Transición a ISO/IEC 27001:2022: qué cambió en el Anexo A

ISO/IEC 27001:2022 debe aplicarse mediante una evaluación de riesgos y una selección justificada de controles. Una comparación entre ediciones ayuda a revisar diferencias; la matriz de correspondencia no sustituye la evaluación del SGSI.

Revisa requisitos del sistema y declaración de aplicabilidad, además de controles del Anexo A. Explica necesidad, implementación y exclusiones justificadas. Para un certificado existente, confirma con el organismo las condiciones y el estado de la edición: esta nota no anuncia un plazo nuevo de transición.

Ejemplo ilustrativo: se incorpora seguimiento de amenazas. Define qué información se recibe, quién la evalúa y cómo cambia prioridades o controles. Tener una suscripción no demuestra que la información influya en decisiones.

Utiliza estos puntos como apoyo a la revisión. Para concluir, identifica el criterio aplicable y la evidencia concreta; la lista no sustituye una auditoría ni determina una decisión de certificación.

Profundiza en las fuentes y en los temas vinculados con la decisión que estás evaluando.

Si buscas desarrollar criterio para diseñar y auditar internamente sistemas de gestión, revisa el programa académico y sus condiciones de evaluación. Si representas a una organización que necesita certificación, define norma, actividades y sitios para consultar el proceso de evaluación independiente.

Úsala como control de consistencia. No reemplaza los requisitos aplicables ni el plan de auditoría del caso.