Documentos obligatorios de ISO 27001:2022: la lista completa
Cuando una empresa arranca su sistema de gestión de seguridad de la información, la primera duda del responsable es siempre la misma: ¿qué documentos exige realmente ISO 27001? La respuesta sorprende, porque la lista de información documentada obligatoria es más corta de lo que la gente cree; lo que la hace densa son los controles del Anexo A. Vamos por partes.
Mantener y conservar no son lo mismo
ISO 27001:2022 usa dos verbos que conviene distinguir. Mantener información documentada se refiere a documentos vivos: describen cómo funciona tu SGSI y se actualizan cuando la realidad cambia. Conservar información documentada se refiere a los registros: son la evidencia de que algo ocurrió y ya no se modifican.
Una política se mantiene. Un informe de auditoría se conserva. Con esa distinción, la lista deja de ser un montón de papeles y pasa a tener lógica.
Documentos que hay que mantener
Estos describen tu sistema de gestión de la seguridad de la información y se revisan cuando algo cambia:
- Alcance del SGSI (cláusula 4.3). Qué información, procesos, ubicaciones y tecnologías quedan cubiertos.
- Política de seguridad de la información (5.2). El compromiso de la dirección, aprobado y comunicado.
- Proceso de evaluación de riesgos de seguridad de la información (6.1.2). El método con el que identificas y valoras los riesgos, incluidos los criterios de aceptación.
- Proceso de tratamiento de riesgos (6.1.3). Cómo decides qué haces con cada riesgo.
- Declaración de Aplicabilidad (SoA) (6.1.3 d). El documento estrella del SGSI: qué controles del Anexo A aplicas, cuáles excluyes y por qué.
- Objetivos de seguridad de la información (6.2). Qué te propones y cómo piensas lograrlo.
La SoA merece capítulo aparte por lo mucho que se falla en ella; la tienes desarrollada en qué es la Declaración de Aplicabilidad y cómo hacerla bien.
Registros que hay que conservar
Estos son evidencia. El auditor los pedirá para comprobar que el SGSI funciona de verdad y no solo sobre el papel:
- Evidencia de competencia (7.2). Formación, titulaciones y experiencia del personal cuyo trabajo afecta a la seguridad de la información.
- Resultados de la evaluación de riesgos (8.2).
- Resultados del tratamiento de riesgos (8.3).
- Evidencia del seguimiento y la medición (9.1).
- Programa y resultados de las auditorías internas (9.2).
- Resultados de la revisión por la dirección (9.3).
- No conformidades y acciones correctivas, con sus resultados (10.2).
A esto se suma la información documentada que exijan los controles del Anexo A que hayas declarado aplicables en la SoA: por ejemplo, políticas específicas, inventario de activos, registros de acceso o evidencias de gestión de incidentes. Aquí es donde el volumen documental crece o se contiene, según lo que tu organización necesite de verdad.
Lo que NO es obligatorio
Aquí es donde más tiempo se pierde. ISO 27001:2022 no exige:
- Un manual de seguridad al estilo antiguo. No es un requisito.
- Un procedimiento documentado por cada control. La norma pide resultados, no una carpeta por control.
- Implantar los 93 controles del Anexo A. Solo aplicas los que resulten de tu evaluación de riesgos; el resto se excluye justificándolo en la SoA.
- Un formato concreto de registro impuesto por la norma.
Que no sean obligatorios no significa que no sirvan: significa que la decisión es tuya y debe responder a tus riesgos reales, no a una plantilla comprada.
El error que más caro sale: sobredocumentar
He visto SGSI con decenas de políticas en empresas de veinte personas. No pasan mejor la auditoría: la pasan peor. Cada documento que escribes es un documento que tienes que mantener actualizado y una no conformidad esperando a que alguien compruebe que en la práctica no se hace así.
El criterio sano: documenta lo que la norma exige, lo que tu SoA declara aplicable y lo que necesitarías si mañana faltara la persona que hace esa tarea. Todo lo demás sobra hasta que demuestre lo contrario.
Y si vienes de ISO 9001
La estructura de alto nivel es la misma, así que buena parte del esqueleto te sirve: alcance, política, objetivos, auditoría interna, revisión por la dirección y no conformidades funcionan igual en las dos normas.
Lo específico de seguridad de la información y sin equivalente en calidad son tres cosas: la evaluación y el tratamiento de riesgos con su metodología, la Declaración de Aplicabilidad y la documentación que arrastren los controles del Anexo A. Ahí se concentra el trabajo real de una implantación. Si además estás calculando el presupuesto, tienes el desglose en cuánto cuesta certificarse en ISO 27001.
Fórmate para implantarlo tú: en el curso Gestor ISO 27001 + 27701 verás cómo redactar cada documento obligatorio y montar la SoA con ejemplos y plantillas, sin burocracia de relleno.