Modelos y registros · ISO 27001 · Apartado A.5.31
Registro de requisitos legales y contractuales de seguridad
La lista de leyes, reglamentos y contratos que imponen obligaciones de seguridad a la empresa, con qué piden y cómo se cumple cada una.
En una frase
El registro de requisitos legales y contractuales identifica las leyes, reglamentos y contratos que imponen obligaciones de seguridad —protección de datos, NIS2, ENS, cláusulas de clientes— y explica cómo se cumple cada una; lo pide el control 5.31 de ISO/IEC 27001:2022, que exige identificarlos, documentarlos y mantenerlos al día.
- Dónde lo pide la norma
- ISO 27001 · Apartado A.5.31 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Documento obligatorio Control 5.31 del Anexo A, que pide documentarlos y mantenerlos al día
- Quién lo rellena
- Responsable de seguridad con asesoría jurídica Los contratos los aporta quien los firma: comercial, compras
- Cuándo
- Al cambiar la ley o firmar un contrato Con una revisión completa al menos una vez al año
- Cuánto se conserva
- Siempre vigente Se mantiene actualizado; las versiones anteriores muestran desde cuándo se conocía cada obligación
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
El apartado 4.2 pide conocer los requisitos de las partes interesadas, y el control 5.31 concreta los que vienen de leyes, reglamentos y contratos: identificarlos, documentarlos y mantenerlos actualizados, junto con el enfoque para cumplirlos.
A diferencia del registro de obligaciones de un sistema de compliance, este se limita a lo que afecta a la seguridad de la información. Su utilidad es doble: alimenta el análisis de riesgos y justifica la inclusión de controles en la declaración de aplicabilidad.
Controles vecinos completan el cuadro: propiedad intelectual (5.32), protección de registros (5.33) y privacidad y datos personales (5.34).
Estructura
Campos que debe tener el modelo
- Norma o contrato de origen, con su referencia
- Requisito concreto de seguridad que impone
- Ámbito: qué procesos, sistemas o datos afecta
- Cómo se cumple: control, procedimiento o evidencia
- Responsable
- Plazos de notificación o de respuesta que fije
- Fecha de identificación y de última revisión
Ejemplo
Ejemplo: tres requisitos de una empresa de software
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| RGPD, art. 33 | Notificar brechas de datos personales a la autoridad de control en 72 horas · Procedimiento de incidentes PS-08 · Delegado de protección de datos |
| RGPD, art. 28 | Contrato de encargo con cada cliente que nos confía datos · Modelo de contrato aprobado · Comercial y jurídico |
| Contrato con un cliente público (ficticio) | Cumplir el ENS en categoría media · Certificación prevista · Responsable de seguridad |
| Contrato con una aseguradora cliente (ficticia) | Avisar de incidentes graves en 24 horas · Añadido al procedimiento PS-08 |
| Última revisión | 15 de julio de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Lista de leyes sin decir qué piden ni cómo se cumplen.
- Los compromisos de seguridad de los contratos con clientes no aparecen.
- Plazos de notificación de los contratos que el procedimiento de incidentes ignora.
- No se revisa tras la entrada en vigor de normas nuevas, como la transposición de NIS2.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Las partes interesadas y sus requisitos de seguridad se dan de alta en una tabla versionada.
- 2Cada requisito se enlaza al control o al procedimiento que lo cumple, en la declaración de aplicabilidad.
- 3La revisión periódica queda programada y avisa a su responsable.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es lo mismo que el registro de obligaciones de ISO 37301?
No. El de ISO 37301 abarca todas las obligaciones de cumplimiento de la organización; este se limita a las que afectan a la seguridad de la información. Si se tienen ambos sistemas, el de seguridad puede ser una vista filtrada del general.
¿Hay que incluir los contratos con clientes?
Sí. El control 5.31 habla expresamente de requisitos contractuales, y suelen ser los más exigentes: plazos de aviso de incidentes, auditorías del cliente o ubicación de los datos.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de registro de obligaciones de compliance ISO 37301
Cómo documentar las obligaciones de compliance que pide ISO 37301: requisitos obligatorios y compromisos…
Contexto de la organización
El sistema de seguridad de la información empieza por saber qué activos hay que proteger y quién tiene…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022
- Reglamento (UE) 2016/679, general de protección de datos EUR-Lex · 27 de abril de 2016
- Directiva (UE) 2022/2555 (NIS2) EUR-Lex · 14 de diciembre de 2022