La declaración de aplicabilidad conecta tu evaluación de riesgos con los controles que aplicas. En la edición 2022, el Anexo A tiene 93 controles agrupados en cuatro temas. Esta nota explica cómo se reparten y qué mira el auditor.
Declaración de aplicabilidad ISO/IEC 27001: los 93 controles del Anexo A y qué revisa el auditor
La edición 2022 agrupa 93 controles en cuatro temas. La declaración de aplicabilidad dice cuáles aplicas y por qué; es lo primero que mira el auditor.
Control documental
- Documento
- Nota técnica
- Revisión
- 1.0
- Actualizado
- 17 oct 2026
- Próxima revisión
- 17 ene 2027
Los cuatro temas del Anexo A
Los controles organizacionales son la mayoría, seguidos por los tecnológicos. Los controles de personas y físicos son menos, pero suelen concentrar hallazgos porque dependen de la práctica diaria.
- Organizacionales37
- Tecnológicos34
- Físicos14
- De personas8
Fuente: ISO/IEC 27001:2022, Anexo A (cláusulas 5 a 8 de ISO/IEC 27002:2022).
Qué debe incluir la declaración
Para cada control del Anexo A:
- Si se aplica o no.
- Por qué se aplica: riesgo, requisito legal o contractual.
- Por qué se excluye, cuando corresponde.
- Si está implementado.
Qué revisa el auditor
El auditor contrasta tres cosas: que cada control aplicado responda a un riesgo identificado, que las exclusiones tengan justificación y que lo declarado funcione en la operación. Una exclusión sin fundamento o un control declarado sin evidencia son hallazgos frecuentes.
| Lo que se revisa | Evidencia típica |
|---|---|
| Relación riesgo–control | Plan de tratamiento que referencia los controles. |
| Exclusiones | Justificación escrita y coherente con el alcance. |
| Implementación | Registros: accesos revisados, copias probadas, incidentes tratados. |
| Versión vigente | Control de cambios de la declaración. |
Si vienes de la edición 2013
La edición 2022 reorganizó los controles y sumó algunos nuevos, como inteligencia de amenazas y seguridad en servicios en la nube. Tu declaración debe estar actualizada a la nueva estructura.
Tu siguiente paso
Si quieres certificar tu organización, define alcance, sedes y servicios y pide una propuesta. Si quieres aprender a diseñar y auditar un sistema de seguridad de la información, revisa la formación: son recorridos separados.
Lectura ejecutiva
- El Anexo A 2022 tiene 93 controles en cuatro temas.
- Cada control aplicado debe responder a un riesgo o requisito.
- Las exclusiones sin justificación son hallazgo frecuente.
Fuentes y referencias
- ISO/IEC 27001:2022 — Information security management systemsISO · Ficha oficial: requisitos del sistema de gestión de seguridad de la información y Anexo A.
- The ISO Survey of Management System Standard CertificationsISO · Origen de las cifras de certificados y sitios citadas en la nota.
- ISO/IEC 27006-1 — Requirements for bodies providing audit and certification of ISMSISO · Requisitos específicos para los organismos que certifican ISO/IEC 27001.
Revisión prevista: 17 ene 2027
Seguir leyendo
- Seguridad de la información12 mar 20263 min de lecturaISO/IEC 27001: cuando la seguridad se vuelve argumento de venta
ISO/IEC 27001 permite presentar evidencia de un sistema de gestión de seguridad de la información sobre un alcance definido. Su utilidad comercial depende de lo que el comprador solicita y de que ese alcance cubra el servicio que evalúa.
Leer - Seguridad de la información17 ene 20252 min de lecturaTransición a ISO/IEC 27001:2022: qué cambió en el Anexo A
ISO/IEC 27001:2022 debe aplicarse mediante una evaluación de riesgos y una selección justificada de controles. Una comparación entre ediciones ayuda a revisar diferencias; la matriz de correspondencia no sustituye la evaluación del SGSI.
Leer - Seguridad de la información17 oct 20262 min de lecturaISO/IEC 27001 en cifras: cuántas organizaciones certifican en el mundo y en Latinoamérica
Según el ISO Survey, los certificados ISO/IEC 27001 pasaron de 31.910 en 2018 a 96.709 en 2024. Así se reparten en el mundo y en la región.
Leer
Del criterio a una consulta concreta
Si este tema aplica a tu organización, el siguiente paso es comprender el proceso y delimitar el alcance antes de pedir una propuesta.
¿Buscas el próximo paso?
Una consulta humana para distinguir proceso, alcance y condiciones aplicables.