La declaración de aplicabilidad es el documento de ISO 27001 que lista los controles del Anexo A, indica cuáles se aplican y cuáles se excluyen, justifica cada decisión y señala si el control está implementado. Es el puente entre la evaluación de riesgos y lo que la organización realmente hace para proteger su información.
Qué es y para qué sirve
La norma pide que la organización compare los controles que eligió para tratar sus riesgos con la lista de controles de referencia del Anexo A, para comprobar que no omitió ninguno necesario. El resultado de esa comparación es la declaración de aplicabilidad.
En la práctica funciona como un mapa: muestra en una sola tabla qué protege la organización, con qué control y por qué. Por eso es uno de los primeros documentos que pide un auditor de certificación.
Qué debe contener
- Los controles necesarios para tratar los riesgos identificados.
- La justificación de inclusión de cada control: qué riesgo, requisito legal o contractual lo exige.
- El estado de implementación: si el control ya funciona o está en curso.
- La justificación de cada exclusión de un control del Anexo A.
- Versión, fecha y aprobación por un responsable con autoridad.
Cómo se conecta con la evaluación de riesgos
La declaración no se escribe primero: se deriva del plan de tratamiento de riesgos. Si un control figura como aplicable pero ningún riesgo lo justifica, o si un riesgo alto no tiene control asociado, la cadena está cortada.
La pregunta de auditoría es simple: elegido un control al azar, ¿se puede rastrear hasta el riesgo que trata y hasta la evidencia objetiva de que funciona?
Errores que aparecen en auditoría
- Copiar la lista del Anexo A marcando todo como aplicable, sin justificación.
- Excluir controles por comodidad, por ejemplo desarrollo seguro en una organización que programa.
- Declarar «implementado» un control que solo existe como procedimiento escrito.
- No actualizarla cuando cambian el alcance, los proveedores o los riesgos.
- Que nadie en la dirección sepa que el documento existe.
Qué revisa el auditor
El auditor toma una muestra de controles y sigue el hilo en ambas direcciones: del riesgo al control y del control al registro. También revisa las exclusiones, porque una exclusión sin fundamento suele esconder un riesgo no tratado. Cuando esa trazabilidad no se sostiene, el resultado habitual es un hallazgo.
Una revisión previa e independiente de la declaración permite corregir esas brechas antes de la auditoría de certificación.
Preguntas frecuentes
¿La declaración de aplicabilidad es obligatoria en ISO 27001?
Sí. Es uno de los documentos que la norma exige y que el auditor de certificación revisa.
¿Se pueden excluir controles del Anexo A?
Sí, si la exclusión está justificada por el alcance y la evaluación de riesgos. Una exclusión sin fundamento suele terminar en hallazgo.
¿Cada cuánto se actualiza?
Cuando cambian el alcance, los riesgos, los proveedores o los controles, y como mínimo en cada revisión del sistema por la dirección.