Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
La Declaración de Aplicabilidad (SoA, por Statement of Applicability) es el documento obligatorio de ISO/IEC 27001:2022 que lista los 93 controles del Anexo A y, para cada uno, indica si es necesario, por qué se incluye o se excluye y si ya está implementado. La exige la cláusula 6.1.3 d) y conecta el resultado de la evaluación de riesgos con los controles que la organización realmente aplica.
¿Qué exige la norma para la Declaración de Aplicabilidad?
Según la cláusula 6.1.3 d), la organización debe elaborar una Declaración de Aplicabilidad que contenga:
- Los controles necesarios, determinados a partir del tratamiento de riesgos.
- La justificación de su inclusión.
- Si esos controles están implementados o no.
- La justificación de la exclusión de cualquier control del Anexo A.
Los controles necesarios pueden venir del Anexo A o de otras fuentes (por ejemplo, requisitos de clientes o de regulación). El Anexo A sirve para comprobar que no se ha omitido ningún control necesario.
Columnas recomendadas de una SoA
| Columna | Contenido |
|---|---|
| Control | Número y nombre del control del Anexo A (5.1 a 8.34) |
| Tema | Organizacional, personas, físico o tecnológico |
| ¿Aplica? | Sí / No |
| Justificación | Riesgo tratado, requisito legal, contractual o de negocio; o motivo de la exclusión |
| Estado de implementación | Implementado, parcial, planificado o no implementado |
| Referencia | Política, procedimiento o evidencia que respalda el control |
| Responsable | Quién mantiene el control |
| Riesgos vinculados | IDs de la matriz de riesgos que el control trata |
Los 93 controles del Anexo A en 4 temas
| Tema | Rango | Controles |
|---|---|---|
| Organizacionales | 5.1 – 5.37 | 37 |
| Personas | 6.1 – 6.8 | 8 |
| Físicos | 7.1 – 7.14 | 14 |
| Tecnológicos | 8.1 – 8.34 | 34 |
¿Cómo justificar una exclusión?
Una exclusión es válida cuando el control no es necesario para tratar ningún riesgo identificado ni para cumplir requisitos legales o contractuales. Por ejemplo, una empresa sin desarrollo de software propio puede excluir controles de desarrollo seguro explicando que no desarrolla software y que sus proveedores están cubiertos por los controles de relación con proveedores. La justificación debe ser específica: escribir solo "no aplica" es una no conformidad frecuente.
Pasos para elaborar la SoA
- Terminar la evaluación de riesgos y decidir el tratamiento de cada riesgo.
- Determinar los controles necesarios para ese tratamiento.
- Comparar con los 93 controles del Anexo A y marcar los que aplican.
- Escribir la justificación de inclusión o exclusión de cada control.
- Registrar el estado de implementación y la evidencia de cada control.
- Obtener la aprobación del plan de tratamiento y de los riesgos residuales por parte de los dueños de los riesgos.
- Revisar la SoA cuando cambien los riesgos, el alcance o los controles.
Errores comunes
- Marcar todos los controles como aplicables sin relación con los riesgos.
- Excluir controles sin justificación concreta.
- Declarar controles como implementados sin evidencia.
- Usar la lista de 114 controles de la versión 2013 en una SoA de 2022.
- No actualizar la SoA después de cambios en el alcance o en la evaluación de riesgos.
Plantilla de Declaración de Aplicabilidad
El kit NexoDocs incluye una SoA en Excel con los 93 controles de ISO/IEC 27001:2022, listas desplegables de aplicabilidad y estado, columnas de justificación, evidencia y responsable, y un resumen automático por tema. Incluye también un ejemplo completo de una empresa ficticia. Puede descargar gratis la matriz de riesgos reducida para probar el formato.
Preguntas frecuentes
¿La Declaración de Aplicabilidad es obligatoria?
Sí. ISO/IEC 27001:2022 la exige en la cláusula 6.1.3 d) y es uno de los documentos que el auditor revisa al inicio de la certificación.
¿Cuántos controles debe tener la SoA?
Debe considerar los 93 controles del Anexo A de la versión 2022, indicando para cada uno si aplica o no y por qué. También puede incluir controles adicionales de otras fuentes.
¿Se pueden excluir controles del Anexo A?
Sí, cuando no son necesarios para tratar los riesgos ni para cumplir requisitos legales o contractuales. Cada exclusión necesita una justificación concreta.
¿Quién aprueba la Declaración de Aplicabilidad?
Normalmente la dirección o el responsable del SGSI. La norma pide además que los dueños de los riesgos aprueben el plan de tratamiento y acepten los riesgos residuales.
Guías relacionadas
- Documentos obligatorios de ISO 27001:2022: lista por cláusula
- Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
- ¿Qué es un SGSI y cómo se implementa con ISO 27001?
Actualizado: 2026-10-20