Models i registres · ISO 27001

Models i registres d'ISO 27001

Nou registres que sostenen un sistema de gestió de la seguretat de la informació, cadascun amb l'apartat o el control que el demana, els seus camps i un exemple emplenat.

En una frase

ISO/IEC 27001 exigeix documentar el procés d'anàlisi de riscos, els seus resultats, el pla de tractament i la declaració d'aplicabilitat, que són el nucli de qualsevol certificació; la resta de registres —inventari d'actius, incidents, revisió d'accessos, proves de continuïtat, proveïdors— neixen dels controls de l'annex A que la mateixa organització declara aplicables, i són l'evidència que l'auditor demana per comprovar que aquests controls funcionen.

Contingut revisat el 17 d'octubre de 2026

Edició: ISO/IEC 27001:2022 La transició des de l'edició de 2013 va acabar el 31 d'octubre de 2025
Documents del nucli: Riscos, tractament i SoA Apartats 6.1.2, 6.1.3, 8.2 i 8.3
Annex A: 93 controls en 4 temes Organitzatius, de persones, físics i tecnològics
Format: Lliure La norma fixa el contingut, no la plantilla

Índex

Models i registres de ISO 27001

Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.

Preguntes freqüents

El que ens pregunten abans de començar

Quins documents són obligatoris a ISO 27001?

Els que demanen els apartats de la norma: abast (4.3), política (5.2), procés i resultats de l'anàlisi de riscos (6.1.2 i 8.2), procés i resultats del tractament (6.1.3 i 8.3), declaració d'aplicabilitat (6.1.3 d), objectius (6.2), evidències de competència (7.2), resultats del seguiment (9.1), programa i resultats d'auditoria (9.2), revisió per la direcció (9.3) i no conformitats amb les seves accions (10.2). S'hi afegeix el que exigeixin els controls de l'annex A que es declarin aplicables.

Els controls de l'annex A obliguen a portar registres?

Indirectament. Un control declarat aplicable s'ha de poder demostrar, i a la pràctica això es fa amb registres: l'inventari d'actius per al control 5.9, el registre d'incidents per als controls 5.24 a 5.28 o les actes de revisió d'accessos per al 5.18. Un control exclòs amb justificació no necessita evidència de funcionament.

Serveixen els mateixos registres per a l'ENS?

En bona part, sí: l'anàlisi de riscos, l'inventari i el registre d'incidents es poden compartir. El que no es comparteix és la declaració d'aplicabilitat, perquè l'ENS té el seu propi catàleg de mesures a l'annex II del Reial decret 311/2022 i la seva pròpia signatura.

Porta els registres de ISO 27001 sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant

Pàgines relacionades

Fonts

D'on surt cada dada

Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.

ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022
ISO/IEC 27005:2022 — Orientació sobre la gestió dels riscos de seguretat de la informació ISO/IEC · Octubre de 2022

Models i registres d'ISO 27001

En una frase

Models i registres de ISO 27001

Declaració d'aplicabilitat

Anàlisi de riscos

Pla de tractament de riscos

Inventari d'actius

Requisits legals i contractuals

Registre d'incidents

Revisió d'accessos

Proves de continuïtat i còpies

Seguretat de proveïdors