Un proveedor envía su certificado ISO 27001 y el equipo de seguridad del cliente lee una sola línea: el alcance. Si esa línea dice «el sistema de gestión de seguridad de la información de Ejemplo S.L. en su domicilio social», el certificado acaba de decirle a un comprador que el producto SaaS que corre en una región de nube, operado por un equipo que trabaja desde casa, puede estar dentro o puede no estarlo. Desde el 15 de julio de 2024 esa lectura tiene base regulatoria para todo cliente financiero: la letra b) del artículo 8, apartado 3, del Reglamento Delegado (UE) 2024/1773 permite a un banco confiar en una certificación en vez de auditar a su proveedor solo cuando el alcance de la certificación cubre los sistemas y los controles clave que el banco ha identificado, y las letras c) y d) exigen que el certificado esté vigente y siga cubriendo esos sistemas en las versiones futuras. Este artículo explica qué es la declaración de alcance, qué debe mostrar el certificado, cómo lee ambos un comprador y qué debería decir el alcance de una empresa de software. No es asesoramiento jurídico y no es la norma; la norma es el texto que hay que comprar y leer.
Lo que exige la cláusula 4.3
La cláusula 4.3 de ISO/IEC 27001:2022 exige que la organización determine los límites y la aplicabilidad de su sistema de gestión de seguridad de la información para establecer su alcance, considerando las cuestiones externas e internas de la cláusula 4.1, los requisitos de las partes interesadas de la cláusula 4.2, y las interfaces y dependencias entre las actividades que realiza la organización y las que realizan otras organizaciones, y que mantenga el alcance como información documentada. De ahí se siguen tres cosas. El alcance es decisión de la organización, no del auditor: un organismo de certificación audita lo que la organización ha declarado, y un alcance estrecho es un alcance válido. El alcance tiene que estar escrito y disponible, y por eso un comprador puede pedir el documento de alcance y no solo el certificado. Y la tercera consideración, las interfaces y dependencias, es la frase que decide cómo se describe un producto alojado en la nube: el proveedor de nube es otra organización, sus actividades quedan fuera del alcance, y la interfaz con él queda dentro.
Lo que muestra el certificado
ISO/IEC 17021-1, la norma a la que los organismos de acreditación someten a los organismos de certificación, exige que el documento de certificación identifique al cliente y los emplazamientos cubiertos, la norma y su edición, el alcance de la certificación, el organismo de certificación, las fechas de concesión y de caducidad, y una identificación única. La mayoría de los certificados nombran también el organismo de acreditación cuya marca llevan y la versión de la declaración de aplicabilidad frente a la que se realizó la auditoría. Dos de esos campos son los que un comprador comprueba primero. La edición: los certificados según ISO/IEC 27001:2013 ya no son válidos, porque la transición acreditada a la edición de 2022 terminó el 31 de octubre de 2025, y un certificado que todavía cita 2013 es un certificado caducado. Y los emplazamientos: un certificado enumera los lugares cubiertos, y un producto operado desde una región de nube no se opera desde ninguno de ellos, salvo que el alcance diga cómo.
Cómo decide un comprador si está vigente
La certificación acreditada funciona en un ciclo de tres años. El organismo de certificación realiza una auditoría de seguimiento al menos una vez por año natural, la primera dentro de los 12 meses siguientes a la decisión de certificación, y una auditoría de renovación antes de que caduque el certificado. Un comprador que aplica el artículo 8, apartado 3, letra c), del Reglamento Delegado, o que simplemente hace su trabajo, pregunta la fecha de la última auditoría de seguimiento y si hay no conformidades abiertas, porque un certificado solo está tan vigente como su última auditoría. La página de organismos de certificación enumera el registro nacional de acreditación de cada Estado miembro, donde el comprador confirma que el certificador está acreditado específicamente para ISO 27001; la acreditación para ISO 9001 no es acreditación para ISO 27001, y un certificador que no aparece en ningún registro nacional no está acreditado, diga lo que diga su sitio web.
Una declaración de alcance que falla, y tres que pasan
La que falla: «El sistema de gestión de seguridad de la información de Ejemplo S.L. en la calle Ejemplo 1.» No nombra ningún producto, ningún servicio, ningún sistema y ningún lugar salvo una oficina. La política de un cliente financiero no puede relacionarla con los sistemas de los que depende, así que el artículo 8, apartado 3, letra b), no se cumple, y se usa en su lugar la cláusula de auditoría.
Las tres que pasan están escritas para una empresa de software y son ilustraciones, no plantillas; el organismo de certificación decide si un alcance es auditable.
Primera, un solo producto operado en un proveedor de nube: «El desarrollo, la operación y el soporte de la plataforma de nóminas Ejemplo, prestada como SaaS multiinquilino desde regiones de Ejemplo Cloud en la Unión, incluidas las funciones de atención al cliente y de respuesta a incidentes, realizadas por personal que trabaja desde la oficina de Ejemplo S.L. y a distancia, conforme a la declaración de aplicabilidad versión 4.» Nombra el producto, el modelo de prestación, las regiones, las funciones de apoyo, las personas y la versión de la declaración de aplicabilidad.
Segunda, una empresa con varios productos de los que solo uno se vende a clientes regulados: «El diseño, desarrollo, alojamiento y operación del servicio Ejemplo Ledger para clientes del sector financiero, incluida la infraestructura en la que corre en Ejemplo Cloud y los procesos de gestión de cambios, incidentes, copias de seguridad y proveedores que lo sustentan.» Los demás productos quedan fuera del alcance a propósito, y la declaración lo dice al nombrar uno.
Tercera, una empresa cuyo producto instalan los clientes: «El desarrollo, la publicación y el mantenimiento del producto de software Ejemplo, incluidos la cadena de compilación y publicación, el proceso de gestión de vulnerabilidades y el servicio de soporte técnico, en las oficinas de Ejemplo S.L. en Dublín y Lisboa y a distancia.» Aquí los sistemas propios del cliente quedan fuera del alcance, así que el alcance nombra la cadena y el servicio de soporte de los que depende el cliente.
Dónde va el proveedor de nube
Un proveedor no puede meter a su proveedor de nube dentro de su propio alcance, y no lo necesita. La tercera consideración de la cláusula 4.3 pone la interfaz dentro: los controles de relaciones con proveedores del anexo A, A.5.19 a A.5.21 (seguridad de la información en las relaciones con proveedores, acuerdos con proveedores, la cadena de suministro de TIC), y la supervisión de los servicios de proveedores, A.5.22, son los controles a los que apunta la declaración de alcance cuando dice «prestada desde regiones de Ejemplo Cloud». El propio certificado del proveedor, su documentación de responsabilidad compartida y las condiciones contractuales son la evidencia que producen esos controles. Por eso también el registro de información que presenta un cliente financiero pide los países de almacenamiento y tratamiento y la cadena de subcontratistas por posición: el cliente relaciona las filas del registro con las interfaces de la declaración de alcance, y un alcance que nombra las regiones hace posible esa relación.
Qué hacer antes de la próxima auditoría de seguimiento
Reescriba el alcance de modo que nombre el producto, el modelo de prestación, las funciones de apoyo, las ubicaciones incluidas las regiones de nube, y la versión de la declaración de aplicabilidad, y presente el alcance reescrito al organismo de certificación antes de la próxima auditoría de seguimiento, porque un cambio de alcance es un cambio que él evalúa. Publique la declaración de alcance junto al certificado en vez de solo el certificado. Tenga el último informe de auditoría de seguimiento listo para compartir bajo acuerdo de confidencialidad, porque el artículo sobre la diligencia debida DORA muestra que el certificado por sí solo nunca cumple las ocho condiciones. Y trate la declaración de alcance como el primer documento del sistema de gestión y no como la última línea del certificado: StandardOS la mantiene junto a la declaración de aplicabilidad y los controles que nombran, con versiones, para que la frase del certificado y el sistema que hay detrás digan lo mismo. La página gratuita redacta la declaración de alcance a partir de doce respuestas, la frase del certificado primero. El centro ISO 27001 reúne el resto.