op.exp.7 del Anexo II y art. 33 del Real Decreto 311/2022
- Quién lo rellena
- Responsable de la seguridad Coordina la respuesta y decide la notificación; sistemas ejecuta la contención
- Cuándo
- Desde la detección La notificación sigue los plazos que fijan las guías del CCN según la peligrosidad
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
La medida op.exp.7 pide un proceso integral para hacer frente a los incidentes, con criterios de clasificación y de escalado. Si el incidente afecta a datos personales, se tiene en cuenta también la normativa de protección de datos. En los niveles superiores se añaden refuerzos sobre la notificación y la respuesta.
El artículo 33 obliga a las entidades del sector público a notificar al CCN los incidentes con impacto significativo, y prevé cómo lo hacen las organizaciones privadas que les prestan servicios. La guía CCN-STIC 817 detalla los criterios de clasificación y peligrosidad.
Frente al registro de incidentes de ISO/IEC 27001, el del ENS añade la clasificación según las guías del CCN y la obligación de notificar; si se tienen ambos sistemas, un único registro con esos campos sirve para los dos.
Estructura
Campos que debe tener el modelo
- Número, fecha y hora de detección y origen
- Sistema y servicio afectados
- Clasificación y nivel de peligrosidad e impacto
- Escalado: a quién se comunica y cuándo
- Notificación al CERT competente y a los organismos clientes, con fecha y referencia
- ¿Afecta a datos personales? Decisión sobre la notificación a la autoridad de control
- Respuesta: contención, erradicación, recuperación
- Lecciones aprendidas y medidas derivadas
- Cierre
Ejemplo
Ejemplo: ataque de denegación de servicio a la plataforma
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Número | INC-ENS-2026-03 · 9 de junio de 2026, 18:05 |
| Afectado | Servicio de reserva de citas · caída de 3 h en 12 ayuntamientos |
| Clasificación | Disponibilidad · peligrosidad media según la guía de referencia |
| Escalado | 18:15 responsable de la seguridad · 18:30 comité de crisis · 19:00 aviso a los ayuntamientos |
| Notificación | Comunicada al CERT competente a través de su plataforma de notificación · referencia anotada |
| Datos personales | No afectados: solo disponibilidad |
| Respuesta | Filtrado de tráfico con el proveedor de red; servicio restablecido a las 21:10 |
| Lección | Contratar protección anti-DDoS permanente · añadida al análisis de riesgos |
En la auditoría
Errores que suelen señalar los auditores
- No hay criterios escritos de clasificación ni de escalado.
- Incidentes significativos no notificados, o sin constancia de la notificación.
- No se avisa a los organismos clientes, que tienen su propia obligación.
- Las lecciones aprendidas no llegan al análisis de riesgos ni a la declaración de aplicabilidad.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Los incidentes de seguridad se clasifican y se notifican según el ENS, con su cronología y su cierre.
- 2Las incidencias de seguridad se vinculan a las no conformidades del sistema.
- 3La acción correctiva se asigna con responsable y fecha, con aviso si se retrasa.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿A quién notifica una empresa privada?
El artículo 33 regula la notificación de las entidades del sector público al CCN y la de las organizaciones privadas que les prestan servicios a través del CERT que les corresponde. Conviene además avisar al organismo cliente, que suele exigirlo por contrato.
¿Es lo mismo que notificar una brecha de datos?
No. La brecha de datos personales se notifica a la autoridad de protección de datos en 72 horas según el RGPD. Un mismo incidente puede exigir ambas notificaciones, con sus propios plazos.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de registro de incidentes de seguridad ISO 27001
Qué debe recoger el registro de incidentes de seguridad de la información según los controles 5.24 a 5.28 de…
Marco operacional
El marco operacional cubre cómo se planifica, opera y controla el sistema día a día para mantener la…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes
- Reglamento (UE) 2016/679, general de protección de datos EUR-Lex · 27 de abril de 2016