Período final en el calendario de transición ISO/IEC 27001:2022
El plazo en el que las organizaciones certificadas conforme a la revisión de 2013 deben completar sus auditorías de transición.
La norma ISO/IEC 27001:2022 reorganizó el conjunto de controles del sistema de gestión de seguridad de la información: los controles se agruparon en cuatro temas y se añadieron asuntos de amenazas actuales. Para las organizaciones certificadas, la transición no consiste en reconstruir el sistema, sino en asignar el conjunto de controles a la nueva estructura.
En el centro de la transición está la actualización de la Declaración de Aplicabilidad (SoA): por qué se aplica o no cada control se rejustifica frente a la nueva estructura. La evaluación de riesgos es la base de esa justificación.
Cuando expira el período de transición, los certificados emitidos según la edición anterior pierden su validez. Para las organizaciones que dejan las cosas para el último período, el cuello de botella suele ser la cita de auditoría, no la documentación.
La ventana de transición se ha cerrado
El período definido por IAF MD 26 para la transición a la ISO/IEC 27001:2022 era de 36 meses, y esa ventana se ha cerrado: los certificados ISO/IEC 27001:2013 sin transición completada debían caducar o ser retirados después del 31 de octubre de 2025.
Es decir, un certificado válido de sistema de gestión de seguridad de la información debe emitirse hoy conforme a la ISO/IEC 27001:2022. Un certificado que haga referencia a la edición de 2013 no se considera una prueba de conformidad vigente.
El calendario también tenía hitos intermedios: que los organismos de acreditación estuvieran listos para evaluar la edición de 2022 y que los organismos de certificación comenzaran a realizar la certificación inicial y la recertificación solo conforme a la edición de 2022 formaban parte de ese proceso.
Qué hace una organización que se ha perdido la transición
Un certificado caducado no puede salvarse mediante una «transición»; el proceso se desarrolla como una nueva certificación. Esto implica un ciclo de auditoría completo en lugar de una auditoría de seguimiento, y un calendario más largo.
Mientras tanto, el lado comercial sigue funcionando: presentar un certificado caducado como si fuera válido provoca fallos en la diligencia debida del cliente, disputas contractuales y problemas en la evaluación de proveedores.
La estructura introducida por la edición de 2022
La revisión de 2022 reorganizó los controles del Anexo A: los controles se agruparon en cuatro temas y se añadieron nuevos controles. La Declaración de Aplicabilidad (SoA) debe reconstruirse conforme a esa nueva estructura.
En la práctica, la parte más difícil no es asignar los controles existentes a la nueva numeración, sino establecer una práctica realmente operativa para los controles recién añadidos. La correspondencia es un ejercicio de tabla; la implementación es un ejercicio de proceso.
Qué garantiza un sistema de gestión de seguridad de la información
Un certificado de sistema de gestión de seguridad de la información no muestra que la organización nunca sufrirá una brecha; muestra que la organización conoce sus activos de información, ha evaluado sus riesgos y opera los controles que ha seleccionado.
El núcleo del sistema es la evaluación de riesgos y la selección de controles. La lista de controles del anexo de la norma no es una lista de obligaciones: la organización decide qué controles aplicar según el resultado de su evaluación de riesgos y redacta la justificación de los que no aplica.
Ese documento de justificación es el elemento más examinado en una auditoría: no aplicar un control no es un defecto; dejarlo sin justificar sí lo es.
Qué hacer en el período final de una transición
En el período final de una transición, entran en juego dos riesgos a la vez: el calendario del auditor se estrecha y el tiempo restante para cerrar cualquier no conformidad encontrada se reduce. Cuando ambos se combinan, la validez del certificado puede interrumpirse.
El trabajo a realizar en ese período final no es, por tanto, iniciar un nuevo ejercicio, sino primero establecer claramente la situación actual: qué cláusulas se cumplen, qué registros faltan y cuándo se puede obtener una cita de auditoría.
Reorganizar el conjunto de controles es la tarea más visible de la transición: los controles se asignan a la nueva agrupación y la declaración de aplicabilidad se renueva según esa estructura. Técnicamente es un ejercicio de correspondencia; los controles en sí no necesitan reconstruirse.
¿Qué hacer?
- 1Compruebe la fecha de validez de su certificado y el tiempo de transición restante.
- 2Reorganice la DdA según la nueva estructura de controles.
- 3Reserve con antelación su cita de auditoría de transición.
Este artículo tiene fines informativos y no constituye asesoramiento jurídico. Cómo se aplica una normativa a su producto depende de las características técnicas del producto y del mercado objetivo; el alcance exacto solo puede determinarse examinando el producto.