Article 13: Gestió del canvi i millora contínua

a) Mantenir la configuració i la gestió de canvis. Qualsevol canvi en els actius d’informació bàsics, actius d’informació estàndard, classes de seguretat, mesures de referència o mesures addicionals s’ha de registrar, i el registre dels canvis ha d’estar a disposició de l’autoritat que supervisa l’entitat.Si l’entitat fa canvis significatius en els serveis o en els actius d’informació inventariats, tot el procés d’implantació de l’ENS-AD ha de començar des del principi o des de l’etapa afectada pel canvi.

b) Verificar sistemàticament la situació de seguretat real dels actius d’informació inventariats tenint en compte les seves amenaces reals. En cas d’existir perills que no estiguin coberts per l’especificació de seguretat de l’actiu d’informació estàndard, el DSI ha de verificar la idoneïtat de les mesures de seguretat implementades en les condicions reals i, si és necessari, aplicar mesures de seguretat addicionals.