Si la evaluación de riesgos es el punto de partida de ISO 27001, la Declaración de Aplicabilidad es su resumen: muestra en una sola tabla qué controles eligió la organización para tratar sus riesgos y cuáles descartó. Esta guía explica qué tiene que incluir, cómo justificar cada decisión y cómo armarla paso a paso, con un ejemplo.
Resumen rápido
- Qué es: la lista de los 93 controles del Anexo A con la decisión de aplicarlos o no, su justificación y su estado de implementación.
- Es obligatoria: sin ella no hay certificación. En inglés se la conoce como Statement of Applicability (SoA).
- Sale de los riesgos: cada control incluido debería poder rastrearse hasta un riesgo, un requisito legal o contractual, o una necesidad del negocio.
- Las exclusiones se justifican: "no aplica" sin explicación es una de las observaciones más comunes en auditoría.
- Es un documento vivo: se versiona y se actualiza cada vez que cambian los riesgos o el alcance.
Qué es la Declaración de Aplicabilidad
Es una tabla, o un documento con formato de tabla, que conecta los riesgos de la organización con los controles que los tratan. Cada fila corresponde a un control del Anexo A de ISO/IEC 27001:2022, agrupados en cuatro temas: organizacionales (37), de personas (8), físicos (14) y tecnológicos (34).
La norma pide que la organización compare los controles que definió en su tratamiento de riesgos con los del Anexo A, para verificar que no se haya omitido ninguno necesario. La Declaración de Aplicabilidad es el registro de esa comparación. Puede incluir también controles que no están en el Anexo A, como controles propios o de otras normas, si la organización los necesita.
Por qué es tan importante
- Es el mapa del auditor
El auditor la usa para decidir qué controles revisar y qué evidencia pedir en la Etapa 2.
- Aparece en el certificado
El certificado indica el alcance y hace referencia a la versión de la Declaración de Aplicabilidad vigente.
- Ordena el trabajo interno
Muestra de un vistazo qué controles están implementados, cuáles faltan y quién es responsable de cada uno.
- Responde preguntas de clientes
Muchos clientes la piden, bajo confidencialidad, para entender qué cubre el certificado.
Qué tiene que incluir
La norma define el contenido mínimo; el resto son columnas recomendadas que facilitan la auditoría y el mantenimiento:
| Columna | Qué se completa | ¿Obligatoria? |
|---|---|---|
| Control | Número y nombre del control del Anexo A | Sí |
| ¿Aplica? | Sí o no | Sí |
| Justificación | Por qué se incluye o por qué se excluye | Sí |
| Estado | Implementado, en proceso o pendiente | Sí |
| Cómo se implementa | Breve descripción y referencia a la política o el procedimiento | Recomendada |
| Responsable | Persona o área a cargo del control | Recomendada |
| Evidencia | Dónde está el registro que demuestra que el control funciona | Recomendada |
Contenido mínimo según la cláusula 6.1.3 de ISO/IEC 27001:2022, descrito con palabras propias.
Cómo justificar cada decisión
Para incluir un control
La justificación más sólida es un riesgo concreto del registro de riesgos. También son válidas las obligaciones legales (por ejemplo, una ley de protección de datos), los requisitos contractuales de un cliente y las decisiones del negocio, como adoptar una buena práctica aunque no haya un riesgo alto asociado.
Para excluir un control
Una exclusión es válida cuando la situación que cubre el control no existe dentro del alcance, o cuando la evaluación de riesgos no identificó un riesgo que lo requiera. Algunos ejemplos:
| Justificación débil | Justificación sólida |
|---|---|
| "No aplica." | "La empresa no terceriza el desarrollo de software; todo el código lo escribe el equipo interno." |
| "No tenemos presupuesto." | (No es una justificación válida: si el riesgo existe, debe tratarse o aceptarse formalmente.) |
| "Lo maneja el proveedor." | "Los centros de datos son del proveedor de nube; su seguridad física se controla mediante la gestión de proveedores de nube (5.23) y sus certificaciones." |
Ejemplo de Declaración de Aplicabilidad
Así pueden verse algunas filas en una empresa de software de 30 personas, con trabajo remoto y toda su infraestructura en la nube:
| Control | ¿Aplica? | Justificación | Estado |
|---|---|---|---|
| 5.15 Control de acceso | Sí | Riesgo de acceso indebido a datos de clientes | Implementado |
| 5.23 Seguridad en servicios de nube | Sí | Toda la infraestructura está en un proveedor de nube | Implementado |
| 6.7 Trabajo remoto | Sí | Todo el equipo trabaja de forma remota | En proceso |
| 7.4 Monitoreo de la seguridad física | No | No hay oficinas ni centros de datos propios; la seguridad física del proveedor se gestiona con 5.23 | — |
| 8.28 Codificación segura | Sí | La empresa desarrolla su propio software; requisito contractual de clientes | Implementado |
| 8.30 Desarrollo tercerizado | No | No se terceriza el desarrollo de software | — |
Ejemplo ilustrativo. Los nombres de los controles están resumidos con palabras propias; una Declaración de Aplicabilidad real incluye los 93 controles.
Cómo armarla en 6 pasos
- Confirmar el alcance. Los controles se evalúan solo para lo que está dentro del SGSI.
- Tener lista la evaluación de riesgos. Sin ella, la Declaración de Aplicabilidad no tiene de dónde justificarse (ver la guía de evaluación de riesgos).
- Definir los controles del plan de tratamiento. Para cada riesgo tratado, anotar qué controles lo cubren. Reducir es la opción que más controles requiere, pero compartir un riesgo con un proveedor también exige controles, como las cláusulas de seguridad del contrato (5.20).
- Recorrer los 93 controles del Anexo A. Marcar los que ya surgieron del plan y analizar si falta alguno necesario.
- Completar cada fila. Decisión, justificación, estado y, si es posible, responsable y referencia a la evidencia.
- Aprobar y versionar. La dirección o el responsable del SGSI la aprueba, y cada cambio queda registrado con fecha y número de versión.
Cómo mantenerla actualizada
La Declaración de Aplicabilidad cambia junto con la organización. Conviene revisarla cada vez que se actualiza la evaluación de riesgos, cuando cambia el alcance (un producto nuevo, una sede, un proveedor crítico) y antes de cada auditoría de seguimiento.
Si un control pasa de "en proceso" a "implementado", o se incorpora uno que antes estaba excluido, se registra en una nueva versión. Si cambia la versión vigente, conviene avisarle al organismo certificador, ya que el certificado hace referencia a ella.
Errores frecuentes
- Armarla antes de evaluar los riesgos
Termina siendo una lista de deseos sin justificación real.
- Marcar todo como aplicable
Incluir controles que no corresponden obliga a mostrar evidencia de algo que no existe.
- Excluir sin explicar
Cada "no" necesita una razón concreta y verificable.
- Estado desactualizado
Si dice "implementado", el auditor va a pedir la evidencia.
- Copiarla de otra empresa
Las justificaciones tienen que reflejar el alcance y los riesgos propios.
- No versionarla
Sin historial, es difícil mostrar cómo evolucionó el sistema.
Cómo ayuda Certenza con la Declaración de Aplicabilidad
En una planilla, la Declaración de Aplicabilidad se desactualiza rápido: un control cambia de estado, alguien deja la empresa o la evidencia queda en otra carpeta. Certenza mantiene esa información en un solo lugar, para que la tabla que ve el auditor refleje lo que realmente pasa en la organización:
- Los controles del Anexo A, organizados
Cada control aparece con su decisión, su responsable y su estado, para ver de un vistazo qué está implementado y qué falta.
- Políticas listas para referenciar
Las políticas que Certenza ayuda a redactar con IA quedan disponibles para vincularlas con los controles que respaldan.
- Evidencia junto a cada control
La evidencia que se recolecta desde las herramientas conectadas queda asociada a los controles, así cada "implementado" tiene con qué demostrarse.
Qué controles aplican y por qué lo decide la organización. El certificado lo emite un organismo acreditado que se contrata por separado.
¿Querés armar tu Declaración de Aplicabilidad?
Te mostramos cómo organizar los controles del Anexo A en Certenza.