ISO 27001:2022: qué cambia respecto a la versión de 2013

Si vuestra empresa tenía ISO 27001 con la versión de 2013, a estas alturas ya habrá pasado a la de 2022 o habrá perdido el certificado: la transición terminó el 31 de octubre de 2025. Y si estáis pensando en certificaros ahora, todo lo que encontréis sobre el Anexo A de 2013 está desfasado. En este artículo resumimos qué cambió de verdad, con enlace a las fuentes, y qué significa en la práctica para una empresa de software.

La estructura del Anexo A

ISO/IEC 27001 tiene dos partes: los requisitos del sistema de gestión (cláusulas 4 a 10) y el Anexo A, la lista de controles de referencia. El Anexo A se alinea con ISO/IEC 27002, la guía que explica cada control, y la versión de 2022 heredó su nueva organización.

Según el boletín técnico de UKAS, la entidad de acreditación del Reino Unido, los controles de ISO/IEC 27002:2022 son 93, de los que 11 son nuevos, organizados en cuatro temas; además, 24 se han fusionado y 58 se han actualizado.

Menos controles no quiere decir menos exigencia: muchos se han fusionado. Cambia la forma de agruparlos, y eso obliga a rehacer la Declaración de Aplicabilidad.

Los 11 controles nuevos

Estos son los once controles que no existían en 2013 (la lista coincide en las publicaciones de las entidades de certificación, como la de SGS):

1. Inteligencia de amenazas. Recoger y analizar información sobre amenazas para actuar en consecuencia.
2. Seguridad de la información en el uso de servicios en la nube. Cómo se contratan, usan, gestionan y abandonan.
3. Preparación de las TIC para la continuidad del negocio. Que los sistemas puedan recuperarse dentro de los objetivos marcados.
4. Vigilancia de la seguridad física. Supervisión de las instalaciones para detectar accesos no autorizados.
5. Gestión de la configuración. Configuraciones de seguridad definidas, documentadas y revisadas.
6. Eliminación de información. Borrar la información cuando ya no se necesita.
7. Enmascaramiento de datos. Ocultar datos, sobre todo personales, cuando no hace falta verlos.
8. Prevención de fugas de datos. Medidas para detectar y evitar que la información salga sin permiso.
9. Actividades de supervisión. Vigilar redes, sistemas y aplicaciones para detectar comportamientos anómalos.
10. Filtrado web. Controlar el acceso a sitios externos para reducir la exposición a contenido malicioso.
11. Codificación segura. Aplicar principios de desarrollo seguro al escribir software.

Para una empresa de software, los que más trabajo suelen dar son la gestión de la configuración, las actividades de supervisión y la codificación segura. Son controles muy técnicos: no se resuelven con una política en un documento, hace falta poder enseñar la infraestructura como código, la vigilancia con sus alertas y el proceso de revisión del código.

El fin de la transición: 31 de octubre de 2025

La norma se publicó el 25 de octubre de 2022. El Foro Internacional de Acreditación (IAF) fijó un periodo de transición de tres años, y según el calendario publicado por UKAS, el 31 de octubre de 2025 debía estar completada la transición de todos los clientes certificados.

Es decir, a día de hoy un certificado ISO 27001 válido es de la versión de 2022. Si un proveedor os enseña un certificado de 2013, no está en vigor.

La enmienda de 2024: el cambio climático

En febrero de 2024 se publicó la enmienda ISO/IEC 27001:2022/Amd 1:2024, parte de una actualización que ISO aplicó a sus normas de sistemas de gestión. Añade dos frases:

• En la cláusula 4.1 (contexto de la organización): la organización debe determinar si el cambio climático es una cuestión pertinente.
• En la cláusula 4.2 (partes interesadas): una nota que recuerda que las partes interesadas pueden tener requisitos relacionados con el cambio climático.

No añade controles. En la práctica, se resuelve dejando constancia en el análisis del contexto de si el clima afecta a vuestra seguridad de la información (por ejemplo, la disponibilidad de un centro de datos ante fenómenos extremos) y por qué.

Qué significa en la práctica

Si empezáis ahora con ISO 27001, partid directamente de la versión de 2022 con su enmienda. Los pasos habituales son:

1. Definir el alcance del sistema de gestión.
2. Analizar los riesgos y decidir cómo tratarlos.
3. Redactar la Declaración de Aplicabilidad con los 93 controles: cuáles aplican, cuáles no y por qué.
4. Implantar lo que falta y reunir evidencias.
5. Auditoría interna y revisión por la dirección antes de la auditoría de certificación, que la hace una entidad de certificación acreditada.

Si además trabajáis con el sector público, el ENS comparte mucho terreno con ISO 27001; lo explicamos en el artículo sobre el ENS para proveedores del sector público. Y si vuestros clientes os preguntan por NIS2, en qué es NIS2 y a quién afecta contamos en qué punto está en España.

En la adecuación al ENS e ISO 27001 explicamos cómo os preparamos y acompañamos hasta la auditoría, y en la auditoría de fiabilidad y seguridad, cómo revisamos la parte técnica de una plataforma. Si queréis saber cuánto os falta para la versión de 2022, escribidnos un email.

Preguntas frecuentes

¿Sigue valiendo un certificado ISO 27001:2013?

No. El periodo de transición terminó el 31 de octubre de 2025, y los certificados que no pasaron a la versión de 2022 dejaron de ser válidos en esa fecha.

¿Hay que aplicar los 93 controles?

No necesariamente. Hay que revisarlos todos en la Declaración de Aplicabilidad y justificar cuáles aplican y cuáles no, según vuestro análisis de riesgos.

¿La enmienda de 2024 obliga a medir la huella de carbono?

No. Pide determinar si el cambio climático es una cuestión pertinente para vuestro sistema de gestión y tener en cuenta si las partes interesadas tienen requisitos sobre el clima. No añade controles ni mediciones concretas.

¿Quién emite el certificado ISO 27001?

Una entidad de certificación acreditada, tras una auditoría de certificación. Nosotros os preparamos para esa auditoría y os acompañamos en ella; el certificado no lo emitimos nosotros.

Referencias

• ISO: ISO/IEC 27001:2022, ficha de la norma.
• ISO: ISO/IEC 27001:2022/Amd 1:2024, enmienda sobre el cambio climático.
• UKAS: Transition arrangements for ISO/IEC 27001:2022 (en inglés): número de controles y calendario de la transición.
• SGS: Key changes in ISO/IEC 27002:2022 (en inglés): lista de los 11 controles nuevos.