¿Qué es la declaración de aplicabilidad?
El apartado 6.1.3 d) de la ISO/IEC 27001:2022 exige una declaración de aplicabilidad con los controles necesarios, la justificación de su inclusión, si están implantados y la justificación de la exclusión de controles del anexo A. Une su tratamiento de riesgos con el anexo A: cada control responde a un riesgo, un requisito legal o contractual o una decisión de negocio. El Esquema Nacional de Seguridad también pide una declaración de aplicabilidad, con sus propias medidas.
Qué incluye
- Control: número y título del anexo A, por ejemplo 5.15 Control de acceso.
- Aplicable: sí o no, para cada uno de los 93 controles.
- Justificación: por qué se incluye (riesgo, requisito legal o contractual, necesidad de negocio, buena práctica) o se excluye (actividad que no se realiza, riesgo inexistente, fuera del alcance).
- Estado: implantado, parcialmente, planificado o no implantado.
- Evidencia y responsable: dónde ve el auditor que funciona y quién responde.
- Versión y aprobación: fecha, versión y aprobación; el auditor comprueba que coincide con el plan de tratamiento de riesgos vigente.
Ejemplo: empresa SaaS de 60 personas
Una empresa de software totalmente en remoto que aloja su producto en un proveedor cloud certificado ISO 27001 y desarrolla internamente. Ocho filas de su declaración:
Errores frecuentes en auditoría
- Excluir un control sin motivo, o solo con "no relevante".
- Una declaración que no coincide con el plan de tratamiento de riesgos, o que aún lista los 114 controles de la ISO 27001:2013.
- Estado "implantado" sin evidencia que el auditor pueda consultar.
- Sin versión, fecha ni aprobación, de modo que nadie sabe cuál está vigente.
- Excluir un control que el alcance necesita claramente, como la seguridad cloud cuando todo funciona en la nube.
Crear la declaración en Dazr
- A partir de sus controles: cada control del anexo A del marco ISO 27001 recibe una decisión de aplicable o excluido, con motivos y justificación.
- El estado sale del trabajo: estado, evidencias y fecha de revisión vienen del propio control, así que la declaración se mantiene al día.
- Filtrar y aprobar: filtre aplicables o excluidos, apruebe una versión y vea cuándo cambió desde la última aprobación.
- Exportar: PDF para el auditor, CSV o Excel para trabajar; el auditor también puede verla en solo lectura.
- Plan: la declaración de aplicabilidad forma parte de Pro, 99 € al mes, con 14 días de prueba gratis.
Dazr le ayuda a construir y respaldar su declaración; Dazr no certifica. La certificación la emite una entidad de certificación acreditada.
Fuente: ISO/IEC 27001:2022, apartado 6.1.3 y anexo A (93 controles). Comprobado el 19 de octubre de 2026.
Preguntas frecuentes
¿Deben figurar los 93 controles?
Sí. Cada control del anexo A aparece con una decisión. Los excluidos siguen en el documento, con el motivo de la exclusión.
¿Podemos excluir un control?
Sí, con una justificación, por ejemplo porque la actividad no se realiza, el riesgo no existe o queda fuera del alcance. "No relevante" por sí solo no es una justificación.
¿Hay una plantilla oficial?
No. La ISO/IEC 27001 fija el contenido, no el formato. Lo habitual es una tabla con control, aplicabilidad, justificación, estado y evidencia.
¿Dazr nos certifica en ISO 27001?
No. Dazr mantiene en orden sus controles, evidencias y declaración para la auditoría; el certificado lo emite una entidad de certificación acreditada.