Seguretat de la informació i conformitat
ISO 27001 vs ENS: diferències i complementarietat
Entén què comparteixen, què els diferencia i com decidir l’abast d’un projecte sense assumir equivalències automàtiques.
Dos marcs amb naturalesa diferent
ISO/IEC 27001:2022, amb l’esmena Amd 1:2024, estableix requisits per a un sistema de gestió de la seguretat de la informació. L’organització defineix l’abast del SGSI i gestiona els riscos sobre la informació amb processos, controls i millora contínua.
L’ENS, regulat pel Real Decreto 311/2022, és un marc normatiu per als sistemes i serveis dins del seu àmbit. No és una norma ISO. L’aplicabilitat no es dedueix només del sector o de tenir un certificat: cal revisar els supòsits del decret i, quan correspongui, la relació amb el sector públic.
Comparativa ISO 27001 i ENS
| Aspecte | ISO/IEC 27001 | ENS |
|---|---|---|
| Naturalesa | Estàndard internacional de sistema de gestió. | Marc normatiu regulat pel RD 311/2022. |
| Abast | SGSI amb límits definits per l’organització. | Sistemes i serveis dins de l’àmbit del RD 311/2022. |
| Organitzacions | Organitzacions de diferents sectors i dimensions. | Sector públic i altres entitats o proveïdors en els supòsits del decret. |
| Gestió de riscos | Avaluació i tractament dins del SGSI. | Gestió de riscos vinculada a categorització, requisits i mesures aplicables. |
| Sistema de gestió | Requisits per establir, implantar, mantenir i millorar el SGSI. | Principis, responsabilitats, requisits mínims i mesures per als sistemes afectats. |
| Mesures i controls | Controls seleccionats i justificats segons riscos i requisits aplicables. | Mesures segons categoria i dimensions de seguretat, amb les condicions del marc. |
| Auditoria i conformitat | Auditoria interna; certificació del SGSI per una entitat independent quan es busca certificar. | Declaració de conformitat per categoria bàsica; certificació per mitjana o alta segons el règim aplicable. |
| Relació | Pot aportar processos i evidències a un projecte ENS. | Requereix una avaluació específica: ISO 27001 no implica conformitat ENS. |
Quan pots necessitar un marc o tots dos?
Si l’objectiu és estructurar un SGSI i respondre a necessitats de clients o de gestió, ISO 27001 pot ser una referència adequada. Això no elimina l’anàlisi dels requisits legals o contractuals que afectin el servei.
Si el sistema està dins de l’àmbit de l’ENS, cal abordar-ne l’adequació específica. Una organització pot treballar amb tots dos marcs quan necessiti el SGSI i, alhora, la conformitat ENS per als sistemes afectats. Ni una certificació substitueix l’altra ni els abasts han de coincidir necessàriament.
Com aprofitar un SGSI existent en un projecte ENS
La guia CCN-STIC 825 i el seu annex de mapeig entre ISO/IEC 27001:2022 i el RD 311/2022 permeten identificar relacions entre controls i mesures. És una ajuda per ordenar el treball i les evidències, no una declaració d’equivalència automàtica.
Es poden aprofitar polítiques, inventaris, responsabilitats, gestió de riscos, incidents i registres d’auditoria quan siguin adequats al nou abast. Cal comprovar-ne la cobertura i completar els requisits, les mesures i les evidències específics de l’ENS.
- 01
Contrasta els abasts
Identifica els sistemes i serveis que cobreix cada marc abans de reutilitzar evidències.
- 02
Revisa la categorització
Analitza categoria, dimensions i mesures ENS aplicables al sistema.
- 03
Mapeja i comprova
Relaciona processos i controls existents i verifica mancances, no només correspondències documentals.
- 04
Completa i avalua
Implanta les accions pendents i prepara el procés de conformitat que correspongui.
Tenir ISO 27001 no implica automàticament complir l’ENS. La conformitat s’ha de valorar per al sistema i l’abast aplicables.
Acompanyament segons el teu objectiu
CONSULTORS D’EMAS S.L. presta consultoria, implantació, preparació i auditoria interna. No emet certificats ISO ni es presenta com a entitat certificadora ENS. La certificació ISO correspon a una entitat certificadora independent.