ISO/IEC 27701 fue, hasta este año, un complemento: un documento que decía a una organización con un sistema ISO 27001 qué requisitos y controles adicionales lo convertían también en un sistema de gestión de la información de privacidad. La segunda edición, ISO/IEC 27701:2025, publicada en octubre de 2025, anula y sustituye la edición de 2019 y está redactada como una norma de sistema de gestión independiente: sus propios capítulos 4 a 10, su propio anexo A, su propio certificado conforme a ISO/IEC 27706:2025. Este artículo lee la nueva edición fila a fila para una empresa de software, con el catálogo que StandardOS mantiene de ella como datos: 103 requisitos, cada uno con el capítulo o control de ISO 27001 al que corresponde, la brecha que 27701 pide más allá, y los artículos del RGPD que su registro evidencia.

Qué cambió: una norma, un anexo A, dos roles

La edición de 2019 extendía ISO 27001 por referencia, así que un PIMS no podía existir sin un SGSI. La edición de 2025 aplica la estructura armonizada que ISO usa para todas sus normas de sistemas de gestión: capítulo 4 contexto, 5 liderazgo, 6 planificación, 7 apoyo, 8 operación, 9 evaluación del desempeño, 10 mejora, la misma numeración que ISO 27001:2022, con una política de privacidad, objetivos de privacidad y una evaluación de riesgos de privacidad que lee los riesgos para las personas cuyos datos se tratan, no solo los riesgos para la organización. El capítulo 6.1.3 selecciona los controles del anexo A mediante el tratamiento de riesgos y redacta una declaración de aplicabilidad, exactamente como hace 27001 con su propio anexo A.

El anexo A es ahora un solo anexo en tres tablas. La tabla A.1 lleva 31 controles para responsables del tratamiento de PII, en cuatro grupos: condiciones para la recogida y el tratamiento, obligaciones hacia los interesados, privacidad desde el diseño y por defecto, y compartición, transferencia y divulgación de PII. La tabla A.2 lleva 18 controles para encargados del tratamiento de PII en los mismos cuatro grupos. La tabla A.3 lleva 29 controles de seguridad de la información que ambos roles implantan, cada uno un control 27001 leído para datos personales. El anexo B da orientación de implantación con la misma numeración, y el anexo F hace corresponder cada control de 2025 con su equivalente de 2019 y viceversa. Para una empresa de software los dos roles están presentes: es responsable de sus propios datos de clientes y personal y encargada de los datos que sus clientes introducen en el producto, así que A.1, A.2 y A.3 se aplican todos, y la determinación del RGPD dice qué obligaciones se activan para cada uno.

Las 70 filas que un sistema 27001 ya cubre a medias

Setenta de los 103 requisitos corresponden a algo que un sistema ISO 27001 en funcionamiento ya tiene, y ninguno queda cubierto del todo por él. Los 25 capítulos corresponden a sus gemelos 27001: el mismo contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora, con una brecha por capítulo. La política de privacidad de 5.2 se sitúa junto a la política de seguridad de la información y se compromete con las personas afectadas; la evaluación de riesgos de 6.1.2 evalúa los riesgos para los interesados, que es el razonamiento que necesita una evaluación de impacto relativa a la protección de datos; la información documentada de 7.5 añade el registro de tratamientos, los consentimientos, las evaluaciones y las solicitudes a lo que 27001 controla; la revisión por la dirección de 9.3 toma como entrada las opiniones de los interesados y de los reguladores.

Los 29 controles de seguridad de la tabla A.3 corresponden uno a uno a controles del anexo A de 27001:2022, y la brecha es cada vez de la misma clase: el control 27001 no está escrito para datos personales, y 27701 pide que lo esté. La clasificación (A.3.5) nombra la PII y sus categorías especiales donde 27001 clasifica por confidencialidad; el registro de eventos (A.3.25) anota quién accedió a qué datos personales y cuándo, para que una violación pueda reconstruirse y una solicitud responderse; las copias de seguridad (A.3.24) quedan sujetas a la conservación y la supresión, para que una restauración no reinstale datos borrados; la gestión de incidentes (A.3.11 y A.3.12) planifica y ejecuta las notificaciones de violación con sus plazos legales; el ciclo de desarrollo seguro (A.3.27) incluye la privacidad desde el diseño y por defecto; la información de prueba (A.3.31) excluye los datos personales como datos de prueba salvo desidentificación. Las 16 correspondencias restantes están en las tablas A.1 y A.2, donde un control de privacidad amplía uno de seguridad: los contratos con encargados y el acuerdo con el cliente amplían los acuerdos con proveedores de A.5.20, los registros de tratamiento amplían la protección de registros de A.5.33, la conservación, la eliminación y los ficheros temporales amplían la supresión de información de A.8.10, los controles sobre subencargados amplían la seguridad de proveedores de A.5.19.

Las 33 filas que ningún control de seguridad produce

Treinta y tres controles no tienen equivalente 27001 alguno, 24 para responsables y 9 para encargados, y son la sustancia de la privacidad: identificar y documentar la finalidad (A.1.2.2) y la base jurídica (A.1.2.3); determinar, obtener y registrar el consentimiento (A.1.2.4 y A.1.2.5); la evaluación de impacto en la privacidad (A.1.2.6); el acuerdo de corresponsabilidad (A.1.2.8); los diez controles de A.1.3 sobre las obligaciones hacia los interesados, desde la información que proporcionar hasta el acceso, la rectificación, la supresión, la portabilidad, la oposición y las decisiones automatizadas; limitar la recogida y el tratamiento, la exactitud, la minimización y la desidentificación (A.1.4.2 a A.1.4.6); la base y los países de las transferencias y los registros de transferencias (A.1.5.2 a A.1.5.4). Del lado del encargado: tratar solo para los fines del cliente y nunca para marketing (A.2.2.3 y A.2.2.4), señalar una instrucción ilícita (A.2.2.5), las obligaciones del cliente y las de los interesados (A.2.2.6 y A.2.3.2), la base y los países de transferencia (A.2.5.2 y A.2.5.3), y el manejo de las solicitudes de divulgación (A.2.5.5 y A.2.5.6). Una empresa que parte de su sistema ISO 27001 construye estos desde cero, y el registro de tratamientos es el primero: todo otro control de privacidad remite a él.

Los artículos del RGPD que los controles evidencian

ISO/IEC 27701 se corresponde con el RGPD en su propio anexo, y el catálogo lee la correspondencia desde el otro lado: para cada control, qué artículo del Reglamento (UE) 2016/679 evidencia su registro. Aparecen treinta y dos artículos. Catorce filas evidencian el registro de tratamientos del artículo 30; dieciocho evidencian las obligaciones del encargado del artículo 28, del acuerdo con el cliente al cambio de subencargado; veintitrés evidencian la seguridad del tratamiento del artículo 32; seis evidencian la notificación de violaciones del artículo 33; cuatro evidencian la evaluación de impacto del artículo 35. Nada de ello es una presunción de conformidad: el Reglamento no nombra ninguna norma, un certificado prueba que el proceso existe, y la autoridad de control lee el proceso contra el texto. Lo que la correspondencia da a una empresa de software es la pista de auditoría en la otra dirección: cuando el cuestionario de un cliente o una autoridad pregunta cómo se cumple el artículo 30 o el artículo 33, la respuesta es un control con un registro detrás.

Qué hacer con ello

El orden que funciona es el del propio catálogo. Primero las 70 filas que amplían el sistema 27001, porque la evidencia ya existe y la brecha es un párrafo por fila: nombrar los datos personales en la clasificación, añadir la regla de conservación a la política de copias de seguridad, añadir los pasos de notificación al procedimiento de incidentes. Después las 33 filas solo de privacidad, empezando por el registro de tratamientos, la base jurídica por finalidad y la evaluación de impacto para las funciones que la necesitan; las cláusulas de encargo y el plazo de violación son las dos por las que los clientes preguntan primero. Un certificado según la edición de 2025 es entonces la comprobación por un tercero de un sistema que ya responde al Reglamento, que es también el orden en que lo lee un comprador sujeto a DORA, NIS2 o el RGPD.