ISO 27001:2022: los cambios del Anexo A y qué hacer tras la transición
Los cambios del Anexo A de ISO 27001:2022 reducen los controles de 114 a 93, los agrupan en 4 temas y añaden 11 controles nuevos. El plazo de transición terminó el 31 de octubre de 2025. Por eso, hoy la cuestión es aplicar bien el nuevo Anexo A y saber qué hacer si tu certificado era de 2013.
En 30 segundos: el Anexo A de ISO 27001:2022 tiene 93 controles (37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos), 11 de ellos nuevos. Además, los certificados de 2013 caducaron o se retiraron el 31 de octubre de 2025, así que sin transición hay que certificarse de nuevo. Desde 2024, la Enmienda 1 obliga también a valorar si el cambio climático es relevante para tu SGSI.
El Anexo A de ISO 27001 en 2026: la transición ya terminó
ISO publicó ISO/IEC 27001:2022 el 25 de octubre de 2022. Después, el documento obligatorio del Foro Internacional de Acreditación, IAF MD 26:2023, fijó una transición de 36 meses. Así, desde el 30 de abril de 2024 las certificaciones iniciales y renovaciones solo podían hacerse con la edición 2022. Por último, el 31 de octubre de 2025 todas las certificaciones basadas en la de 2013 caducaban o se retiraban. Por lo tanto, a octubre de 2026:
- Un certificado ISO/IEC 27001:2013 ya no es válido, aunque figure una fecha de caducidad posterior.
- Si no transicionaste a tiempo, necesitas una certificación inicial completa con ISO 27001:2022 y su Anexo A. En concreto, suele hacerse en dos fases: revisión documental y auditoría de implantación.
- Si transicionaste, en cambio, la fecha de caducidad de tu ciclo no cambió. Pero toca mantener vivos los controles nuevos en cada seguimiento.
Cambios del Anexo A de ISO 27001: de 114 a 93 controles en 4 temas
El Anexo A recoge los controles de ISO/IEC 27002:2022. Desaparecen los 14 dominios y, además, los objetivos de control por grupo. Según IAF MD 26, el Anexo A de ISO 27001:2022 tiene 11 controles nuevos, 24 que resultan de fusionar controles anteriores y 58 actualizados.
| Tema | Apartado | Controles | Ejemplos |
|---|---|---|---|
| Organizativos | A.5 | 37 | Políticas, activos, proveedores, nube, incidentes, continuidad TIC |
| De personas | A.6 | 8 | Selección, concienciación, confidencialidad, teletrabajo |
| Físicos | A.7 | 14 | Perímetros, accesos físicos, vigilancia, equipos, soportes |
| Tecnológicos | A.8 | 34 | Accesos privilegiados, malware, vulnerabilidades, copias, registros, desarrollo |
| Total | 93 | 11 nuevos, 24 fusionados, 58 actualizados |
Los atributos de los controles en ISO/IEC 27002:2022
ISO/IEC 27002:2022 etiqueta cada control con cinco atributos. Son opcionales, pero resultan muy útiles para filtrar controles y para construir mapas entre normas:
- Tipo de control: preventivo, detectivo o correctivo.
- Propiedades de seguridad: confidencialidad, integridad y disponibilidad.
- Conceptos de ciberseguridad: identificar, proteger, detectar, responder y recuperar.
- Capacidades operativas: gobierno, gestión de activos, identidades y accesos, continuidad y proveedores, entre otras.
- Dominios de seguridad: gobierno y ecosistema, protección, defensa y resiliencia.
Los 11 controles nuevos del Anexo A de ISO 27001 y cómo implantarlos
Los controles nuevos del Anexo A de ISO 27001 piden práctica demostrable, no solo una política. Por eso, cuanta más evidencia salga de tus sistemas, menos tiempo perderás. Lo explicamos en cómo automatizar las evidencias de cumplimiento.
| Control | Qué pide en la práctica | Evidencia típica |
|---|---|---|
| 5.7 Inteligencia de amenazas | Recoger y analizar información sobre amenazas y usarla en los riesgos | Fuentes suscritas, informes periódicos, decisiones derivadas |
| 5.23 Seguridad en el uso de servicios en la nube | Definir cómo se contratan, usan, gestionan y abandonan | Política de nube, inventario, revisión de contratos, plan de salida |
| 5.30 Preparación de las TIC para la continuidad | Planificar, probar y mantener la capacidad TIC según los objetivos de continuidad | BIA con RTO y RPO, planes de recuperación, actas de pruebas |
| 7.4 Supervisión de la seguridad física | Vigilar las instalaciones frente a accesos no autorizados | Alarmas, CCTV, registros de acceso revisados |
| 8.9 Gestión de la configuración | Definir, controlar y revisar configuraciones seguras | Configuraciones base, control de cambios, informes de desviaciones |
| 8.10 Eliminación de información | Borrar la información que ya no se necesita, también en proveedores | Política de retención, certificados de borrado |
| 8.11 Enmascaramiento de datos | Enmascarar o seudonimizar datos según la política y la normativa | Reglas de enmascaramiento, entornos de prueba sin datos reales |
| 8.12 Prevención de fuga de datos | Detectar e impedir la salida no autorizada de información sensible | Reglas DLP, alertas tratadas, clasificación |
| 8.16 Actividades de monitorización | Vigilar redes y sistemas para detectar comportamientos anómalos | SIEM o consola de alertas, umbrales, tickets |
| 8.23 Filtrado web | Gestionar el acceso a webs externas para reducir la exposición a malware | Configuración del filtro, informes de bloqueos |
| 8.28 Codificación segura | Aplicar principios de codificación segura al desarrollo | Guía de codificación, revisiones de código, análisis estático |
Qué controles conviene no excluir
Ningún control del Anexo A de ISO 27001 es automáticamente obligatorio: se aplica si tu análisis de riesgos lo justifica. Sin embargo, excluir 5.23 si trabajas en la nube u 8.28 si desarrollas software será difícil de defender. Por otro lado, el 5.30 conecta con la continuidad de negocio. Así que, para ir más allá de las TIC, revisa en qué se diferencian ISO 27001 e ISO 22301.
Cambios en las cláusulas 4 a 10
El cuerpo de la norma se adapta a la estructura armonizada de ISO. Por eso, además del Anexo A, el auditor de ISO 27001 revisará estos cambios:
- 4.2 c): decidir qué requisitos de las partes interesadas se abordarán a través del SGSI.
- 4.4: el SGSI incluye los procesos necesarios y también sus interacciones.
- 6.2: los objetivos de seguridad se supervisan y, además, se documentan.
- 6.3 (nuevo): los cambios en el SGSI se planifican antes de hacerlos.
- 8.1: criterios para los procesos y, en concreto, control de los procesos, productos o servicios suministrados externamente.
- 9.3.2 c): la revisión por la dirección incluye, además, los cambios en las necesidades y expectativas de las partes interesadas.
La Enmienda 1:2024: cambio climático en 4.1 y 4.2
ISO/IEC 27001:2022/Amd 1:2024 se publicó en febrero de 2024. En concreto, añade al 4.1 que la organización debe determinar si el cambio climático es una cuestión pertinente. También incluye una nota al 4.2: las partes interesadas pueden tener requisitos relacionados con el clima. Además, la comunicación conjunta de ISO e IAF aclara que la intención de ambos apartados no cambia. En la práctica, documenta en tu análisis de contexto si el clima afecta a tu SGSI y qué esperan tus clientes. Por ejemplo, olas de calor en un CPD o inundaciones en una sede.
Cómo actualizar la Declaración de Aplicabilidad al Anexo A de ISO 27001
La Declaración de Aplicabilidad (SoA) debe referirse a los 93 controles del Anexo A de ISO 27001:2022. Así que, si vienes de 2013 o la revisas antes de la próxima auditoría, sigue estos pasos:
- Mapea primero cada control de 2013 con el de 2022 usando la tabla de correspondencias del anexo B de ISO/IEC 27002:2022.
- Revisa el análisis de riesgos y el plan de tratamiento; después, contrástalos con los 11 controles nuevos.
- Para cada control, indica luego si se aplica, por qué se incluye o excluye y si está implantado.
- Actualiza las referencias en políticas y procedimientos, porque suelen citar los números antiguos.
- Etiqueta los controles con atributos y también con las normas a las que responden.
- Reúne evidencias de que los controles funcionan, ya que el auditor no se conformará con documentos.
Relación del Anexo A de ISO 27001 con NIS2, DORA y ENS
Ninguna de estas normas exige el certificado ISO 27001. Sin embargo, un SGSI con el Anexo A de ISO 27001:2022 cubre buena parte de lo que piden:
- NIS2 (Directiva (UE) 2022/2555) exige medidas de gestión de riesgos. En concreto, para ciertos proveedores digitales las detalla el Reglamento de Ejecución (UE) 2024/2690. Además, la guía técnica de ENISA las mapea con ISO/IEC 27001:2022 y 27002:2022, aunque aclara que el mapa no implica equivalencia.
- DORA (Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025) también pide un marco de gestión del riesgo TIC. Por ejemplo, controles como 5.23, 5.30, 8.9 u 8.16 aportan evidencia directa.
- ENS (Real Decreto 311/2022) tiene, en cambio, medidas y certificación propias. Pero muchas evidencias del Anexo A de ISO 27001 se pueden reutilizar.
Lo desarrollamos en ISO 27001 como atajo para cumplir NIS2, RGPD y DORA. También tienes la guía para cumplir varias normativas con un mapa de controles.
Preguntas frecuentes
¿Sigue siendo válido un certificado ISO 27001:2013?
No. Según IAF MD 26, todas las certificaciones ISO/IEC 27001:2013 caducaron o se retiraron el 31 de octubre de 2025, sin importar la fecha del certificado. Por eso, necesitas una certificación inicial con la edición 2022.
¿Cuántos controles tiene el Anexo A de ISO 27001:2022?
93, en 4 temas: 37 organizativos (A.5), 8 de personas (A.6), 14 físicos (A.7) y 34 tecnológicos (A.8). En cambio, la edición de 2013 tenía 114 controles en 14 dominios.
¿Tengo que aplicar los 93 controles del Anexo A de ISO 27001?
No necesariamente. Primero, compara los controles que exige tu análisis de riesgos con los 93 del Anexo A para no olvidar ninguno. Después, justifica cada exclusión en la Declaración de Aplicabilidad.
¿La Enmienda 1:2024 obliga a recertificar?
No. De hecho, precisa los apartados 4.1 y 4.2 sin cambiar su intención. Por eso, incorpora la valoración del cambio climático a tu análisis de contexto. Después, el organismo de certificación la revisará en las auditorías habituales.
¿Cómo compruebo si el certificado ISO 27001 de un proveedor es válido?
Primero, comprueba que cita ISO/IEC 27001:2022, que su alcance cubre el servicio que te presta y que está en vigor. Después, verifícalo en el registro del organismo de certificación o en IAF CertSearch. Por último, confirma que el organismo está acreditado (en España, por ENAC).
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC trae cargados los 93 controles del Anexo A de ISO 27001:2022 y te ayuda a mantener la Declaración de Aplicabilidad. Además, cada control se vincula a los requisitos equivalentes de NIS2, DORA y ENS («un control, varias normas») y recoge evidencias automáticas de tus sistemas. Su reloj regulatorio también te avisa de auditorías, revisiones y plazos. Asimismo, gestiona incidentes, notificaciones y el registro de terceros. Consulta la ficha de ISO 27001 e ISO 22301 o pide una demo.
