Test de madurez del SGSI frente a ISO 27001:2022

Son 93 controles repartidos en cuatro dominios: 37 organizativos (A.5.1 a A.5.37), 8 de personas (A.6.1 a A.6.8), 14 físicos (A.7.1 a A.7.14) y 34 tecnológicos (A.8.1 a A.8.34). Ese recuento lo hemos hecho fila a fila sobre el índice de la norma EN ISO/IEC 27002:2022, cuya vista previa oficial enlazamos en la sección de fuentes, y no sobre resúmenes de terceros. El anexo A de ISO/IEC 27001:2022 se titula literalmente Information security controls reference y el prólogo de la norma declara que su texto se ha alineado con ISO/IEC 27002:2022, que es donde viven esos mismos controles desarrollados.

No. El test mide lo que tú declaras sobre la implantación de los controles, no las evidencias que revisa un auditor. Además, la certificación no depende solo del anexo A: ISO/IEC 27001:2022 exige el sistema de gestión completo de sus cláusulas 4 a 10, con apreciación y tratamiento de riesgos (6.1.2 y 6.1.3), objetivos de seguridad (6.2), competencia y concienciación (7.2 y 7.3), auditoría interna (9.2), revisión por la dirección (9.3) y tratamiento de no conformidades y acciones correctivas (10.2). Un porcentaje alto aquí indica que el trabajo de controles está encarrilado, nada más.

No. El documento obligatorio IAF MD 26:2023, que fija los requisitos de transición a ISO/IEC 27001:2022, estableció un periodo de transición de 3 años (36 meses) y sitúa la finalización de las transiciones de los clientes certificados a 36 meses desde el último día del mes de publicación de la norma, es decir, el 31 de octubre de 2025. El mismo documento dispone que todas las certificaciones basadas en ISO/IEC 27001:2013 expirarán o serán retiradas al final del periodo de transición. Si tu certificado sigue emitido contra la versión de 2013, ya no está vigente.

Es el documento donde declaras qué controles son necesarios, por qué, si están implantados y por qué excluyes los que excluyes. IAF MD 26:2023 la sitúa expresamente en la cláusula 6.1.3 d) de ISO/IEC 27001 y la incluye entre los puntos que revisa la auditoría de transición, junto con el análisis de brechas y, si procede, la actualización del plan de tratamiento de riesgos. Sin Declaración de Aplicabilidad no hay sistema auditable por muchos controles técnicos que tengas puestos, y por eso la herramienta la trata como hallazgo bloqueante y no como un punto más del porcentaje.

Comparten materia, pero no se sustituyen. El artículo 32 del RGPD exige medidas técnicas y organizativas apropiadas e incluye entre ellas la seudonimización y el cifrado, la capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia permanentes, la capacidad de restaurar la disponibilidad de forma rápida y un proceso de verificación regular de la eficacia; el artículo 33 añade la notificación a la autoridad de control en un máximo de 72 horas. El artículo 21.2 de la Directiva (UE) 2022/2555 (NIS2) lista diez elementos mínimos para las entidades esenciales e importantes. Y el Real Decreto 311/2022 impone el Esquema Nacional de Seguridad al sector público y a quienes le prestan servicios por contrato. Un SGSI bien montado ordena buena parte de ese trabajo, pero no acredita por sí solo el cumplimiento de ninguna de las tres normas.

Existe y está en vigor. Se trata de ISO/IEC 27001:2022/Amd 1:2024, adoptada en Europa como EN ISO/IEC 27001:2023/A1:2024 con el título Amendment 1: Climate action changes y en vigor desde el 16 de diciembre de 2024 según el registro del organismo nacional de normalización que hemos consultado. Esta herramienta no la puntúa, porque valorar su efecto exige leer el texto de la enmienda, que es de pago, y no vamos a describirte de memoria lo que dice. Sí te la recordamos en el resultado para que compruebes que la versión de norma con la que trabajas incluye la enmienda.