El tràmit en línia feia dos anys que funcionava i ningú no se'n queixava. No hi havia anàlisi de riscos, ni categorització del sistema, ni declaració d'aplicabilitat, ni declaració d'accessibilitat. Al primer expedient que va exigir categoria mitjana, no hi va haver res a aportar.

Anàlisi de riscos, categorització del sistema i declaració d'aplicabilitat conforme a l'Esquema Nacional de Seguretat. Revisió de la seu contra la UNE-EN 301 549 i publicació de la declaració d'accessibilitat amb mètode i data.

Les còpies s'executaven cada nit i l'informe sortia en verd des de feia tres anys. Ningú no havia provat de restaurar ni una sola vegada, i l'única còpia accessible vivia a la mateixa xarxa que el servidor d'història clínica.

Classificació de les dades de salut com a categoria especial de l'article 9 del RGPD, esquema de còpies amb una rèplica desconnectada de la xarxa, i prova de restauració completa amb mesura del temps real de tornada al servei.

La xarxa de clients, el terminal de punt de venda, les càmeres i el servidor de reserves compartien adreçament. Qualsevol hoste connectat des de l'habitació veia l'equip que guardava les reserves i el registre de viatgers.

Xarxa d'hostes aïllada, amb separació també entre els clients mateixos. Segments independents per al punt de venda i per a les càmeres. Revisió del tractament de les dades del registre de viatgers i del seu termini de conservació.