Justificar la aplicabilidad de los controles
La declaración de aplicabilidad hace revisable la selección de controles: por qué se incluyen, por qué se excluyen y cómo se relacionan con el alcance y los riesgos.
Objetivo: Preparar una revisión de las 38 referencias del anexo A y de las medidas adicionales, justificando decisiones y separando selección, implantación y eficacia.
Definir qué declaración estás preparando
El alcance de la declaración debe poder leerse antes que sus casillas.
La declaración de aplicabilidad, también conocida como SoA por Statement of Applicability, documenta los controles necesarios y las razones para incluirlos o excluirlos. Permite seguir el criterio utilizado en el tratamiento y revisar sus cambios. No sustituye el registro de riesgos, el plan de tratamiento ni la aceptación del riesgo residual.
La plantilla del curso incluye las 38 referencias del anexo A y espacio para medidas adicionales. Está completa como estructura de revisión. Sus decisiones empiezan pendientes: no es una declaración aprobada de una organización. El ejemplo resuelto que encontrarás después trabaja algunas filas para enseñar a razonarlas.
Identifica organización, límites del SGIA, usos, actividades y papel desempeñado, versión y fecha de revisión. En el ejercicio de Tech Server IIT Spain el caso central sigue siendo USO-004, clasificador de criticidad de tickets; R-001 describe la prioridad insuficiente y su posible aplicación sin corrección; IMP-001, la posible prolongación de la interrupción del trabajo.
Solo se ha aportado una discrepancia en una revisión didáctica. No se ha confirmado aplicación operativa, demora real, daño ni causa técnica. Tampoco conocemos todo el modelo de suministro y desarrollo. Una declaración limitada a este uso no debe presentarse como revisión completa de todos los usos del SGIA.
Separar las decisiones y sus evidencias
Un control necesario puede estar pendiente de implantación; uno implantado puede no resultar eficaz.
| Dimensión | Qué debes registrar |
|---|---|
| Aplicabilidad | Incluir, excluir con fundamento o mantener pendiente mientras se obtiene información. Pendiente es un estado de trabajo, no una exclusión definitiva. |
| Justificación | La necesidad o la razón de exclusión en un alcance concreto. Enlaza riesgos, impactos, requisitos, papel desempeñado y evidencia del contexto. |
| Implantación | Qué está diseñado, ejecutado o pendiente. No marques «implantado» porque exista una tarea planificada. |
| Eficacia | Qué prueba u observación permite concluir si la medida funciona, en qué condiciones y con qué límites. |
| Aprobaciones | Quién revisó la selección y qué autoridad debe aprobar el plan y aceptar los riesgos residuales. Son decisiones diferenciadas. |
La norma no obliga a utilizar esta hoja de cálculo. Los campos de responsable, acción, evidencia y revisión ayudan a mantener el trabajo conectado. Un identificador o enlace a un registro controlado puede evitar duplicar documentación.
Completar las 38 filas sin perder el contexto
Revisa cada referencia y amplía el registro cuando el alcance o el tratamiento lo requieran.
- Confirma el alcance y las entradas. Reúne inventario, contexto, requisitos, evaluación de riesgos e impactos y respuesta de tratamiento.
- Recorre A.2 a A.10. Utiliza las preguntas de 6.2 y consulta el texto autorizado y la guía del anexo B. Identifica qué necesita tu caso.
- Decide y razona. Conserva inclusión, exclusión o pendiente; describe el ámbito exacto y el fundamento. Una frase genérica repetida 38 veces no aporta criterio.
- Relaciona las medidas. Mantén CT-001 a CT-004 como identificadores propios. Añade otras medidas necesarias sin inventar referencias normativas.
- Enlaza el trabajo. Asigna o propón una función responsable, acción del plan, evidencia y comprobación. Distingue datos reales y propuestas.
- Revisa y versiona. Cierra los pendientes con información, conserva el historial y registra la revisión que corresponda.
Si una referencia aplica de manera distinta a dos usos, puedes duplicar la fila manteniendo el mismo código y especificando el ámbito, o enlazar fichas por uso. No interpretes 38 referencias como un máximo de 38 filas. La vista agregada debe seguir cubriendo el alcance completo.
Comprobación de cobertura: ¿están revisadas las 38 referencias?, ¿aparecen las medidas adicionales necesarias?, ¿puedes seguir cada riesgo y requisito hasta su tratamiento?, ¿las decisiones pendientes tienen una comprobación y un responsable? Tener todas las filas no acredita que estén bien resueltas.
Un ejemplo razonado para el clasificador
Las siguientes filas muestran propuestas de trabajo, no una implantación comprobada.
| Referencia | Decisión y fundamento | Trabajo y evidencia pendientes |
|---|---|---|
| A.3.2 · Funciones | Incluir como propuesta: las correcciones, el escalado y las autorizaciones de USO-004 requieren funciones claras. | Confirmar la asignación y la cobertura por turno. Ensayar quién responde ante una discrepancia. |
| A.6.2.8 · Eventos | Incluir como propuesta: CT-003 necesita reconstruir propuestas, decisiones y momentos relevantes. | Definir cobertura, protección y conservación. Reconstruir un caso y declarar los tramos sin registro. |
| A.6.2.4 · Verificación y validación | Incluir como propuesta: CT-001 y CT-002 necesitan pruebas adecuadas a la situación de uso. | Preparar casos, versiones, criterios y límites. No se han aportado resultados de ensayo. |
| A.9.4 · Finalidad | Incluir como propuesta: distinguir prueba delimitada y aplicación operativa evita cambios de uso inadvertidos. | Contrastar permisos, interfaces e instrucciones con el uso permitido. |
| A.7.2 · Datos para desarrollo | Pendiente: desconocemos quién desarrolla o mejora el sistema y si reutiliza tickets. | Obtener mapa de datos, actividades de desarrollo e información del proveedor. La ausencia de datos no justifica excluir. |
| CT-004 · Medida propia | Incluir como propuesta: la prueba necesita continuidad y escalado para sostener la atención. | AC-002 y AC-005 preparan y comprueban la alternativa. Relación parcial con A.6.2.6, sin equivalencia completa. |
Cómo quedaría una fila desarrollada
Referencia: A.6.2.8. Medida: CT-003. Ámbito: recorrido de propuesta y prioridad aplicada de USO-004. Motivo: necesitamos reconstruir el escenario de R-001 y su relación potencial con IMP-001. Decisión: inclusión propuesta; diseño pendiente.
Responsable propuesto: función técnica del flujo con soporte, por confirmar. Acciones: AC-004 prepara registros y AC-005 comprueba su utilidad. Evidencia: no aportada; se propone una muestra trazable y sus reglas de acceso y conservación. Criterio de comprobación: reconstruir un caso sin depender de recuerdos e identificar los tramos que no puedan observarse.
Revisión: ante cambios de interfaz, versión o finalidad, además de la fecha que se acuerde. La prueba y su resultado siguen pendientes. No se concluye que CT-003 funcione, que el riesgo sea bajo ni que esté aceptado.
Razonar una exclusión y reconocer un pendiente
La exclusión necesita hechos del alcance, no una excusa para evitar trabajo.
«No aplica porque es caro», «lo hace el proveedor» o «todavía no lo hemos implantado» son razones insuficientes. Comprueba la necesidad del control y los requisitos aplicables. Una actividad ejecutada por terceros puede seguir requiriendo condiciones, información y seguimiento por tu organización.
Variante didáctica: una exclusión condicionada
Imagina una organización distinta con alcance limitado al uso interno de un producto cerrado. Supón, solo para esta variante, que documentos revisados confirman que no realiza desarrollo ni mejora del sistema, no ajusta modelos, no reutiliza datos para desarrollar y no tiene esas actividades bajo su responsabilidad dentro del alcance. Se han revisado asimismo los requisitos externos pertinentes.
Podría estudiarse la exclusión de A.7.2 en ese ámbito, justificándola por la ausencia comprobada de la actividad de desarrollo a la que se refiere. La decisión exigiría contrastar el texto y la guía del control, el alcance real y las obligaciones. No sería una regla general para quien compra IA ni una exclusión de todo el grupo A.7.
La calidad y procedencia de los datos usados, el uso responsable y la relación con terceros siguen necesitando revisión. Si aparecen ajustes, nuevas integraciones, mejora con datos propios o responsabilidades de desarrollo, se reabre la decisión. Registra la evidencia del supuesto y el desencadenante.
En el caso real del ejercicio no disponemos de esas comprobaciones. Por eso la fila A.7.2 permanece pendiente. La variante enseña qué fundamento habría que reunir; no añade hechos a Tech Server IIT Spain ni autoriza a copiar su conclusión.
Trabajar con la plantilla editable
Utiliza un único registro de decisiones y conserva los vínculos con el resto del expediente.
El recurso Plantilla_SoA_Modulo_6.xlsx contiene una hoja de aplicabilidad con 38 referencias y cuatro filas para medidas propias, una guía con preguntas y evidencias propuestas, y un ejemplo resuelto. Los rótulos son abreviados y las propuestas no sustituyen el texto normativo.
En la hoja principal registra ámbito, necesidad, decisión, justificación, medidas, responsable, estado, evidencia y comprobación. Indica fecha o desencadenante de revisión y quién revisa. Los desplegables mantienen consistencia; no deciden por ti. Añade filas si necesitas diferenciar usos o incorporar más medidas.
Las evidencias sugeridas de la guía son ejemplos para pensar. No se presupone que existan ni que cada control exija un documento separado. Puedes enlazar registros existentes si cubren la necesidad y su versión es identificable.
Si trabajas en papel o solo con el PDF, utiliza las fichas de la actividad y las hojas de ampliación. La lección 6.2 contiene el mapa completo de referencias; puedes trasladar cada decisión a tu registro. El Excel facilita la gestión, pero la actividad se puede completar con el contenido escrito.
Descargar la plantilla de aplicabilidad
Guarda una copia del archivo antes de trabajar. Utiliza datos ficticios o referencias internas controladas; evita incluir datos personales en el ejercicio.
Mantener la declaración y pasar al plan
Una modificación de uso puede afectar a varias decisiones a la vez.
Si el clasificador pasa de una prueba sin aplicación operativa a influir en las prioridades, revisa finalidad, validación, responsabilidades, información, datos, seguimiento y dependencias. No basta con cambiar el nombre de una fase.
Conserva qué cambió, por qué, quién revisó y desde qué versión se aplica. Las acciones necesarias pasan al plan de 6.4. La evaluación del riesgo que permanece y su aceptación se trabajan en 6.5; las comprobaciones, en 6.6. La declaración aporta trazabilidad a esas decisiones, pero no las reemplaza.
Antes de dar por cerrada una versión, verifica que las exclusiones tienen fundamento y que los pendientes no se presentan como decisiones definitivas. En una incidencia urgente, atiende el problema por el cauce operativo y actualiza el expediente sin retrasar la respuesta.
Actividad: preparar tu ficha
Recorre las 38 referencias; desarrolla cuatro inclusiones y una decisión pendiente. Mantén la variante de exclusión separada de los hechos del caso.
Orientación para revisar tu propuesta
Una respuesta razonada conserva el ámbito y distingue decisiones, implantación y eficacia. La plantilla contiene todas las referencias, pero la revisión solo está completa cuando sus decisiones tienen fundamento. A.7.2 sigue pendiente en el caso central; no se ha demostrado la ausencia de actividades de desarrollo. Las medidas CT conservan su identidad y las correspondencias son parciales. Se admiten otras propuestas justificadas.
Comprueba tu criterio
Explica tus decisiones antes de consultar las orientaciones.
Responde primero con tus palabras. Abre cada orientación después de tu intento.
¿Tener 38 filas significa haber terminado la declaración?
No. Las filas aseguran cobertura inicial; cada decisión necesita fundamento, ámbito, revisión y relación con los riesgos y requisitos. Deben añadirse las medidas necesarias fuera del catálogo.
¿Puede incluirse un control pendiente de implantación?
Sí. La necesidad, la implantación y la eficacia son dimensiones distintas. Registra el trabajo pendiente y cómo se comprobará.
¿Por qué A.7.2 queda pendiente en el caso central?
Porque faltan datos sobre desarrollo, mejora, reutilización de tickets y responsabilidades. La variante de exclusión se apoya en supuestos adicionales que no se han confirmado en el caso.
¿CT-003 equivale a cumplir A.6.2.8?
No. Es una medida propia relacionada con la referencia. Su cobertura debe contrastarse y su funcionamiento y eficacia comprobarse.
Lo que te llevas: una revisión estructurada de todo el catálogo, decisiones razonadas y un siguiente paso para cada pendiente.
Referencias y alcance del material
Contenido didáctico de José Manuel Hernández Agudo. Caso Tech Server IIT Spain: ficticio. NIST se utiliza como referencia complementaria voluntaria; no sustituye ISO/IEC 42001. Las propuestas, estados y comprobaciones no describen una implantación real.
- ISO/IEC 42001:2023, ficha oficial (nueva pestaña)
- Vista previa publicada de ISO/IEC 42001:2023, apartado 6.1.3 (nueva pestaña)
- NIST AI RMF, funciones y categorías (nueva pestaña)
- BSI: estructura de los grupos de controles (nueva pestaña)
- NYCE: mapa público de referencias (nueva pestaña)
Este material no reproduce el texto de la norma ni acredita conformidad. Para comprobar requisitos concretos utiliza el texto normativo autorizado y las obligaciones aplicables al caso.