Qué tiene que llevar el acta de la revisión por la dirección de la ISO 27001: las siete entradas de la 9.3.2, las decisiones y un modelo trabajado.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
La revisión por la dirección es el momento en que la alta dirección mira los datos del sistema de gestión de la seguridad de la información y decide qué cambia. La ISO 27001 la exige en su cláusula 9.3: siete asuntos que hay que considerar, decisiones como resultado y un registro que lo demuestre, que en la práctica es el acta. Aquí va qué tiene que llevar esa acta, de dónde sale cada dato, cómo la revisa el auditor y un modelo trabajado.
El proceso completo de certificación está en la guía de certificación ISO 27001; esta va a la reunión que demuestra que la dirección gobierna el sistema y no se limita a firmarlo.
Un acta sin decisiones es un orden del día con fecha.
La ISO/IEC 27001:2022 la divide en tres partes:
Lo que la norma no pide, y conviene saberlo antes de complicarse:
Quién es la alta dirección. La ISO/IEC 27000 la define como la persona o el grupo que dirige y controla la organización al más alto nivel; si el sistema cubre solo una parte de la empresa, la de esa parte. En una pyme es la gerencia o el consejo, no el responsable de seguridad: quien lleva la seguridad prepara los datos y los presenta, y decide la dirección. Si la revisión la firma solo quien gestiona el sistema, es un informe, no una revisión.
| Entrada (9.3.2) | De dónde sale | Qué pido ver como auditor |
|---|---|---|
| a) Estado de las acciones de revisiones anteriores | El acta anterior y el registro de acciones | Cada decisión anterior con su estado y, si no se cumplió, el porqué |
| b) Cambios en las cuestiones externas e internas | El análisis de contexto (4.1) | Lo que cambió: clientes, leyes, tecnología, organización; desde 2024, también si el cambio climático es pertinente |
| c) Cambios en las necesidades y expectativas de las partes interesadas | Las partes interesadas (4.2), los contratos y los cuestionarios de clientes | Requisitos nuevos de clientes, contratos o reguladores |
| d) Desempeño de la seguridad, con sus tendencias | No conformidades y acciones correctivas (10.2), seguimiento y medición (9.1), auditorías (9.2) y objetivos (6.2) | La tendencia, no la foto: este periodo frente al anterior |
| e) Comentarios de las partes interesadas | Quejas, incidencias de clientes, cuestionarios y auditorías de clientes | Lo que dicen de tu seguridad quienes dependen de ella |
| f) Resultados de la evaluación de riesgos y estado del plan de tratamiento | El registro de riesgos (6.1.2 y 8.2) y el plan de tratamiento (6.1.3 y 8.3) | Riesgos que suben, riesgos aceptados y acciones vencidas |
| g) Oportunidades de mejora continua | Propuestas del equipo y lecciones de incidentes (10.1) | Propuestas concretas, con su coste si lo tienen |
Tres notas para no quedarse corto:
La 9.3.3 pide decisiones sobre mejoras y sobre cambios en el sistema. Mi método es que cada decisión lleve cinco datos:
Lo que suele decidirse: cambios de alcance (4.3), de política (5.2) o de objetivos (6.2); aceptar o no un riesgo residual cuando la dirección es su dueña (6.1.3); recursos y presupuesto; y mejoras concretas. Decidir no cambiar nada también vale si se razona: «revisado el contexto, el alcance sigue siendo válido» es una decisión.
La revisión tiene que considerar los resultados de las auditorías, así que va después de la auditoría interna y antes de la externa. La certificadora lo comprueba dos veces: en la fase 1 de la certificación inicial mira que las auditorías internas y las revisiones por la dirección se planifican y se hacen (ISO/IEC 17021-1, apartado 9.3.1.2.2), y en cada auditoría de seguimiento vuelve a revisarlas (apartado 9.6.2.2).
Ese calendario, con el índice de evidencias de la misma empresa que uso abajo, está en la guía de las evidencias para la auditoría ISO 27001.
Empresa ficticia: software en la nube, unas 40 personas, certificada en ISO 27001 desde noviembre de 2025; es la misma del ejemplo de las evidencias. Auditoría interna el 20 de octubre, revisión por la dirección el 3 de noviembre y auditoría de seguimiento a mediados de mes. Asisten el director general y la directora técnica; el responsable de seguridad presenta. Las entradas, resumidas:
| Entrada | Dato | Conclusión |
|---|---|---|
| a) Acciones anteriores | 5 decisiones de la revisión de 2025; 4 cerradas | La formación de los mandos sigue a medias: plazo nuevo |
| b) Contexto | Dos clientes de banca piden cláusulas nuevas; soporte empieza a usar un asistente de IA | El alcance no cambia; el cambio climático no es pertinente, porque el servicio corre en dos regiones del proveedor de nube |
| c) Partes interesadas | Un cliente exige por contrato avisar de incidentes en 24 horas | Hay que cambiar el procedimiento de incidentes |
| d) Desempeño | 3 no conformidades internas frente a 5; parches críticos en plazo, 82 % frente al 95 % fijado; auditoría interna, 2 no conformidades menores | Mejora general; el objetivo de parches no se cumple |
| e) Comentarios | 6 cuestionarios de clientes; uno pide pruebas de restauración | Sin quejas; las pruebas existen y se comparten |
| f) Riesgos | Suben dos: la dependencia de un proveedor y el asistente de IA con datos de clientes; 3 acciones del plan, vencidas | Se reprograman con dueño y fecha |
| g) Mejoras | Automatizar la revisión trimestral de accesos; llaves físicas para las cuentas de administración | Pasan a decisión |
Y las decisiones, sin la columna de cómo se cerrará cada una:
| Decisión | Responsable | Plazo | Recursos |
|---|---|---|---|
| 1. Revisión trimestral de accesos automática desde el proveedor de identidad | Responsable de sistemas | 31-ene-2027 | 20 horas internas |
| 2. Parches críticos: alerta a los 10 días y excepción firmada por la directora técnica | Directora técnica | 15-dic-2026 | Sin coste |
| 3. Evaluar el riesgo del asistente de IA antes de extenderlo a más clientes | Responsable de seguridad | 30-nov-2026 | Sin coste |
| 4. Llaves de seguridad para las 8 cuentas de administración | Responsable de sistemas | 31-dic-2026 | 600 €, aprobados |
| 5. Procedimiento de incidentes con aviso al cliente en 24 horas | Responsable de seguridad | 30-nov-2026 | Sin coste |
Los hallazgos que más se repiten:
La directiva NIS2 pide a los órganos de dirección que aprueben las medidas de gestión de riesgos, supervisen su aplicación y respondan por los incumplimientos, y que sus miembros se formen (art. 20). En España sigue sin ley de transposición en el BOE, comprobado el 13 de octubre de 2026, y las Cortes se disolvieron el 6 de octubre (Real Decreto 806/2026). Cuando llegue, el acta de esta revisión será la prueba más directa de que la dirección aprueba y supervisa. Lo cuento en la guía de NIS2 para pymes, y la Checklist NIS2 te sirve para repasar lo que te pediría.
Si en tu empresa nadie puede preparar las entradas con criterio, esa es justo la función de un CISO externo.
Si llevas el sistema en Salvik, con el plan Pro la revisión por la dirección reúne los datos de entrada que ya tiene la aplicación (acciones, auditoría interna, incidentes, riesgos y cambios normativos), los congela al convocarla y cierra el acta con las decisiones. No entra en el plan Base ni en la prueba de 7 días; los planes están en salvik.eu.
Si quieres que alguien revise tu acta con la vara del auditor antes de que llegue el de verdad, la auditoría interna y la preparación de la auditoría están en los servicios ISO 27001. Y si todavía estás montando el sistema, el paso anterior es la declaración de aplicabilidad.
La norma no fija la frecuencia: pide hacerla a intervalos planificados. Lo habitual es una vez al año como mínimo, después de la auditoría interna, y otra extraordinaria si hay un cambio importante. La certificadora la mira en la fase 1 de la certificación inicial y en cada auditoría de seguimiento.
La alta dirección: la persona o el grupo que dirige la organización al más alto nivel, o la parte de ella que cubre el sistema. Quien lleva la seguridad prepara y presenta los datos, pero las decisiones las toman quienes pueden asignar recursos y cambiar prioridades.
No. La norma no exige reunión ni formato. Puede hacerse en remoto o repartida en varias sesiones del comité de dirección, siempre que entre todas cubran las siete entradas de la 9.3.2 y quede constancia de las decisiones.
La auditoría interna (9.2) comprueba con independencia si el sistema cumple y funciona. La revisión por la dirección (9.3) decide qué hacer con eso. Los resultados de la auditoría son una de las entradas de la revisión, y por eso la auditoría va antes.
La norma no exige firma: pide información documentada que sirva de evidencia de los resultados (9.3.3) y que esté controlada (7.5). Una aprobación registrada, sea una firma o una validación electrónica, ayuda a demostrar que las decisiones son de la dirección.
En la fase 1, la certificadora comprueba que las auditorías internas y las revisiones por la dirección se planifican y se hacen. Si falta, lo normal es que no pase a la fase 2 hasta que se haga o que registre una no conformidad.