[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:iso-27701-2025-para-una-empresa-de-software-la-norma-de-privacidad-independiente-sus-78-controles-y-los-articulos-del-rgpd-que-evidencian":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","iso-27701-2025-para-una-empresa-de-software-la-norma-de-privacidad-independiente-sus-78-controles-y-los-articulos-del-rgpd-que-evidencian","ISO\u002FIEC 27701:2025 para una empresa de software: la norma de privacidad independiente, sus 78 controles, lo que un sistema ISO 27001 ya cubre, y los artículos del RGPD que cada control evidencia","La segunda edición de ISO\u002FIEC 27701, publicada en octubre de 2025, ya no es una extensión de ISO 27001: es una norma de sistema de gestión por derecho propio, con los capítulos 4 a 10 y un solo anexo A de 78 controles, 31 para responsables del tratamiento de PII, 18 para encargados del tratamiento de PII y 29 controles de seguridad de la información para ambos. Leída fila a fila para una empresa de software: cuáles de los 103 requisitos cubre ya a medias un sistema ISO 27001 en funcionamiento y qué pide 27701 más allá, los 33 requisitos de privacidad que ningún control de seguridad produce, y los 32 artículos del RGPD que los controles evidencian, del registro de tratamientos al plazo de violación de 72 horas. La lectura de StandardOS, con el texto de la norma donde está.","2026-09-12",{"who":10,"when":11,"do":12},"Una empresa de software que posee o construye un sistema ISO 27001 y trata datos personales para sí misma y para sus clientes: la norma tiene una tabla por rol, responsable del tratamiento de PII y encargado del tratamiento de PII, y un SaaS es ambos.","La edición de 2025 se publicó en octubre de 2025 y sustituye a la extensión de 2019, retirada; un certificado según la edición antigua entra en la transición que fijan los organismos de acreditación, y una primera certificación se hace según la nueva; las obligaciones del RGPD que los controles evidencian se aplican ya, diga lo que diga el certificado.","Empiece por las 70 filas que un sistema 27001 ya cubre a medias y cierre la brecha que cada fila nombra; añada después los 33 controles solo de privacidad, el registro de tratamientos, la base jurídica, la evaluación de impacto, los derechos de los interesados; la determinación gratuita del RGPD dice cuáles de ellos necesita primero su producto.","\nISO\u002FIEC 27701 fue, hasta este año, un complemento: un documento que decía a una organización con un sistema ISO 27001 qué requisitos y controles adicionales lo convertían también en un sistema de gestión de la información de privacidad. La segunda edición, ISO\u002FIEC 27701:2025, publicada en octubre de 2025, anula y sustituye la edición de 2019 y está redactada como una norma de sistema de gestión independiente: sus propios capítulos 4 a 10, su propio anexo A, su propio certificado conforme a ISO\u002FIEC 27706:2025. Este artículo lee la nueva edición fila a fila para una empresa de software, con el [catálogo que StandardOS mantiene de ella](\u002Fgdpr) como datos: 103 requisitos, cada uno con el capítulo o control de ISO 27001 al que corresponde, la brecha que 27701 pide más allá, y los artículos del RGPD que su registro evidencia.\n\n## Qué cambió: una norma, un anexo A, dos roles\n\nLa edición de 2019 extendía ISO 27001 por referencia, así que un PIMS no podía existir sin un SGSI. La edición de 2025 aplica la estructura armonizada que ISO usa para todas sus normas de sistemas de gestión: capítulo 4 contexto, 5 liderazgo, 6 planificación, 7 apoyo, 8 operación, 9 evaluación del desempeño, 10 mejora, la misma numeración que ISO 27001:2022, con una política de privacidad, objetivos de privacidad y una evaluación de riesgos de privacidad que lee los riesgos para las personas cuyos datos se tratan, no solo los riesgos para la organización. El capítulo 6.1.3 selecciona los controles del anexo A mediante el tratamiento de riesgos y redacta una declaración de aplicabilidad, exactamente como hace 27001 con su propio anexo A.\n\nEl anexo A es ahora un solo anexo en tres tablas. La tabla A.1 lleva 31 controles para responsables del tratamiento de PII, en cuatro grupos: condiciones para la recogida y el tratamiento, obligaciones hacia los interesados, privacidad desde el diseño y por defecto, y compartición, transferencia y divulgación de PII. La tabla A.2 lleva 18 controles para encargados del tratamiento de PII en los mismos cuatro grupos. La tabla A.3 lleva 29 controles de seguridad de la información que ambos roles implantan, cada uno un control 27001 leído para datos personales. El anexo B da orientación de implantación con la misma numeración, y el anexo F hace corresponder cada control de 2025 con su equivalente de 2019 y viceversa. Para una empresa de software los dos roles están presentes: es responsable de sus propios datos de clientes y personal y encargada de los datos que sus clientes introducen en el producto, así que A.1, A.2 y A.3 se aplican todos, y la [determinación del RGPD](\u002Fgdpr\u002Fduties) dice qué obligaciones se activan para cada uno.\n\n## Las 70 filas que un sistema 27001 ya cubre a medias\n\nSetenta de los 103 requisitos corresponden a algo que un sistema ISO 27001 en funcionamiento ya tiene, y ninguno queda cubierto del todo por él. Los 25 capítulos corresponden a sus gemelos 27001: el mismo contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora, con una brecha por capítulo. La política de privacidad de 5.2 se sitúa junto a la política de seguridad de la información y se compromete con las personas afectadas; la evaluación de riesgos de 6.1.2 evalúa los riesgos para los interesados, que es el razonamiento que necesita una evaluación de impacto relativa a la protección de datos; la información documentada de 7.5 añade el registro de tratamientos, los consentimientos, las evaluaciones y las solicitudes a lo que 27001 controla; la revisión por la dirección de 9.3 toma como entrada las opiniones de los interesados y de los reguladores.\n\nLos 29 controles de seguridad de la tabla A.3 corresponden uno a uno a controles del anexo A de 27001:2022, y la brecha es cada vez de la misma clase: el control 27001 no está escrito para datos personales, y 27701 pide que lo esté. La clasificación (A.3.5) nombra la PII y sus categorías especiales donde 27001 clasifica por confidencialidad; el registro de eventos (A.3.25) anota quién accedió a qué datos personales y cuándo, para que una violación pueda reconstruirse y una solicitud responderse; las copias de seguridad (A.3.24) quedan sujetas a la conservación y la supresión, para que una restauración no reinstale datos borrados; la gestión de incidentes (A.3.11 y A.3.12) planifica y ejecuta las notificaciones de violación con sus plazos legales; el ciclo de desarrollo seguro (A.3.27) incluye la privacidad desde el diseño y por defecto; la información de prueba (A.3.31) excluye los datos personales como datos de prueba salvo desidentificación. Las 16 correspondencias restantes están en las tablas A.1 y A.2, donde un control de privacidad amplía uno de seguridad: los contratos con encargados y el acuerdo con el cliente amplían los acuerdos con proveedores de A.5.20, los registros de tratamiento amplían la protección de registros de A.5.33, la conservación, la eliminación y los ficheros temporales amplían la supresión de información de A.8.10, los controles sobre subencargados amplían la seguridad de proveedores de A.5.19.\n\n## Las 33 filas que ningún control de seguridad produce\n\nTreinta y tres controles no tienen equivalente 27001 alguno, 24 para responsables y 9 para encargados, y son la sustancia de la privacidad: identificar y documentar la finalidad (A.1.2.2) y la base jurídica (A.1.2.3); determinar, obtener y registrar el consentimiento (A.1.2.4 y A.1.2.5); la evaluación de impacto en la privacidad (A.1.2.6); el acuerdo de corresponsabilidad (A.1.2.8); los diez controles de A.1.3 sobre las obligaciones hacia los interesados, desde la información que proporcionar hasta el acceso, la rectificación, la supresión, la portabilidad, la oposición y las decisiones automatizadas; limitar la recogida y el tratamiento, la exactitud, la minimización y la desidentificación (A.1.4.2 a A.1.4.6); la base y los países de las transferencias y los registros de transferencias (A.1.5.2 a A.1.5.4). Del lado del encargado: tratar solo para los fines del cliente y nunca para marketing (A.2.2.3 y A.2.2.4), señalar una instrucción ilícita (A.2.2.5), las obligaciones del cliente y las de los interesados (A.2.2.6 y A.2.3.2), la base y los países de transferencia (A.2.5.2 y A.2.5.3), y el manejo de las solicitudes de divulgación (A.2.5.5 y A.2.5.6). Una empresa que parte de su sistema ISO 27001 construye estos desde cero, y el registro de tratamientos es el primero: todo otro control de privacidad remite a él.\n\n## Los artículos del RGPD que los controles evidencian\n\nISO\u002FIEC 27701 se corresponde con el RGPD en su propio anexo, y el catálogo lee la correspondencia desde el otro lado: para cada control, qué artículo del Reglamento (UE) 2016\u002F679 evidencia su registro. Aparecen treinta y dos artículos. Catorce filas evidencian el registro de tratamientos del artículo 30; dieciocho evidencian las obligaciones del encargado del artículo 28, del acuerdo con el cliente al cambio de subencargado; veintitrés evidencian la seguridad del tratamiento del artículo 32; seis evidencian la notificación de violaciones del artículo 33; cuatro evidencian la evaluación de impacto del artículo 35. Nada de ello es una presunción de conformidad: el Reglamento no nombra ninguna norma, un certificado prueba que el proceso existe, y la autoridad de control lee el proceso contra el texto. Lo que la correspondencia da a una empresa de software es la pista de auditoría en la otra dirección: cuando el cuestionario de un cliente o una autoridad pregunta cómo se cumple el artículo 30 o el artículo 33, la respuesta es un control con un registro detrás.\n\n## Qué hacer con ello\n\nEl orden que funciona es el del propio catálogo. Primero las 70 filas que amplían el sistema 27001, porque la evidencia ya existe y la brecha es un párrafo por fila: nombrar los datos personales en la clasificación, añadir la regla de conservación a la política de copias de seguridad, añadir los pasos de notificación al procedimiento de incidentes. Después las 33 filas solo de privacidad, empezando por el [registro de tratamientos](\u002Fgdpr\u002Frecord-of-processing), la base jurídica por finalidad y la [evaluación de impacto](\u002Fgdpr\u002Fimpact-assessment) para las funciones que la necesitan; las [cláusulas de encargo](\u002Fgdpr\u002Fprocessor-terms) y el [plazo de violación](\u002Fgdpr\u002Fbreach-clock) son las dos por las que los clientes preguntan primero. Un certificado según la edición de 2025 es entonces la comprobación por un tercero de un sistema que ya responde al Reglamento, que es también el orden en que lo lee un comprador sujeto a DORA, NIS2 o el RGPD.\n",1789383971951]