Documentos obligatorios de ISO 27001:2022: lista por cláusula
ISO/IEC 27001:2022 exige información documentada para: el alcance del SGSI (4.3), la política de seguridad (5.2), el proceso y los resultados de la evaluación y el tratamiento de riesgos (6.1.2, 6.1.3, 8.2, 8.3), la Declaración de Aplicabilidad (6.1.3 d), los objetivos (6.2), la evidencia de competencia (7.2), la planificación operativa (8.1), los resultados de seguimiento y medición (9.1), el programa y los resultados de auditoría interna (9.2), la revisión por la dirección (9.3) y las no conformidades y acciones correctivas (10.2).
Información documentada obligatoria por cláusula
| Cláusula | Documento o registro | Tipo |
|---|---|---|
| 4.3 | Alcance del SGSI | Documento |
| 5.2 | Política de seguridad de la información | Documento |
| 6.1.2 | Proceso de evaluación de riesgos (metodología) | Documento |
| 6.1.3 | Proceso de tratamiento de riesgos y plan de tratamiento | Documento |
| 6.1.3 d) | Declaración de Aplicabilidad | Documento |
| 6.2 | Objetivos de seguridad de la información | Documento |
| 7.2 | Evidencia de competencia del personal | Registro |
| 8.1 | Información para confiar en que los procesos se realizan según lo planificado | Registro |
| 8.2 | Resultados de las evaluaciones de riesgos | Registro |
| 8.3 | Resultados del tratamiento de riesgos | Registro |
| 9.1 | Resultados de seguimiento y medición | Registro |
| 9.2.2 | Programa de auditoría y resultados de auditoría | Registro |
| 9.3.3 | Resultados de la revisión por la dirección | Registro |
| 10.2 | No conformidades, acciones tomadas y resultados de las acciones correctivas | Registro |
La información documentada que decide la propia organización
La cláusula 7.5.1 b) agrega toda la información documentada que la organización considere necesaria para la eficacia del SGSI. En la práctica, aquí entran los procedimientos (control de documentos, auditoría interna, acciones correctivas, gestión de cambios) y los registros operativos que demuestran que los controles funcionan.
Documentos habituales para los controles del Anexo A
Varios controles del Anexo A se demuestran mejor con documentos. No son obligatorios por sí mismos, pero si el control aplica, el auditor esperará evidencia como:
- Políticas temáticas: control de acceso, uso aceptable, clasificación, proveedores, nube, teletrabajo, copias de seguridad, criptografía (5.1, 5.10, 5.12, 5.15, 5.19, 5.23, 6.7, 8.13, 8.24).
- Inventario de activos de información (5.9).
- Procedimientos de operación documentados (5.37).
- Gestión de incidentes de seguridad (5.24 a 5.28).
- Requisitos legales, regulatorios y contractuales identificados (5.31).
- Continuidad de la seguridad y preparación de las TIC (5.29, 5.30).
¿Cómo organizar la documentación?
Una estructura simple facilita la auditoría: un índice maestro con código, versión, dueño y fecha de revisión de cada documento; carpetas por cláusula (contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora) y una carpeta de políticas del Anexo A. Lo importante es que cada documento esté aprobado, versionado y disponible para quien lo necesita (cláusula 7.5.3).
Kit de documentación NexoDocs
El kit NexoDocs reúne 84 archivos Word y Excel organizados por etapa: los documentos obligatorios, 22 políticas para los controles del Anexo A, registros con fórmulas, un índice maestro y ejemplos completos de una empresa ficticia. Todos los documentos deben adaptarse a su organización. Puede probar gratis la matriz de riesgos reducida.
Preguntas frecuentes
¿Cuántos documentos obligatorios tiene ISO 27001:2022?
Depende de cómo se agrupen: son unas 14 piezas de información documentada exigidas por las cláusulas 4 a 10, más la que la organización determine necesaria y la que justifiquen los controles aplicables del Anexo A.
¿Los procedimientos son obligatorios?
La norma no exige procedimientos escritos con un nombre determinado, pero sí información documentada suficiente. La mayoría de las organizaciones documenta al menos el control de documentos, la auditoría interna y las acciones correctivas.
¿Qué cambió en la documentación respecto a la versión 2013?
Se agregó la planificación de cambios (6.3) y el Anexo A pasó de 114 a 93 controles en 4 temas, por lo que la Declaración de Aplicabilidad y las políticas deben actualizarse.
¿Tener todos los documentos asegura la certificación?
No. El auditor verifica que los documentos se apliquen y que haya evidencia; la certificación la otorga un organismo certificador tras su auditoría.
Guías relacionadas
- Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
- Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
- ¿Qué es un SGSI y cómo se implementa con ISO 27001?
Actualizado: 2026-10-20