Cláusula 4.2 de ISO 27001: necesidades y expectativas de las partes interesadas
La cláusula 4.2 de ISO/IEC 27001:2022 pide tres cosas: identificar las partes interesadas que importan para el SGSI, conocer sus requisitos de seguridad de la información y decidir cuáles de esos requisitos va a cubrir el SGSI. Una parte interesada es cualquier persona u organización que puede afectar al SGSI, verse afectada por él o percibir que le afecta. Clientes, empleados, proveedores y reguladores son los casos más habituales.
La cláusula 4.2 en resumen
| Aspecto | Detalle |
|---|---|
| Qué exige | a) Partes interesadas pertinentes para el SGSI. b) Sus requisitos pertinentes. c) Qué requisitos se abordarán mediante el SGSI |
| Tipo de requisitos | Pueden incluir obligaciones legales, reglamentarias y contractuales |
| Novedad 2022 | El apartado c): decidir qué requisitos cubre el SGSI |
| Novedad 2024 | Nota que recuerda que las partes interesadas pueden tener requisitos relacionados con el cambio climático (Amd 1:2024) |
| ¿Documento obligatorio? | No de forma explícita, aunque en la práctica se mantiene un registro |
| Alimenta a | 4.3 Alcance · 6.1 Riesgos · 6.2 Objetivos · 9.3 Revisión por la dirección · control 5.31 del Anexo A |
Qué cambió respecto a la versión 2013
| Aspecto | ISO 27001:2013 | ISO 27001:2022 + Amd 1:2024 |
|---|---|---|
| Identificar partes interesadas | Sí | Sí |
| Identificar sus requisitos | Sí | Sí |
| Decidir qué requisitos cubre el SGSI | No se pedía | Obligatorio (apartado c) |
| Requisitos climáticos | No | Nota añadida en 2024 |
El apartado c) obliga a decidir. No todos los requisitos de una parte interesada se gestionan desde el SGSI: algunos corresponden a otros sistemas o áreas, y la organización debe dejar claro cuáles asume.
Ejemplos de partes interesadas y requisitos
| Parte interesada | Requisito de ejemplo | ¿Lo cubre el SGSI? |
|---|---|---|
| Clientes | Certificación ISO/IEC 27001:2022, cláusulas de confidencialidad, notificación de incidentes en un plazo pactado | Sí |
| Empleados | Acceso seguro en teletrabajo, protección de sus datos personales | Sí |
| Dirección y socios | Continuidad del negocio, evitar sanciones y daños reputacionales | Sí |
| Proveedores críticos y cloud | Condiciones contractuales de seguridad, gestión de accesos compartidos | Sí |
| Autoridades de protección de datos (AEPD) | Cumplir el RGPD y notificar brechas en 72 horas | Sí, en la parte de seguridad |
| Autoridades de ciberseguridad (NIS2, ENS) | Medidas de gestión de riesgos y notificación de incidentes | Sí, si la organización está sujeta |
| Aseguradora de ciberriesgos | Autenticación multifactor, copias fuera de línea | Sí |
| Entidad de certificación | Cumplir ISO 27001 y mantener la mejora continua | Sí |
| Clientes con objetivos climáticos | Datos de consumo energético de los servicios |
