Documentos obligatorios de ISO 27001:2022: la lista completa
Cuando una empresa arranca su sistema de gestión de seguridad de la información, la primera duda del responsable es siempre la misma: ¿qué documentos exige realmente ISO 27001? La respuesta sorprende, porque la lista de información documentada obligatoria es más corta de lo que la gente cree; lo que la hace densa son los controles del Anexo A. Vamos por partes.
Mantener y conservar no son lo mismo
ISO 27001:2022 usa dos verbos que conviene distinguir. Mantener información documentada se refiere a documentos vivos: describen cómo funciona tu SGSI y se actualizan cuando la realidad cambia. Conservar información documentada se refiere a los registros: son la evidencia de que algo ocurrió y ya no se modifican.
Una política se mantiene. Un informe de auditoría se conserva. Con esa distinción, la lista deja de ser un montón de papeles y pasa a tener lógica.
Documentos que hay que mantener
Estos describen tu sistema de gestión de la seguridad de la información y se revisan cuando algo cambia:
- Alcance del SGSI (cláusula 4.3). Qué información, procesos, ubicaciones y tecnologías quedan cubiertos.
- Política de seguridad de la información (5.2). El compromiso de la dirección, aprobado y comunicado.
- Proceso de evaluación de riesgos de seguridad de la información (6.1.2). El método con el que identificas y valoras los riesgos, incluidos los criterios de aceptación.
- Proceso de tratamiento de riesgos (6.1.3). Cómo decides qué haces con cada riesgo.
- Declaración de Aplicabilidad (SoA) (6.1.3 d). El documento estrella del SGSI: qué controles del Anexo A aplicas, cuáles excluyes y por qué.
- Objetivos de seguridad de la información (6.2). Qué te propones y cómo piensas lograrlo.
La SoA merece capítulo aparte por lo mucho que se falla en ella; la tienes desarrollada en qué es la Declaración de Aplicabilidad y cómo hacerla bien.
Registros que hay que conservar
Estos son evidencia. El auditor los pedirá para comprobar que el SGSI funciona de verdad y no solo sobre el papel:
- Evidencia de competencia (7.2). Formación, titulaciones y experiencia del personal cuyo trabajo afecta a la seguridad de la información.
- Resultados de la evaluación de riesgos (8.2).
- Resultados del tratamiento de riesgos (8.3).
- Evidencia del seguimiento y la medición (9.1).
- Programa y resultados de las auditorías internas (9.2).
- Resultados de la revisión por la dirección (9.3).
- No conformidades y acciones correctivas, con sus resultados (10.2).
A esto se suma la información documentada que exijan los controles del Anexo A que hayas declarado aplicables en la SoA: por ejemplo, políticas específicas, inventario de activos, registros de acceso o evidencias de gestión de incidentes. Aquí es donde el volumen documental crece o se contiene, según lo que tu organización necesite de verdad.
Lo que NO es obligatorio
Aquí es donde más tiempo se pierde. ISO 27001:2022 no exige:
- Un manual de seguridad al estilo antiguo. No es un requisito.
- Un procedimiento documentado por cada control. La norma pide resultados, no una carpeta por control.
- Implantar los 93 controles del Anexo A. Solo aplicas los que resulten de tu evaluación de riesgos; el resto se excluye justificándolo en la SoA.
- Un formato concreto de registro impuesto por la norma.
Que no sean obligatorios no significa que no sirvan: significa que la decisión es tuya y debe responder a tus riesgos reales, no a una plantilla comprada.
El error que más caro sale: sobredocumentar
He visto SGSI con decenas de políticas en empresas de veinte personas. No pasan mejor la auditoría: la pasan peor. Cada documento que escribes es un documento que tienes que mantener actualizado y una no conformidad esperando a que alguien compruebe que en la práctica no se hace así.
El criterio sano: documenta lo que la norma exige, lo que tu SoA declara aplicable y lo que necesitarías si mañana faltara la persona que hace esa tarea. Todo lo demás sobra hasta que demuestre lo contrario.
Y si vienes de ISO 9001
La estructura de alto nivel es la misma, así que buena parte del esqueleto te sirve: alcance, política, objetivos, auditoría interna, revisión por la dirección y no conformidades funcionan igual en las dos normas.
Lo específico de seguridad de la información y sin equivalente en calidad son tres cosas: la evaluación y el tratamiento de riesgos con su metodología, la Declaración de Aplicabilidad y la documentación que arrastren los controles del Anexo A. Ahí se concentra el trabajo real de una implantación. Y si quien te pide el certificado es una administración pública, comprueba primero si lo que necesitas es esta norma o el Esquema Nacional de Seguridad, que es un marco de naturaleza distinta: ISO 27001 vs ENS. Si además estás calculando el presupuesto, tienes el desglose en cuánto cuesta certificarse en ISO 27001. Y si tu organización ya usa inteligencia artificial, ojo con una confusión frecuente: el SGSI no cubre la gobernanza de la IA, como se explica en qué diferencia hay entre ISO 42001 e ISO 27001.
Fórmate para implantarlo tú: en el curso Gestor ISO 27001 + 27701 verás cómo redactar cada documento obligatorio y montar la SoA con ejemplos y plantillas, sin burocracia de relleno.