6.3 Planificación de los cambios
La cláusula 6.3 de ISO/IEC 27001:2022 exige que, cuando la organización decida cambiar su SGSI, lo haga de forma planificada. Se refiere a cambios en el propio sistema de gestión: alcance, políticas, procesos, responsabilidades o metodología. Los cambios técnicos en sistemas de TI se tratan en el control 8.32 del Anexo A.
Es la única cláusula nueva de la versión 2022. Procede de la estructura armonizada que comparten las normas ISO de sistemas de gestión.
La cláusula 6.3 en resumen
| Aspecto | Detalle |
|---|---|
| Qué exige | Que los cambios necesarios en el SGSI se lleven a cabo de manera planificada |
| Desde cuándo | ISO/IEC 27001:2022. No existía en la versión 2013 |
| ¿Documento obligatorio? | No. La cláusula no pide información documentada propia, aunque sin registros es difícil demostrarlo |
| Qué no cubre | Los cambios técnicos en sistemas e instalaciones (control 8.32) |
| Se relaciona con | 6.1 Riesgos · 7.5 Información documentada · 8.1 Control operacional · 9.3 Revisión por la dirección · 10.1 Mejora continua |
Qué cuenta como un cambio en el SGSI
Un cambio en el SGSI es cualquier modificación en la forma en que la organización gestiona la seguridad de la información. Algunos ejemplos:
- Ampliar el alcance a una nueva sede, filial o servicio.
- Externalizar un proceso, como la gestión de la infraestructura o el centro de operaciones de seguridad.
- Adaptarse a una nueva obligación legal, por ejemplo NIS2 o el ENS.
- Cambiar la metodología de evaluación de riesgos o los criterios de aceptación.
- Reorganizar roles: nombrar un nuevo responsable de seguridad o integrar el SGSI con otro sistema de gestión.
- Sustituir la herramienta con la que se gestiona el SGSI.
- Fusiones, adquisiciones o una reestructuración de la empresa.
No cuentan como cambios del SGSI la instalación de un parche, el alta de un usuario o el cambio de una regla del cortafuegos. Esos son cambios operativos o técnicos.
