Plantillas ISO 27001: qué documentos pide un SGSI y cómo armarlos
Las plantillas ISO 27001 son los formatos base con los que una empresa arma la documentación de su sistema de gestión de seguridad de la información (SGSI): la política, el alcance, la metodología de riesgos, la declaración de aplicabilidad y los registros que demuestran que los controles funcionan. Una plantilla ahorra semanas en estructura y formato, pero no sustituye lo que solo tu empresa puede escribir: qué información protege, qué riesgos tiene y qué controles aplica de verdad.
En esta guía verás qué documentos exige ISO/IEC 27001:2022, cuáles conviene tener aunque no sean obligatorios, qué estructura debe tener cada plantilla y cómo armarlas en orden sin terminar con cientos de archivos que nadie mantiene. Si todavía estás entendiendo qué es la norma, empieza por nuestra guía de qué es ISO 27001.
Contenido de esta guía
- Qué son las plantillas ISO 27001 y qué no son
- Los documentos que la norma exige
- Las plantillas que salen del Anexo A
- La estructura que debe tener cada plantilla
- En qué orden armarlas: 7 pasos
- Cuántas plantillas necesita tu empresa
- El problema de las plantillas descargadas
- Qué revisa el auditor en tus documentos
- Preguntas frecuentes
- Conclusión
Qué son las plantillas ISO 27001 y qué no son
Una plantilla es un documento con la estructura resuelta y el contenido por llenar: encabezado con control de versiones, apartados en el orden correcto, tablas listas y notas que explican qué va en cada sección. Sirve para tres cosas: que todos los documentos del sistema se vean y se controlen igual, que nadie olvide un apartado que el auditor va a buscar, y que el equipo no pierda tiempo discutiendo el formato en lugar del contenido.
Lo que una plantilla no es: un sistema terminado. ISO/IEC 27001 está construida sobre la evaluación de riesgos de cada organización. Dos empresas del mismo giro pueden llegar a declaraciones de aplicabilidad muy distintas porque protegen información distinta, con tecnología distinta y con riesgos distintos. Por eso un paquete de plantillas «llenas» comprado o descargado casi nunca pasa una auditoría tal cual: describe la empresa de otro.
"Una plantilla resuelve el cómo se ve el documento. El qué dice tiene que salir de tu análisis de riesgos. Si el contenido se puede copiar de otra empresa sin cambiar nada, no está describiendo tu sistema."
Diseñamos tu sistema de gestión y te acompañamos hasta la certificación
Diseño, implementación, auditoría interna y acompañamiento. Quien certifica es un organismo acreditado bajo ISO/IEC 17021-1, y lo eliges tú.
Ver el servicioLo escribe tu equipo con nuestras plantillas y nuestra revisión. Te contestamos en menos de 24 horas hábiles.
Los documentos que la norma exige
ISO/IEC 27001:2022 pide conservar como información documentada una lista concreta. Parafraseada —el texto de la norma tiene derechos de autor y se compra en la tienda de ISO o con el organismo nacional de normalización—, es esta, con la plantilla que suele cubrir cada requisito:
| Cláusula | Qué se documenta | Plantilla que lo cubre |
|---|---|---|
| 4.3 | El alcance del SGSI | Documento de alcance, con límites, interfaces y exclusiones |
| 5.2 | La política de seguridad de la información | Política general de seguridad |
| 6.1.2 | El proceso de evaluación de riesgos | Metodología de evaluación y tratamiento de riesgos |
| 6.1.3 | El proceso de tratamiento de riesgos | Plan de tratamiento de riesgos |
| 6.1.3 | La declaración de aplicabilidad | Declaración de aplicabilidad (SoA) |
| 6.2 | Los objetivos de seguridad de la información | Matriz de objetivos con indicador, meta y responsable |
| 7.2 | La evidencia de competencia | Matriz de competencias y registro de capacitación |
| 8.1 | La evidencia de que los procesos se ejecutan según lo planeado | Registros operativos de cada control |
| 8.2 y 8.3 | Los resultados de la evaluación y del tratamiento de riesgos | Matriz de riesgos y seguimiento del plan |
| 9.1 | Los resultados de seguimiento y medición | Tablero de indicadores |
| 9.2 | El programa de auditoría interna y sus resultados | Programa, plan e informe de auditoría |
| 9.3 | Los resultados de la revisión por la dirección | Acta de revisión por la dirección |
| 10.2 | Las no conformidades y sus acciones correctivas | Registro de no conformidades y acciones |
Además, la cláusula 7.5.1 deja en manos de cada empresa decidir qué otra información documentada necesita para que el sistema sea eficaz. Ahí entran las plantillas del Anexo A. Una nota sobre versiones: en 2024 se publicó una enmienda que pide considerar el cambio climático al analizar el contexto y las partes interesadas; si tus plantillas de contexto son anteriores, conviene agregar esa pregunta.
Las plantillas que salen del Anexo A
El Anexo A de la versión 2022 tiene 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. No todos piden un documento propio: muchos se demuestran con un registro o con una configuración. Estas son las plantillas que aparecen en casi todos los SGSI, agrupadas por tema:
| Tema | Políticas y procedimientos típicos | Registros que demuestran el control |
|---|---|---|
| Organizacionales | Roles y responsabilidades · inventario y clasificación de activos · uso aceptable · control de acceso · relación con proveedores · gestión de incidentes · continuidad · cumplimiento legal y protección de datos | Inventario de activos · revisiones de acceso · evaluaciones de proveedores · bitácora de incidentes · pruebas de continuidad |
| Personas | Seguridad en la contratación, durante el empleo y al terminar · acuerdos de confidencialidad · trabajo remoto | Cartas de confidencialidad firmadas · constancias de concientización · listas de baja de accesos |
| Físicos | Áreas seguras · escritorio y pantalla limpios · equipo fuera de las instalaciones · eliminación segura de medios | Registro de visitantes · bitácora de mantenimiento · actas de destrucción de medios |
| Tecnológicos | Respaldos · gestión de vulnerabilidades · registro y monitoreo · gestión de cambios · desarrollo seguro · criptografía | Pruebas de restauración · reportes de escaneo · solicitudes de cambio aprobadas · bitácoras revisadas |
La lección de esta tabla está en la tercera columna. La mayoría de los controles no se prueban enseñando la política, sino enseñando el registro: la prueba de restauración del respaldo, la revisión trimestral de accesos firmada, el acta de destrucción del disco. Un juego de plantillas que solo trae políticas, sin formatos de registro, deja la mitad del trabajo sin hacer.
Las políticas del tema tecnológico y su relación con el resto de las reglas de la empresa están en políticas de tecnología para empresas.
La estructura que debe tener cada plantilla
Todas las plantillas del sistema deberían compartir la misma estructura. No es estética: es lo que permite controlar versiones, saber quién es responsable de cada documento y que el auditor encuentre lo que busca sin pedir explicaciones.
| Apartado | Qué lleva | Por qué importa |
|---|---|---|
| Control del documento | Código, versión, fecha, elaboró, revisó, aprobó, clasificación | Es lo primero que revisa el auditor: que sea la versión vigente y aprobada |
| Propósito | Para qué existe, en dos líneas | Evita documentos que nadie sabe para qué sirven |
| Alcance | A qué procesos, personas, sistemas o sedes aplica | Una política sin alcance no se puede exigir a nadie |
| Referencias | Controles del Anexo A y documentos relacionados | Conecta el documento con la declaración de aplicabilidad |
| Roles y responsabilidades | Quién hace, quién aprueba, quién revisa | Sin dueño, el control no se ejecuta |
| Contenido | Las reglas o los pasos, en verbos concretos | Es lo que se audita contra la práctica |
| Registros que genera | Qué evidencia deja y dónde se guarda | Es lo que demuestra que el control funciona |
| Historial de cambios | Qué cambió en cada versión y por qué | Muestra que el sistema está vivo |
Un detalle que ahorra problemas: el apartado de registros. Si una política dice «se revisan los accesos cada trimestre» y no dice qué formato queda ni dónde, en la auditoría nadie va a encontrar las cuatro revisiones del año.
En qué orden armarlas: 7 pasos
El orden importa porque cada documento depende de los anteriores. Empezar por las políticas del Anexo A sin tener el análisis de riesgos es la forma más segura de escribir documentos que después hay que tirar.
- Contexto y alcance. Qué información, procesos, sistemas y sedes entran en el SGSI, y qué interfaces tiene con lo que queda fuera.
- Política general y roles. La política de seguridad aprobada por la dirección y quién es responsable del sistema.
- Metodología de riesgos. Cómo se identifican, analizan y evalúan los riesgos: escalas de probabilidad e impacto, criterios de aceptación y quién acepta el riesgo residual.
- Inventario de activos y evaluación de riesgos. Se aplica la metodología a los activos de información reales. Es el paso que más tiempo lleva y el que define todo lo demás.
- Declaración de aplicabilidad y plan de tratamiento. Para cada uno de los 93 controles: si aplica, por qué, si ya está implantado y cómo se evidencia. Cómo hacerla bien está en la sección de la SoA de nuestra guía de ISO 27001.
- Políticas, procedimientos y formatos de los controles aplicables. Solo los que la SoA marcó como aplicables, y solo donde un documento hace falta para que el control se ejecute igual cada vez.
- Documentos de evaluación y mejora. Objetivos e indicadores, programa de auditoría interna, acta de revisión por la dirección y registro de no conformidades.
Cuántas plantillas necesita tu empresa
La norma no fija un número, y el número depende del alcance y de la declaración de aplicabilidad. Lo que sí se puede hacer es razonar por tamaño. Estos tres perfiles son ejemplos ilustrativos, no casos de clientes:
Ejemplo ilustrativo 1 · Despacho de nómina en Puebla, 20 personas
Un solo sitio, todo en la nube, sin desarrollo propio. Los documentos obligatorios, una política de uso aceptable que concentra varias reglas para el personal, procedimientos de control de acceso, respaldos, incidentes y proveedores, y los formatos de registro. Muchos controles físicos y de desarrollo quedan como no aplicables, con su justificación en la SoA.
Ejemplo ilustrativo 2 · Empresa de software en Monterrey, 90 personas
Desarrolla y opera una plataforma para clientes. Además de lo anterior, necesita desarrollo seguro, gestión de cambios, gestión de vulnerabilidades, registro y monitoreo, separación de ambientes y continuidad del servicio. Es el perfil que más documentos acumula, porque casi todos los controles tecnológicos aplican.
Ejemplo ilustrativo 3 · Distribuidora con tres sucursales en el Bajío
El alcance se limita al ERP y a la información de clientes y crédito. Pesan los controles físicos de las sucursales, la gestión de proveedores de tecnología y la protección de datos personales. Varios controles de desarrollo no aplican porque el sistema es comercial.
La pregunta útil no es «cuántas plantillas trae el paquete», sino «qué control exige cada documento». Si te ofrecen cientos de archivos para un alcance pequeño, cada uno de más es revisión, aprobación, versionado y auditoría para siempre.
El problema de las plantillas descargadas
Buscar plantillas gratis es razonable para ver la estructura. El problema aparece cuando se usan como contenido. Estos son los defectos que se repiten:
- Siguen la versión 2013. Hablan de 114 controles en 14 dominios. La versión vigente es la de 2022, con 93 controles en cuatro temas, y la transición terminó en octubre de 2025.
- Traen datos de otra organización. Nombres de procesos, sistemas, puestos o hasta la razón social de quien las armó, a veces escondidos en los metadatos del archivo.
- Declaran controles que no existen. «Se cifran todos los equipos portátiles» cuando en tu empresa no es cierto. En la auditoría eso deja de ser un documento y se vuelve una no conformidad.
- Solo traen políticas. Sin formatos de registro, no hay forma de demostrar que el control funciona.
- No conectan con la SoA. Cada documento debería decir qué control cubre; si no, el auditor no puede seguir el hilo.
- Prometen la certificación. Ningún paquete de documentos certifica a nadie. La certificación la emite un organismo de certificación acreditado bajo ISO/IEC 17021-1, después de auditar que el sistema funciona.
Qué revisa el auditor en tus documentos
Conviene poder contestar con evidencia estas preguntas antes de la auditoría:
- ¿Cada documento obligatorio existe, está aprobado y es la versión vigente?
- ¿La declaración de aplicabilidad justifica cada inclusión y cada exclusión con un riesgo o un requisito?
- ¿Cada control marcado como implantado tiene un documento o un registro que lo demuestre?
- ¿Lo que dicen las políticas coincide con lo que hace la gente y con la configuración de los sistemas?
- ¿Los riesgos se volvieron a evaluar cuando cambió algo importante, como un sistema nuevo o un proveedor nuevo?
- ¿Hay registros de todo el periodo, no solo de las semanas previas a la auditoría?
Los riesgos tecnológicos que un SGSI trata son solo una parte de los que tiene la empresa; los demás los repasamos en gestión de riesgos tecnológicos.
Preguntas frecuentes
El alcance del SGSI, la política de seguridad de la información, la metodología de evaluación y tratamiento de riesgos, la declaración de aplicabilidad, el plan de tratamiento, los objetivos de seguridad, la evidencia de competencia, los resultados de riesgos, de seguimiento y medición, de auditoría interna y de revisión por la dirección, y el registro de no conformidades y acciones correctivas.
No. Las plantillas dan la estructura, pero el organismo de certificación audita que el sistema funcione: que los riesgos se evaluaron sobre tus activos reales, que los controles están implantados y que hay registros de su operación durante un periodo. Un juego de documentos sin operación detrás no pasa la auditoría.
Tiene 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. La versión 2013 tenía 114 controles en 14 dominios; las plantillas basadas en esa estructura deben actualizarse.
Es el documento que, para cada control del Anexo A, dice si aplica o no, por qué, si ya está implantado y con qué documento o registro se demuestra. Funciona como el índice del SGSI y es de los primeros documentos que revisa el auditor.
No. Muchos controles se agrupan en una misma política, como la de uso aceptable, y muchos otros se demuestran con un registro o una configuración, no con un documento propio. La norma deja a cada empresa decidir qué documentar más allá de lo obligatorio.
Primero el contexto y el alcance, luego la política y los roles, la metodología de riesgos, el inventario de activos con su evaluación de riesgos, la declaración de aplicabilidad con el plan de tratamiento, los documentos de los controles aplicables y, al final, los de evaluación y mejora.
La estructura sí. ISO 9001, ISO/IEC 27001 e ISO/IEC 42001 comparten la misma estructura de cláusulas 4 a 10, así que las plantillas de alcance, objetivos, auditoría interna, revisión por la dirección y acciones correctivas se pueden reutilizar en un sistema integrado.
Conclusión
Las plantillas ISO 27001 son útiles para lo que son: estructura, formato y orden. La lista de documentos obligatorios es más corta de lo que se suele vender, y el resto depende de lo que tu declaración de aplicabilidad marque como aplicable. Lo que hace que un SGSI pase la auditoría no es el número de documentos, sino que cada uno describa lo que tu empresa hace y deje los registros que lo prueban.
Arma los documentos en orden —alcance, política, riesgos, SoA, controles, evaluación—, usa una estructura común para todos y no aceptes contenido que se pueda copiar de otra empresa sin cambiar nada. Si además vas a gobernar el uso de inteligencia artificial, la estructura es la misma que la de ISO/IEC 42001.
¿Quieres armar la documentación de tu SGSI con acompañamiento?
En Softgrade hacemos con tu equipo el análisis de riesgos, la declaración de aplicabilidad y la documentación de los controles que aplican, implementamos el sistema y hacemos la auditoría interna antes de que llegue el organismo. La certificación la emite un organismo de certificación acreditado bajo ISO/IEC 17021-1, que tú eliges.
Agenda un diagnóstico