Modelos y registros · ISO 27001 · Apartado 6.1.3
Modelo de declaración de aplicabilidad ISO 27001
El documento que enlaza el análisis de riesgos con los 93 controles del Anexo A: cuáles se aplican, por qué, cuáles no y en qué punto está cada uno.
En una frase
La declaración de aplicabilidad (SoA) es el documento que, según el apartado 6.1.3 d) de ISO/IEC 27001, enumera los controles necesarios para tratar los riesgos, justifica por qué se incluyen, indica si están implantados y justifica cada exclusión de un control del Anexo A; es el primer documento que pide el auditor porque define el alcance real de la certificación.
- Dónde lo pide la norma
- ISO 27001 · Apartado 6.1.3 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Documento obligatorio Documento exigido por 6.1.3 d), que se mantiene al día
- Quién lo rellena
- Responsable de seguridad La aprueba la dirección, junto con los propietarios de los riesgos
- Cuándo
- Tras cada análisis de riesgos Y siempre que cambie el estado de un control o el alcance del sistema
- Cuánto se conserva
- Versión vigente y anteriores Conviene conservar las versiones superadas del ciclo de certificación: el auditor compara qué ha cambiado y por qué (7.5.3).
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
Tras analizar los riesgos, la norma pide elegir los controles necesarios para tratarlos y compararlos con el Anexo A para comprobar que no se ha omitido ninguno necesario. El resultado se formaliza en la declaración de aplicabilidad, que debe contener los controles necesarios, la justificación de su inclusión, si están implantados o no y la justificación de las exclusiones.
La norma no obliga a aplicar los 93 controles: obliga a decidir sobre todos ellos. También admite controles propios o de otros marcos, que se añaden a la declaración junto a los del Anexo A.
Es un documento vivo: cambia cuando cambian los riesgos, el alcance o el estado de implantación, y su versión vigente es la que se cita en el certificado.
Estructura
Campos que debe tener el modelo
- Identificador y nombre del control (Anexo A u otro marco)
- ¿Aplica? Sí o no
- Justificación de la inclusión: riesgo, requisito legal o contractual
- Justificación de la exclusión, si no aplica
- Estado de implantación: implantado, en curso, planificado
- Referencia a la evidencia o al procedimiento que lo desarrolla
- Propietario del control
- Versión, fecha y aprobación
Ejemplo
Ejemplo: tres líneas de la SoA de una empresa de software
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Organización | Nubeta Servicios Digitales (ficticia) · plataforma SaaS · 80 personas |
| 5.23 Seguridad en servicios en la nube | Aplica · Riesgo R-07 (proveedor de alojamiento) y contratos con clientes · Implantado · Procedimiento PS-12 |
| 7.4 Supervisión de la seguridad física | Aplica · Riesgo R-15 (acceso a la oficina) · En curso: cámaras previstas para marzo de 2027 |
| 8.30 Desarrollo externalizado | No aplica · Todo el desarrollo es interno; revisión si se contrata fuera |
| Control propio | NB-01 Revisión de permisos en el repositorio de código · Aplica · Riesgo R-03 · Implantado |
| Versión | v6 · aprobada por el comité de dirección el 9 de septiembre de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Exclusiones justificadas con «no aplica» sin decir por qué.
- Controles marcados como implantados sin una evidencia que lo sostenga.
- La SoA no cita qué riesgo justifica cada control: no se ve el vínculo con el análisis.
- Versión distinta de la que figura en el certificado o en el informe de auditoría.
- Se sigue usando la estructura de 114 controles de la edición de 2013.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La declaración de aplicabilidad recoge los controles del Anexo A con su estado de implementación.
- 2Cada control queda enlazado a la evidencia que lo demuestra y a los riesgos que trata.
- 3La declaración es un documento controlado y versionado: se conserva quién aprobó cada versión y cuándo.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Se puede excluir un control del Anexo A?
Sí, siempre que la exclusión esté justificada: porque el riesgo no existe en el alcance, porque se trata con otro control o porque la actividad no se da. Lo que la norma no admite es ignorar un control sin pronunciarse.
¿La SoA del ENS sirve para ISO 27001?
No directamente. El ENS tiene su propia declaración de aplicabilidad sobre las medidas del Anexo II del Real Decreto 311/2022. Muchas medidas se corresponden con controles del Anexo A, y conviene llevar la equivalencia, pero son dos documentos distintos.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Planificación
Planificar en ISO 27001 significa analizar el riesgo de cada activo y decidir, con criterio, qué controles…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Modelo de plan de tratamiento de riesgos ISO 27001
Qué debe incluir el plan de tratamiento de riesgos de ISO 27001 (6.1.3 e): opción elegida, controles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022