Checklist ISO 27001:2022: requisitos cláusula por cláusula y evidencias

Cómo usar este checklist

ISO/IEC 27001:2022 sigue la estructura común de los sistemas de gestión ISO: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Para cada cláusula indicamos lo que debe existir y cómo se demuestra. Una respuesta solo cuenta como cumplida si puedes enseñar la evidencia; tenerlo en la cabeza no sirve en una auditoría.

Recuerda que el periodo de transición desde la versión de 2013 terminó el 31 de octubre de 2025, así que cualquier certificado vigente debe estar ya en la versión 2022. Si tu documentación todavía cita los 114 controles de 2013, es una señal clara de que hay que actualizarla.

Cláusula 4: contexto de la organización

Aquí se decide qué protege el SGSI y por qué. Es la base de todo lo demás, y un alcance mal definido genera problemas en cada auditoría posterior.

• 4.1 ¿Has identificado cuestiones internas y externas relevantes para la seguridad, como dependencia de la nube, teletrabajo, regulación o clientes exigentes?
• 4.2 ¿Tienes una lista de partes interesadas y de sus requisitos, y has decidido cuáles se abordan mediante el SGSI? Este último punto es nuevo en la versión 2022.
• 4.3 ¿Está documentado el alcance, con límites, interfaces y dependencias con terceros, y justificadas las exclusiones?
• 4.4 ¿Puedes mostrar los procesos del SGSI y cómo interactúan?
• Evidencia típica: documento de contexto y alcance, matriz de partes interesadas, mapa de procesos.

Cláusula 5: liderazgo

El auditor quiere ver que la dirección dirige el sistema, no que lo delega por completo en el responsable de IT. Suele comprobarlo entrevistando a un miembro de la dirección.

• 5.1 ¿La dirección asigna recursos, integra la seguridad en los procesos de negocio y comunica su importancia?
• 5.2 ¿Existe una política de seguridad de la información aprobada, que incluya objetivos o el marco para fijarlos, y el compromiso de cumplir requisitos y mejorar?
• 5.2 ¿Se ha comunicado la política al personal y está disponible para las partes interesadas que corresponda?
• 5.3 ¿Están asignados y comunicados los roles y responsabilidades, incluido quién informa a la dirección sobre el desempeño del SGSI?
• Evidencia típica: política firmada, organigrama de seguridad, actas de comité, nombramientos.

Cláusula 6: planificación y gestión de riesgos

Es la cláusula donde se concentran más no conformidades. La norma no impone una metodología concreta, pero exige que sea definida, repetible y que produzca resultados comparables.

• 6.1.2 ¿Tienes criterios de aceptación de riesgos y criterios para realizar la evaluación, aprobados por la dirección?
• 6.1.2 ¿Se identifican riesgos de confidencialidad, integridad y disponibilidad con un propietario para cada uno?
• 6.1.3 ¿Existe un plan de tratamiento y una Declaración de Aplicabilidad que justifique la inclusión o exclusión de los 93 controles del Anexo A y su estado de implantación?
• 6.1.3 ¿Los propietarios de los riesgos han aprobado el plan y aceptado los riesgos residuales?
• 6.2 ¿Hay objetivos de seguridad medibles, con responsable, plazo, recursos y forma de evaluarlos?
• 6.3 ¿Se planifican los cambios del SGSI de forma controlada? Este requisito es nuevo en 2022.
• Evidencia típica: metodología de riesgos, registro de riesgos, plan de tratamiento, SoA versionada, cuadro de objetivos.

Cláusula 7: apoyo

Recursos, personas y documentación. Aquí el auditor suele muestrear expedientes de empleados y comprobar el control de versiones de los documentos.

• 7.1 ¿Se han asignado recursos suficientes para el SGSI?
• 7.2 ¿Se ha definido la competencia necesaria para los roles de seguridad y se conservan registros de formación o experiencia?
• 7.3 ¿El personal conoce la política, cómo contribuye y qué pasa si no cumple?
• 7.4 ¿Está definido qué se comunica, cuándo, a quién y por qué canal, tanto interna como externamente?
• 7.5 ¿La información documentada está identificada, revisada, aprobada, protegida y con control de versiones?
• Evidencia típica: plan de formación, registros de asistencia, plan de comunicación, listado maestro de documentos.

Cláusula 8: operación

La cláusula 8 comprueba que lo planificado se ejecuta. El auditor buscará pruebas de que la evaluación de riesgos se repite y de que los controles funcionan día a día.

• 8.1 ¿Se controlan los procesos, incluidos los procesos, productos o servicios proporcionados externamente que son relevantes para el SGSI?
• 8.2 ¿Se repite la evaluación de riesgos a intervalos planificados y cuando hay cambios significativos?
• 8.3 ¿Se está ejecutando el plan de tratamiento y se conservan los resultados?
• Evidencia típica: registros de cambios, revisiones de accesos, informes de copias de seguridad, gestión de incidentes, evaluaciones de proveedores.

Cláusulas 9 y 10: evaluación y mejora

Sin un ciclo completo de evaluación no hay certificación posible. Antes de la etapa 2 deberías haber realizado al menos una auditoría interna y una revisión por la dirección con sus acciones derivadas.

• 9.1 ¿Está definido qué se mide, cómo, cuándo y quién analiza los resultados?
• 9.2 ¿Hay un programa de auditoría interna que cubra todo el SGSI, con auditores objetivos e imparciales y resultados comunicados a la dirección?
• 9.3 ¿La revisión por la dirección trata todas las entradas exigidas, incluidos cambios en las necesidades de las partes interesadas, y produce decisiones documentadas?
• 10.1 ¿Hay evidencias de mejora continua del sistema?
• 10.2 ¿Las no conformidades se registran, se analiza su causa, se corrigen y se verifica la eficacia de la acción?
• Evidencia típica: cuadro de indicadores, programa e informes de auditoría, acta de revisión por la dirección, registro de no conformidades.

Fallos frecuentes y cómo evitarlos

En pymes españolas los problemas se repiten: una Declaración de Aplicabilidad copiada de una plantilla que no coincide con el registro de riesgos, objetivos sin indicador, auditoría interna hecha por la misma persona que diseñó los controles, y revisiones por la dirección que son un correo de dos líneas. También es frecuente que el inventario de activos ignore servicios SaaS críticos o que los proveedores cloud no aparezcan en el análisis de riesgos.

Otro error habitual es tratar los controles del Anexo A como lista obligatoria y olvidar las cláusulas. El auditor empieza por el sistema de gestión y después baja a los controles. Si además tu empresa presta servicios al sector público, revisa la relación con el Esquema Nacional de Seguridad, porque muchas medidas se solapan. Una autoevaluación gratuita en baltum.ai muestra qué cláusulas y controles tienen brechas y en qué orden abordarlos.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.