Qué contienen los archivos
- el alcance del SGSI, con las cuestiones internas y externas, la pregunta sobre el cambio climático de la modificación 1:2024, las partes interesadas y sus requisitos, las sedes, lo que queda fuera y las interfaces (apartados 4.1 a 4.3);
- la política de seguridad de la información con los compromisos de la alta dirección, las funciones y sus políticas temáticas (5.2);
- la evaluación de riesgos: el método, las escalas de 1 a 5, su nivel de aceptación y el registro con probabilidad × impacto calculado para cada riesgo (6.1.2);
- el plan de tratamiento de riesgos con la opción, los controles del anexo A, la acción, el responsable y la fecha, y una columna para la aprobación de cada dueño del riesgo (6.1.3);
- la Declaración de Aplicabilidad: los 93 controles del anexo A, incluidos o excluidos, la justificación (los riesgos que trata un control se rellenan por usted) y si está implantado (6.1.3 d), también en CSV para una hoja de cálculo;
- los objetivos de seguridad de la información con indicador, recursos, responsable y fecha (6.2), y un archivo léame con lo que la norma pide además de estos archivos.
Comprobaciones del kit
Un nivel de riesgo solo se calcula a partir de valoraciones enteras de 1 a 5; lo demás queda marcado para completar. Un número de control que no está en el anexo A se muestra como rechazado, nunca se adivina. Un control que usted excluye mientras uno de sus riesgos se apoya en él se señala en el formulario y en la Declaración de Aplicabilidad. Nada se deja en blanco sin aviso: cada hueco dice POR COMPLETAR, o lo mismo en el idioma del documento.
ISO 27001 y NIS2
La Directiva NIS2 (UE) 2022/2555 no exige la certificación ISO/IEC 27001. Su artículo 21 obliga a las entidades esenciales e importantes a adoptar medidas de gestión de riesgos teniendo en cuenta, cuando proceda, las normas europeas e internacionales pertinentes, y su artículo 25 pide a los Estados miembros que fomenten su uso. Una evaluación de riesgos, una política y una Declaración de Aplicabilidad son una forma habitual de mostrar cómo se eligieron esas medidas. Cómo relaciona el kit sus políticas con SOC 2 y con el artículo 21: políticas SOC 2 y NIS2.
Qué no hace el kit
No contiene el texto de la norma: los nombres de los controles son palabras nuestras, y necesita su propio ejemplar de la ISO/IEC 27001 para leer los requisitos. No redacta los procedimientos de cada control, no realiza la auditoría interna ni la revisión por la dirección y no certifica nada: solo una auditoría de un organismo de certificación acreditado lleva a un certificado. Los documentos están en español, inglés, alemán, francés, polaco e italiano.
Nada de lo que escribe sale de su navegador; los archivos se crean en su dispositivo. Plantillas, no asesoramiento jurídico.