Models i registres · ISO 27001 · Apartat 6.1.3
Model de declaració d'aplicabilitat ISO 27001
El document que enllaça l'anàlisi de riscos amb els 93 controls de l'annex A: quins s'apliquen, per què, quins no i en quin punt és cadascun.
En una frase
La declaració d'aplicabilitat (SoA) és el document que, segons l'apartat 6.1.3 d) d'ISO/IEC 27001, enumera els controls necessaris per tractar els riscos, justifica per què s'inclouen, indica si estan implantats i justifica cada exclusió d'un control de l'annex A; és el primer document que demana l'auditor perquè defineix l'abast real de la certificació.
- On ho demana la norma
- ISO 27001 · Apartat 6.1.3 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Document obligatori Document exigit per 6.1.3 d), que es manté al dia
- Qui l'emplena
- Responsable de seguretat L'aprova la direcció, juntament amb els propietaris dels riscos
- Quan
- Després de cada anàlisi de riscos I sempre que canviï l'estat d'un control o l'abast del sistema
- Quant de temps es conserva
- Versió vigent i anteriors Convé conservar les versions superades del cicle de certificació: l'auditor compara què ha canviat i per què (7.5.3).
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
Després d'analitzar els riscos, la norma demana triar els controls necessaris per tractar-los i comparar-los amb l'annex A per comprovar que no se n'ha omès cap de necessari. El resultat es formalitza en la declaració d'aplicabilitat, que ha de contenir els controls necessaris, la justificació de la seva inclusió, si estan implantats o no i la justificació de les exclusions.
La norma no obliga a aplicar els 93 controls: obliga a decidir sobre tots. També admet controls propis o d'altres marcs, que s'afegeixen a la declaració al costat dels de l'annex A.
És un document viu: canvia quan canvien els riscos, l'abast o l'estat d'implantació, i la seva versió vigent és la que es cita al certificat.
Estructura
Camps que ha de tenir el model
- Identificador i nom del control (annex A o un altre marc)
- S'aplica? Sí o no
- Justificació de la inclusió: risc, requisit legal o contractual
- Justificació de l'exclusió, si no s'aplica
- Estat d'implantació: implantat, en curs, planificat
- Referència a l'evidència o al procediment que el desenvolupa
- Propietari del control
- Versió, data i aprovació
Exemple
Exemple: tres línies de la SoA d'una empresa de programari
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Organització | Nubeta Serveis Digitals (fictícia) · plataforma SaaS · 80 persones |
| 5.23 Seguretat en serveis al núvol | S'aplica · Risc R-07 (proveïdor d'allotjament) i contractes amb clients · Implantat · Procediment PS-12 |
| 7.4 Supervisió de la seguretat física | S'aplica · Risc R-15 (accés a l'oficina) · En curs: càmeres previstes per al març de 2027 |
| 8.30 Desenvolupament externalitzat | No s'aplica · Tot el desenvolupament és intern; revisió si es contracta a fora |
| Control propi | NB-01 Revisió de permisos al repositori de codi · S'aplica · Risc R-03 · Implantat |
| Versió | v6 · aprovada pel comitè de direcció el 9 de setembre de 2026 |
A l'auditoria
Errors que solen assenyalar els auditors
- Exclusions justificades amb un «no s'aplica» sense dir per què.
- Controls marcats com a implantats sense una evidència que ho sostingui.
- La SoA no cita quin risc justifica cada control: no es veu el vincle amb l'anàlisi.
- Versió diferent de la que figura al certificat o a l'informe d'auditoria.
- Es continua fent servir l'estructura de 114 controls de l'edició de 2013.
A Kimobox
Com es porta aquest registre a Kimobox
- 1La declaració d'aplicabilitat recull els controls de l'annex A amb el seu estat d'implementació.
- 2Cada control queda enllaçat a l'evidència que el demostra i als riscos que tracta.
- 3La declaració és un document controlat i versionat: es conserva qui va aprovar cada versió i quan.
Preguntes freqüents
El que ens pregunten abans de començar
Es pot excloure un control de l'annex A?
Sí, sempre que l'exclusió estigui justificada: perquè el risc no existeix dins l'abast, perquè es tracta amb un altre control o perquè l'activitat no es dona. El que la norma no admet és ignorar un control sense pronunciar-s'hi.
La SoA de l'ENS serveix per a ISO 27001?
No directament. L'ENS té la seva pròpia declaració d'aplicabilitat sobre les mesures de l'annex II del Reial decret 311/2022. Moltes mesures es corresponen amb controls de l'annex A, i convé portar-ne l'equivalència, però són dos documents diferents.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Planificació
Planificar en ISO 27001 significa analitzar el risc de cada actiu i decidir, amb criteri, quins controls de…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Model de pla de tractament de riscos ISO 27001
Què ha d'incloure el pla de tractament de riscos d'ISO 27001 (6.1.3 e): opció triada, controls, responsable…
Model d'inventari d'actius d'informació ISO 27001
Com muntar l'inventari d'actius d'informació que demana el control 5.9 d'ISO 27001: tipus, propietari…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022