La revisión por la dirección: ¿qué debe incluir y quién participa?

Uno de los requisitos de la sección 9 de ISO 27001. Anual, con la dirección, 2 horas. Aquí tienes la agenda que acepta un auditor y que además te sirve como ejercicio de preparación.

La revisión por la dirección no es un mero trámite — es el único momento obligatorio al año en que la dirección se compromete explícitamente con el SGSI. 2 horas, una vez al año.

¿Quién participa?

• Dirección (responsable última del SGSI)
• CISO / responsable de seguridad (que en una pyme puede ser el propio director)
• Delegado de Protección de Datos (cuando sea relevante para el GDPR)
• Responsable de cumplimiento (cuando proceda)

Agenda (fija)

1. Seguimiento de la revisión anterior — ¿qué se decidió y qué se ha ejecutado?
2. Cambios en el contexto externo (legislación, requisitos de clientes, panorama de amenazas).
3. Cambios en el contexto interno (reorganización, nuevos sistemas, crecimiento).
4. Gestión de riesgos — estado del registro de riesgos, top 5 de riesgos residuales.
5. Resultados de auditorías internas y externas (auditorías de fase, de seguimiento).
6. Resumen de incidentes — número, categorías, lecciones aprendidas.
7. Estado de los controles y las revisiones de acceso.
8. Evaluación de objetivos — ¿se han alcanzado las metas de seguridad?
9. Recursos — ¿cuenta el SGSI con personal y financiación suficientes?
10. Iniciativas de mejora para el próximo año.
11. Lista de acciones y decisiones.

Evidencia

Acta con decisiones claras, nombres, fechas y acciones. Firmada o confirmada digitalmente por la dirección. Este es el documento clave que todo auditor solicitará.

Véase también: ciclo PDCA, checklist pre-auditoría.