Modelos y registros · ISO 27001

Modelos y registros de ISO 27001

Nueve registros que sostienen un sistema de gestión de la seguridad de la información, cada uno con el apartado o el control que lo pide, sus campos y un ejemplo cumplimentado.

En una frase

ISO/IEC 27001 exige documentar el proceso de análisis de riesgos, sus resultados, el plan de tratamiento y la declaración de aplicabilidad, que son el núcleo de cualquier certificación; el resto de registros —inventario de activos, incidentes, revisión de accesos, pruebas de continuidad, proveedores— nacen de los controles del Anexo A que la propia organización declara aplicables, y son la evidencia que el auditor pide para comprobar que esos controles funcionan.

Contenido revisado el 17 de octubre de 2026

Edición: ISO/IEC 27001:2022 La transición desde la edición de 2013 terminó el 31 de octubre de 2025
Documentos del núcleo: Riesgos, tratamiento y SoA Apartados 6.1.2, 6.1.3, 8.2 y 8.3
Anexo A: 93 controles en 4 temas Organizativos, de personas, físicos y tecnológicos
Formato: Libre La norma fija el contenido, no la plantilla

Índice

Modelos y registros de ISO 27001

Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Qué documentos son obligatorios en ISO 27001?

Los que piden los apartados de la norma: alcance (4.3), política (5.2), proceso y resultados del análisis de riesgos (6.1.2 y 8.2), proceso y resultados del tratamiento (6.1.3 y 8.3), declaración de aplicabilidad (6.1.3 d), objetivos (6.2), evidencias de competencia (7.2), resultados del seguimiento (9.1), programa y resultados de auditoría (9.2), revisión por la dirección (9.3) y no conformidades con sus acciones (10.2). A ellos se suma lo que exijan los controles del Anexo A que se declaren aplicables.

¿Los controles del Anexo A obligan a llevar registros?

Indirectamente. Un control declarado aplicable tiene que poder demostrarse, y en la práctica eso se hace con registros: el inventario de activos para el control 5.9, el registro de incidentes para los controles 5.24 a 5.28 o las actas de revisión de accesos para el 5.18. Un control excluido con justificación no necesita evidencia de funcionamiento.

¿Sirven los mismos registros para el ENS?

En buena parte sí: el análisis de riesgos, el inventario y el registro de incidentes se pueden compartir. Lo que no se comparte es la declaración de aplicabilidad, porque el ENS tiene su propio catálogo de medidas en el Anexo II del Real Decreto 311/2022 y su propia firma.

Lleva los registros de ISO 27001 sin plantillas sueltas

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando

Páginas relacionadas

Fuentes

De dónde sale cada dato

Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.

ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022
ISO/IEC 27005:2022 — Orientación sobre la gestión de los riesgos de seguridad de la información ISO/IEC · Octubre de 2022

Modelos y registros de ISO 27001

En una frase

Modelos y registros de ISO 27001

Declaración de aplicabilidad

Análisis de riesgos

Plan de tratamiento de riesgos

Inventario de activos

Requisitos legales y contractuales

Registro de incidentes

Revisión de accesos

Pruebas de continuidad y copias

Seguridad de proveedores

Lo que nos preguntan antes de empezar

¿Qué documentos son obligatorios en ISO 27001?

¿Los controles del Anexo A obligan a llevar registros?

¿Sirven los mismos registros para el ENS?

Lleva los registros de ISO 27001 sin plantillas sueltas

Páginas relacionadas

ISO 27001 sin carpetas ni sorpresas

ISO 27001 · Seguridad de la información

De dónde sale cada dato