Modelos y registros · ISO 27001 · Apartado 6.1.3
Modelo de plan de tratamiento de riesgos ISO 27001
Lo que se va a hacer con cada riesgo que no se acepta: con qué controles, quién, para cuándo y qué riesgo queda después, aprobado por su propietario.
En una frase
El plan de tratamiento de riesgos recoge, para cada riesgo que no se acepta, la opción elegida —mitigar, evitar, transferir o aceptar—, los controles que se aplicarán, el responsable y el plazo, y la aprobación del propietario junto con su aceptación del riesgo residual, que es lo que exige el apartado 6.1.3 e) y f) de ISO/IEC 27001.
- Dónde lo pide la norma
- ISO 27001 · Apartado 6.1.3 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Registro obligatorio Proceso documentado (6.1.3) y resultados que hay que conservar (8.3)
- Quién lo rellena
- Responsable de seguridad y propietarios El propietario aprueba el plan y firma la aceptación del riesgo residual
- Cuándo
- Tras cada análisis de riesgos Su avance se revisa en el comité de seguridad y en la revisión por la dirección
- Cuánto se conserva
- Lo fija la organización ISO/IEC 27001 no da plazos: pide decidir la conservación y la eliminación de la información documentada (7.5.3). Cubrir el ciclo de certificación de tres años permite enseñar el histórico en la renovación.
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
Con los riesgos valorados, la norma pide elegir opciones de tratamiento, determinar los controles necesarios, formular un plan y obtener de los propietarios la aprobación del plan y la aceptación del riesgo residual.
El plan no es la declaración de aplicabilidad: la SoA dice qué controles existen y por qué; el plan dice qué se hace, quién y cuándo para llegar a ese estado. Ambos se alimentan del mismo análisis.
La ejecución del plan se sigue en el capítulo 8: hay que implantarlo y conservar sus resultados, de modo que en la auditoría se vea qué se ha hecho, qué está pendiente y por qué.
Estructura
Campos que debe tener el modelo
- Riesgo tratado y nivel antes del tratamiento
- Opción de tratamiento: mitigar, evitar, transferir o aceptar
- Controles o acciones previstos (con su referencia al Anexo A, si la tiene)
- Responsable y fecha prevista
- Recursos necesarios
- Nivel de riesgo residual esperado
- Aprobación del propietario y aceptación del riesgo residual
- Estado y fecha de cierre
Ejemplo
Ejemplo: tratamiento del riesgo de caída del proveedor
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Riesgo | R-07 · Nivel 10, alto |
| Opción | Mitigar |
| Acción T-07 | Réplica de la plataforma en una segunda región con conmutación probada (controles 5.30 y 8.14) |
| Responsable y plazo | Jefe de infraestructura · 31 de enero de 2027 |
| Recursos | Presupuesto aprobado de 18.000 € anuales |
| Riesgo residual esperado | Nivel 5, aceptable |
| Aprobación | Directora de operaciones, 10 de septiembre de 2026; acepta el riesgo residual |
| Estado | En curso · 60 % |
En la auditoría
Errores que suelen señalar los auditores
- El plan no tiene fechas ni responsables: es una lista de buenas intenciones.
- No consta la aceptación del riesgo residual por el propietario.
- Riesgos «transferidos» a un seguro o a un proveedor sin revisar qué cubre el contrato.
- Acciones cerradas en el plan que no se reflejan en la declaración de aplicabilidad.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Cada acción del plan se asigna a un responsable con fecha, y el sistema avisa si se retrasa.
- 2El tratamiento queda registrado junto al riesgo y a su propietario, con su aprobación.
- 3La revisión por la dirección parte de una plantilla con los incidentes de seguridad y los riesgos ya agregados.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Se puede aceptar un riesgo alto?
Sí, si su propietario lo acepta de forma consciente y queda registrado. La norma no prohíbe aceptar riesgos por encima del criterio; pide que la decisión sea explícita y de quien tiene autoridad para tomarla.
¿Plan de tratamiento y SoA pueden ser el mismo documento?
Pueden convivir en la misma herramienta, pero responden a preguntas distintas. Mezclarlos suele hacer que se pierda el seguimiento de las acciones o la justificación de los controles.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Planificación
Planificar en ISO 27001 significa analizar el riesgo de cada activo y decidir, con criterio, qué controles…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Modelo de inventario de activos de información ISO 27001
Cómo montar el inventario de activos de información que pide el control 5.9 de ISO 27001: tipo, propietario…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27005:2022 — Orientación sobre la gestión de los riesgos de seguridad de la información ISO/IEC · Octubre de 2022