La declaración de aplicabilidad conecta tu evaluación de riesgos con los controles que aplicas. En la edición 2022, el Anexo A tiene 93 controles agrupados en cuatro temas. Esta nota explica cómo se reparten y qué mira el auditor.
Declaración de aplicabilidad ISO/IEC 27001: los 93 controles del Anexo A y qué revisa el auditor
La edición 2022 agrupa 93 controles en cuatro temas. La declaración de aplicabilidad dice cuáles aplicas y por qué; es lo primero que mira el auditor.
Document control
- Document
- Technical note
- Review
- 1.0
- Updated
- 17 Oct 2026
- Next review
- 17 Jan 2027
Los cuatro temas del Anexo A
Los controles organizacionales son la mayoría, seguidos por los tecnológicos. Los controles de personas y físicos son menos, pero suelen concentrar hallazgos porque dependen de la práctica diaria.
- Organizacionales37
- Tecnológicos34
- Físicos14
- De personas8
Fuente: ISO/IEC 27001:2022, Anexo A (cláusulas 5 a 8 de ISO/IEC 27002:2022).
Qué debe incluir la declaración
Para cada control del Anexo A:
- Si se aplica o no.
- Por qué se aplica: riesgo, requisito legal o contractual.
- Por qué se excluye, cuando corresponde.
- Si está implementado.
Qué revisa el auditor
El auditor contrasta tres cosas: que cada control aplicado responda a un riesgo identificado, que las exclusiones tengan justificación y que lo declarado funcione en la operación. Una exclusión sin fundamento o un control declarado sin evidencia son hallazgos frecuentes.
| Lo que se revisa | Evidencia típica |
|---|---|
| Relación riesgo–control | Plan de tratamiento que referencia los controles. |
| Exclusiones | Justificación escrita y coherente con el alcance. |
| Implementation | Registros: accesos revisados, copias probadas, incidentes tratados. |
| Versión vigente | Control de cambios de la declaración. |
Si vienes de la edición 2013
La edición 2022 reorganizó los controles y sumó algunos nuevos, como inteligencia de amenazas y seguridad en servicios en la nube. Tu declaración debe estar actualizada a la nueva estructura.
Tu siguiente paso
Si quieres certificar tu organización, define alcance, sedes y servicios y pide una propuesta. Si quieres aprender a diseñar y auditar un sistema de seguridad de la información, revisa la formación: son recorridos separados.
Executive summary
- El Anexo A 2022 tiene 93 controles en cuatro temas.
- Cada control aplicado debe responder a un riesgo o requisito.
- Las exclusiones sin justificación son hallazgo frecuente.
Sources and references
- ISO/IEC 27001:2022 — Information security management systemsISO · Ficha oficial: requisitos del sistema de gestión de seguridad de la información y Anexo A.
- The ISO Survey of Management System Standard CertificationsISO · Origen de las cifras de certificados y sitios citadas en la nota.
- ISO/IEC 27006-1 — Requirements for bodies providing audit and certification of ISMSISO · Requisitos específicos para los organismos que certifican ISO/IEC 27001.
Scheduled review: 17 Jan 2027
Keep reading
- Seguridad de la información12 Mar 20263 min readISO/IEC 27001: cuando la seguridad se vuelve argumento de venta
ISO/IEC 27001 permite presentar evidencia de un sistema de gestión de seguridad de la información sobre un alcance definido. Su utilidad comercial depende de lo que el comprador solicita y de que ese alcance cubra el servicio que evalúa.
Read - Seguridad de la información17 Jan 20252 min readTransición a ISO/IEC 27001:2022: qué cambió en el Anexo A
ISO/IEC 27001:2022 debe aplicarse mediante una evaluación de riesgos y una selección justificada de controles. Una comparación entre ediciones ayuda a revisar diferencias; la matriz de correspondencia no sustituye la evaluación del SGSI.
Read - Seguridad de la información17 Oct 20262 min readISO/IEC 27001 en cifras: cuántas organizaciones certifican en el mundo y en Latinoamérica
Según el ISO Survey, los certificados ISO/IEC 27001 pasaron de 31.910 en 2018 a 96.709 en 2024. Así se reparten en el mundo y en la región.
Read
From judgment to a concrete inquiry
If this topic applies to your organization, the next step is to understand the process and define the scope before requesting a proposal.
Looking for the next step?
A conversation with a person to distinguish process, scope and applicable conditions.