La versión vigente de la norma de seguridad de la información es la ISO/IEC 27001:2022. Su principal novedad está en el Anexo A, el catálogo de controles de seguridad entre los que tu empresa elige los que le aplican según su análisis de riesgos. Si vas a certificarte, o ya lo estabas en la versión anterior, conviene entender bien qué ha cambiado.

De 114 a 93 controles

La revisión de 2022 reorganizó el catálogo: se pasó de 114 controles repartidos en 14 dominios a 93 controles agrupados en 4 dominios, alineados con la guía ISO/IEC 27002:2022. No es que se haya eliminado seguridad: muchos controles se fusionaron y otros se redactaron de nuevo para evitar duplicidades.

Así ha quedado la nueva categorización de controles:

  • Organizativos: políticas, roles y responsabilidades, gestión de activos, relación con proveedores, gestión de incidentes y continuidad.
  • De personas: selección, concienciación y formación, teletrabajo y responsabilidades tras la baja.
  • Físicos: perímetros de seguridad, acceso a instalaciones, protección de equipos y soportes.
  • Tecnológicos: control de acceso, criptografía, copias de seguridad, registro y monitorización, seguridad de redes y desarrollo seguro.

Los 11 controles nuevos

La actualización incorporó once controles pensados para el entorno tecnológico actual:

  • Inteligencia sobre amenazas.
  • Seguridad de la información en el uso de servicios en la nube.
  • Preparación de las TIC para la continuidad del negocio.
  • Monitorización de la seguridad física.
  • Gestión de la configuración.
  • Eliminación de la información.
  • Enmascaramiento de datos.
  • Prevención de fugas de datos.
  • Actividades de monitorización.
  • Filtrado web.
  • Codificación segura.

¿Tengo que implantar los 93 controles del Anexo?

No. Tras tu análisis de riesgos decides cuáles te aplican y documentas por qué excluyes el resto en la Declaración de Aplicabilidad, un documento obligatorio para certificarte. Lo habitual es que una gran parte del catálogo resulte aplicable, pero la decisión siempre debe estar justificada por el riesgo y no por comodidad.

Y si mi certificado era de la versión 2013

El periodo de transición a la versión 2022 terminó el 31 de octubre de 2025. Desde esa fecha los certificados emitidos conforme a la versión 2013 ya no son válidos, aunque la fecha impresa en ellos fuera posterior, y solo puede certificarse la edición 2022. Si tu empresa lo tuvo y no migró, tendrás que volver a certificarte con la versión actual, aprovechando el trabajo documental que ya tengas hecho.

Cambios que se notan en la auditoría

Los auditores prestan ahora especial atención a los servicios en la nube, a la gestión de la configuración y a la continuidad del negocio. También esperan ver cómo has actualizado tu Declaración de Aplicabilidad al nuevo catálogo. Si empiezas de cero, implanta directamente la versión actual y evita trabajar con plantillas antiguas.

En nuestra página de certificación ISO 27001 tienes el proceso completo, desde el diagnóstico hasta la auditoría de certificación.

Preguntas frecuentes

¿Cuántos controles tiene el Anexo A de la ISO 27001:2022?

93 controles agrupados en 4 dominios (organizativos, de personas, físicos y tecnológicos), frente a los 114 controles en 14 dominios de la versión anterior.

¿Cuáles son los controles nuevos de la versión 2022?

Son once: inteligencia sobre amenazas, seguridad en la nube, preparación de las TIC para la continuidad, monitorización de la seguridad física, gestión de la configuración, eliminación de la información, enmascaramiento de datos, prevención de fugas de datos, actividades de monitorización, filtrado web y codificación segura.

¿Sigue siendo válido mi certificado de la versión 2013?

No. El periodo de transición terminó el 31 de octubre de 2025 y desde entonces solo puede certificarse la edición 2022.

¿Tengo que implantar los 93 controles?

No. Decides cuáles aplican tras el análisis de riesgos y justificas las exclusiones en la Declaración de Aplicabilidad.

¿Necesitas ayuda con tu certificación? En MBV Calidad te acompañamos desde el diagnóstico hasta la auditoría. Solicita presupuesto sin compromiso.