Evidencias del PIMS de ISO 27701:2025 para auditorías del RGPD de la UE
Son las 08:40 de un jueves y Ava, la responsable de cumplimiento de FinScale, acaba de abrir el correo electrónico que toda empresa B2B SaaS de rápido crecimiento termina recibiendo.
Un gran cliente empresarial alemán ha enviado un cuestionario de diligencia debida conforme al RGPD de la UE con un plazo de 48 horas. No pide una política de privacidad. No le basta un certificado. Pide evidencias.
Faciliten su Registro de Actividades de Tratamiento para nuestros datos. Muestren evidencias de la diligencia debida realizada durante la incorporación de subencargados. Expliquen cómo evidencian sus obligaciones del artículo 28 del RGPD de la UE. Identifiquen si su plataforma actúa como responsable del tratamiento de PII, encargado del tratamiento, corresponsable del tratamiento o subencargado en cada flujo de trabajo. Demuestren que se validó la base jurídica para su funcionalidad de soporte asistido por IA. Muestren obligaciones de supresión, derechos de auditoría, soporte en incidentes y controles contractuales.
Ava sabe que FinScale tiene los elementos necesarios. Legal tiene el contrato de encargo del tratamiento. Seguridad tiene la Declaración de Aplicabilidad ISO/IEC 27001:2022. Producto tiene listas de verificación de lanzamiento. Compras tiene contratos con proveedores. Cumplimiento tiene un registro de tratamiento, aunque algunas entradas están desactualizadas. El problema no es que no existan evidencias. El problema es que las evidencias están dispersas, la ambigüedad de roles sigue sin resolverse y nadie puede trazar rápidamente una actividad de tratamiento desde la finalidad hasta la base jurídica, la decisión de riesgo, el control del proveedor, el control de seguridad, el registro de auditoría y la revisión por la dirección.
Esa es la verdadera brecha de responsabilidad proactiva.
ISO 27701:2025 adquiere valor cuando cierra esa brecha. Un Sistema de Gestión de la Privacidad de la Información, o PIMS, no es solo un repositorio de políticas para obtener una certificación de privacidad. Es un modelo operativo para producir evidencias fiables. Para CISO, responsables de cumplimiento, responsables de privacidad, auditores y propietarios de negocio, el objetivo es sencillo: construir un PIMS que demuestre la responsabilidad proactiva conforme al RGPD de la UE para responsables y encargados del tratamiento de PII y que, al mismo tiempo, respalde las expectativas de ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 y COBIT 2019.
La responsabilidad proactiva del RGPD de la UE es un problema de evidencias
La responsabilidad proactiva del RGPD de la UE se malinterpreta a menudo como un requisito documental. Es más exigente que eso.
El artículo 5 del RGPD de la UE define los principios básicos del tratamiento de datos personales, entre ellos licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad. El artículo 5(2) responsabiliza al responsable del tratamiento de poder demostrar el cumplimiento. El artículo 4 define el vocabulario de datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, seudonimización y violación de la seguridad de los datos personales. El artículo 6 exige una base jurídica para cada actividad de tratamiento realizada como responsable del tratamiento. El artículo 9 añade condiciones más estrictas para categorías especiales de datos personales. El artículo 28 regula las obligaciones del encargado del tratamiento y las condiciones contractuales.
Estas obligaciones no se satisfacen únicamente con un aviso de privacidad público. Requieren evidencias a nivel de actividad de tratamiento.
Un modelo práctico de evidencias del PIMS ISO 27701:2025 debe responder:
- ¿Qué PII se trata?
- ¿Por qué se trata?
- ¿Actúa la organización como responsable del tratamiento, encargado del tratamiento, corresponsable del tratamiento o subencargado?
- ¿Qué base jurídica aplica cuando la organización es responsable del tratamiento?
- ¿Qué instrucción documentada aplica cuando la organización es encargada del tratamiento?
- ¿Qué sistemas, proveedores, subencargados y ubicaciones intervienen?
- ¿Qué evaluación preliminar de riesgos de privacidad o decisión de EIPD se realizó?
- ¿Qué controles de seguridad protegen la PII?
- ¿Qué evidencias demuestran que el control operó?
- ¿Quién aprobó el riesgo residual, las excepciones y las acciones correctivas?
El enfoque de Clarysec convierte estas preguntas en obligaciones de política, registros y objetos de evidencia trazables. El resultado es un PIMS capaz de soportar la diligencia debida de clientes, la revisión de autoridades de control, la auditoría interna, la auditoría ISO, la evaluación DORA y el escrutinio del Consejo de Administración.
Empiece por la claridad de roles: responsable, encargado o ambos
La forma más rápida de fallar una auditoría del PIMS es tratar todas las actividades de tratamiento de la misma manera.
Conforme al RGPD de la UE, un responsable del tratamiento determina los fines y medios del tratamiento. Un encargado del tratamiento trata datos personales por cuenta de un responsable del tratamiento. Muchas empresas SaaS y tecnológicas hacen ambas cosas. FinScale es encargado del tratamiento cuando aloja datos de usuarios finales de clientes conforme a instrucciones del cliente. Es responsable del tratamiento respecto de registros de empleados, clientes potenciales de marketing, contactos de facturación, datos de selección de personal y algunos datos analíticos de producto.
Esta distinción determina los requisitos de evidencias.
La Política del Sistema de Gestión de la Privacidad de la Información de Clarysec convierte la clasificación de roles en un requisito operativo:
[Ambos] El Propietario del proceso / Propietario de negocio DEBE clasificar el rol PIMS de la organización para cada actividad de tratamiento de PII en REG02 antes de que comience la actividad de tratamiento.
Esta única obligación cambia el modelo operativo de privacidad. La revisión legal deja de ser una actividad posterior al lanzamiento. Cada propietario de proceso debe clasificar el rol PIMS antes de que comience el tratamiento. Esa clasificación determina la cadena de evidencias posterior.
Para las actividades como responsable del tratamiento, la Política de Inventario de Tratamientos de PII y Base Jurídica de Clarysec exige la validación de la base jurídica:
[Responsable del tratamiento] El Responsable de Privacidad / Responsable del PIMS DEBE validar la base jurídica registrada en REG02 antes de que comience el tratamiento como responsable del tratamiento y antes de que cualquier cambio de finalidad surta efecto.
De la sección «Registros de finalidad y base jurídica del responsable del tratamiento», cláusula 4.2.2 de la política.
Para las actividades como encargado del tratamiento, el foco de las evidencias pasa a las instrucciones documentadas, controles contractuales, gobernanza de subencargados, medidas de seguridad, obligaciones de asistencia, soporte en incidentes y devolución o supresión al finalizar. Ahí es donde REG08 resulta crítico.
La Política de Gestión de Privacidad de Encargados, Subencargados y Terceros de Clarysec exige:
[Responsable del tratamiento] El Responsable de Privacidad / Responsable del PIMS DEBE verificar que los campos de control contractual del encargado en REG08 cubran el alcance, la duración, la finalidad, las categorías de PII, las categorías de interesados, la confidencialidad, la seguridad, la autorización de subencargados, la asistencia, la auditoría o el aseguramiento, la devolución, la supresión y la terminación antes de la aprobación.
De la sección «Controles contractuales e instrucciones documentadas», cláusula 4.3.2 de la política.
REG02 establece la actividad de tratamiento y el rol. REG04 evalúa preliminarmente el riesgo de privacidad. REG08 valida los controles de encargados, subencargados y proveedores. REG12 indexa las evidencias. Juntos crean la cadena de evidencias del PIMS.
La cadena de evidencias del PIMS que esperan los auditores
Un PIMS sólido no pide a los equipos que mantengan hojas de cálculo inconexas. Define objetos de evidencia, propietarios, plazos, ciclos de revisión y pistas de auditoría.
La Política de Gestión de Información Documentada y Evidencias del PIMS de Clarysec establece:
[Todos] El Responsable de Privacidad / Responsable del PIMS DEBE mantener un índice de información documentada del PIMS en REG12 antes de la publicación inicial del PIMS y, posteriormente, con periodicidad trimestral.
REG12 evita que el programa de privacidad se convierta en una carpeta de PDF desactualizados. Indica al auditor qué evidencias existen, dónde se almacenan, quién es su propietario, cuándo se revisaron por última vez y qué actividades de tratamiento, riesgos, obligaciones o controles respaldan.
| Objeto de evidencia | Pregunta principal que responde | Propietario habitual | Valor para la auditoría |
|---|---|---|---|
| REG02 Inventario de Tratamientos de PII | ¿Qué PII se trata, por qué, bajo qué rol y con qué base jurídica o instrucción? | Propietario del proceso, Responsable de Privacidad | Demuestra visibilidad del tratamiento y clasificación de roles |
| REG04 Evaluación preliminar de riesgos de privacidad o registro de EIPD | ¿Se evaluó el riesgo de privacidad antes del lanzamiento o del cambio sustancial? | Propietario de negocio, Responsable de Privacidad, Seguridad | Demuestra privacidad desde el diseño y toma de decisiones basada en riesgos |
| REG08 Registro de Encargados y Subencargados | ¿Qué terceros tratan PII y bajo qué controles? | Compras, Legal, Responsable de Privacidad | Demuestra gobernanza de encargados alineada con el artículo 28 y supervisión de proveedores |
| REG12 Índice de Información Documentada del PIMS | ¿Dónde están las evidencias fehacientes y cuándo se revisaron? | Responsable del PIMS | Demuestra control, vigencia y preparación para auditorías de las evidencias |
| Registro de Bases Jurídicas | ¿Qué base jurídica respalda el tratamiento como responsable del tratamiento? | Legal, Responsable de Privacidad | Demuestra responsabilidad proactiva conforme al artículo 6 del RGPD de la UE |
| Registro de Auditorías | ¿Qué auditorías de privacidad se realizaron y qué hallazgos siguen abiertos? | Auditoría interna, Cumplimiento | Respalda la supervisión, las acciones correctivas y la revisión por la dirección |
Esta cadena de evidencias se alinea de forma natural con los requisitos de ISO/IEC 27001:2022 relativos al contexto, partes interesadas, planificación de riesgos, control operacional, información documentada, evaluación del desempeño, auditoría interna, revisión por la dirección y mejora continua. También se conecta con controles de ISO/IEC 27002:2022 como 5.2 Funciones y responsabilidades de seguridad de la información, 5.20 Seguridad de la información en las relaciones con proveedores, 5.21 Gestión de la seguridad de la información en la cadena de suministro de las TIC, 5.34 Privacidad y protección de la PII, y 8.10 Eliminación de información.
Las evidencias del responsable y del encargado no son iguales
El cliente alemán de Ava no solo pregunta si FinScale tiene políticas de privacidad. El cliente quiere prueba de que FinScale entiende qué papel desempeña en cada flujo de datos.
| Rol PIMS | Obligación clave | Objetos principales de evidencia | Referencia de política de Clarysec |
|---|---|---|---|
| Responsable del tratamiento de PII | Licitud del tratamiento | REG02, Registro de Bases Jurídicas | Política de Inventario de Tratamientos de PII y Base Jurídica |
| Responsable del tratamiento de PII | Transparencia y derechos | Aviso de privacidad, procedimiento de solicitudes de derechos de los interesados, registro de solicitudes de derechos de los interesados | P17 Política de Protección de Datos y Privacidad |
| Responsable del tratamiento de PII | Gestión de riesgos de privacidad | REG04, informe de EIPD, decisión de riesgo | Política de Evaluación de Riesgos de Privacidad y EIPD |
| Encargado del tratamiento de PII | Tratamiento conforme al contrato | DPA firmado, instrucciones documentadas, REG08 | Política de Gestión de Privacidad de Encargados, Subencargados y Terceros |
| Encargado del tratamiento de PII | Seguridad del tratamiento | Declaración de Aplicabilidad del SGSI, revisiones de acceso, supervisión, evidencias de pruebas de penetración | P33 Política de Auditoría y Supervisión del Cumplimiento |
| Encargado del tratamiento de PII | Gobernanza de subencargados | Lista de subencargados, evidencias de autorización, contratos con obligaciones trasladadas contractualmente | Política de Seguridad de Terceros y Proveedores-sme |
Cuando actúa como responsable del tratamiento, FinScale debe justificar por qué trata datos. Por ejemplo, el tratamiento de nóminas de empleados puede basarse en la necesidad contractual y la obligación legal. Marketing puede basarse en el consentimiento o en intereses legítimos, según el contexto y la jurisdicción. La selección de personal puede requerir límites de conservación, transparencia y controles de acceso. La evidencia no es solo la base jurídica seleccionada. Es el registro validado, el aviso, la regla de conservación, el procedimiento de derechos y la decisión de riesgo.
Cuando actúa como encargado del tratamiento, FinScale debe demostrar que actúa conforme a instrucciones documentadas del cliente. Las evidencias incluyen el DPA, la configuración del producto, registros del sistema, controles de seguridad, autorizaciones de subencargados, procedimientos de asistencia, proceso de soporte ante violaciones de seguridad, derechos de auditoría y evidencias de supresión o devolución.
La P17 Política de Protección de Datos y Privacidad de Clarysec refuerza que la privacidad debe integrarse en el SGSI:
La organización debe mantener un Marco de Gobernanza de la Privacidad formal integrado en el Sistema de Gestión de la Seguridad de la Información (SGSI) para aplicar esta política.
De la sección «Requisitos de gobernanza», cláusula 5.1 de la política.
La versión para pymes, Política de Protección de Datos y Privacidad-sme, mantiene la misma disciplina de evidencias:
El Coordinador de Privacidad debe mantener un registro de todas las actividades de tratamiento de datos personales, incluidas las categorías de datos, la finalidad, la base jurídica y los períodos de conservación
También exige:
La base jurídica (por ejemplo, consentimiento, contrato, obligación legal) debe documentarse en el registro de tratamiento
Para programas empresariales, la P17 Política de Protección de Datos y Privacidad añade titularidad:
El Departamento Legal debe mantener y actualizar el Registro de Bases Jurídicas.
Recorrido práctico: lanzamiento de analítica de producto
Considere una funcionalidad de analítica de producto que rastrea la navegación del usuario, la adopción de funcionalidades, metadatos de sesión, identificador de la organización, rol del usuario e información del dispositivo. Producto quiere información de uso. Ventas quiere métricas de adopción. Éxito del cliente quiere señales de abandono. Legal pregunta si FinScale es responsable o encargado del tratamiento. Seguridad pregunta si los registros contienen datos personales. Compras advierte que el proveedor de analítica utiliza subencargados.
Un PIMS sólido convierte esto en un flujo de trabajo repetible.
1. Crear o actualizar REG02 antes de que comience el tratamiento
El propietario de negocio registra la actividad en REG02. El registro debe incluir finalidad, categorías de PII, categorías de interesados, sistemas, período de conservación, transferencias, medidas de seguridad, clasificación de rol y base jurídica o instrucción documentada.
Si la analítica se utiliza para fines propios de mejora del producto de FinScale, FinScale puede ser responsable del tratamiento para esa actividad. Si la analítica se realiza únicamente con configuraciones definidas por el cliente y por cuenta del cliente, FinScale puede ser encargado del tratamiento. En muchos entornos SaaS, ambos roles pueden coexistir en una misma funcionalidad, según el flujo de datos y la finalidad.
2. Validar la base jurídica o la instrucción documentada
Si FinScale es responsable del tratamiento, el Responsable de Privacidad o Legal valida la base jurídica en REG02 antes de que comience el tratamiento. Si intervienen datos de categorías especiales, el equipo también debe identificar la condición aplicable del artículo 9 del RGPD de la UE y las salvaguardas adicionales.
Si FinScale es encargado del tratamiento, la evidencia debe apuntar a la instrucción documentada del cliente. La pregunta pasa a ser: ¿dónde está la instrucción, qué tratamiento se permite y cómo demuestra FinScale que siguió la instrucción?
3. Activar la evaluación preliminar de riesgos de privacidad en REG04
La Política de Evaluación de Riesgos de Privacidad y EIPD de Clarysec exige:
[Ambos] El Propietario del proceso / Propietario de negocio DEBE iniciar la evaluación preliminar de riesgos de privacidad en REG04 antes de que comience cualquier tratamiento de PII nuevo o modificado sustancialmente que esté registrado en REG02.
De la sección «Evaluación preliminar de riesgos de privacidad», cláusula 4.1.1 de la política.
La evaluación preliminar debe valorar la sensibilidad, escala, implicaciones de supervisión, expectativas de los interesados, elaboración de perfiles, decisiones automatizadas, transferencias transfronterizas, acceso de proveedores, conservación y eficacia del control. Si el riesgo es elevado, el PIMS debe activar una EIPD y registrar la decisión.
4. Actualizar REG08 para proveedores y subencargados
Si un proveedor tercero de analítica recibe PII, Compras, Legal y Privacidad actualizan REG08. Los campos contractuales deben cubrir alcance, duración, finalidad, categorías de PII, confidencialidad, seguridad, autorización de subencargados, asistencia, auditoría o aseguramiento, devolución, supresión y terminación.
La Política de Seguridad de Terceros y Proveedores-sme respalda esta disciplina operativa al exigir:
Verificación de las prácticas de tratamiento de datos o del cumplimiento de privacidad de los datos cuando intervenga información de identificación personal (PII)
La P17 Política de Protección de Datos y Privacidad también exige:
Los equipos de Compras, Legal y Cumplimiento deben verificar el cumplimiento del artículo 28 del RGPD de la UE y exigir la reevaluación anual de todos los proveedores de alto riesgo.
5. Indexar evidencias en REG12
Por último, el Responsable del PIMS actualiza REG12 con enlaces a REG02, validación de base jurídica, instrucción documentada, evaluación preliminar en REG04, EIPD si procede, registro del proveedor en REG08, DPA, revisión de seguridad, decisión de conservación, aprobación de producto y evidencias de supervisión.
Eso es lo que convierte la privacidad desde el diseño en prueba preparada para auditorías.
Uso de Zenith Blueprint para construir trazabilidad
Saber qué evidencias recopilar es solo la mitad del reto. La parte más difícil es construir un sistema que las produzca de forma fiable.
Zenith Blueprint: hoja de ruta de 30 pasos para auditores encuadra esto en la fase de Fundamentos y Liderazgo del SGSI, Paso 2: Necesidades de las partes interesadas y alcance del SGSI. La guía muestra cómo las expectativas de las partes interesadas se convierten en controles planificados:
Clientes
(B2B SaaS)
Confidencialidad de los datos, disponibilidad según
SLA, notificación de violaciones de seguridad en un plazo de
24 h
Implantar controles de acceso, cifrado;
el plan de respuesta a incidentes incluye
procedimientos de notificación.
También incluye:
Elemento de acción 4.2: Compile una lista de todas las partes interesadas significativas y anote sus requisitos relacionados con la seguridad de la información.
Para ISO 27701:2025, amplíe ese elemento de acción a la privacidad. Las partes interesadas incluyen clientes, interesados, reguladores, encargados, subencargados, empleados, equipos de producto, auditoría interna, dirección, clientes del sector financiero y reguladores sectoriales cuando apliquen NIS2 o DORA.
| Parte interesada | Expectativa de privacidad | Respuesta de evidencias del PIMS |
|---|---|---|
| Cliente B2B como responsable del tratamiento | El encargado actúa solo conforme a instrucciones documentadas y da soporte a auditorías | Registro de control contractual REG08, DPA, informes de aseguramiento |
| Regulador de la UE | El responsable del tratamiento demuestra base jurídica, transparencia, gestión de derechos y gestión de violaciones de seguridad | REG02, Registro de Bases Jurídicas, registros de solicitudes de derechos de los interesados, registros de incidentes |
| Interesado | El tratamiento es leal, transparente, limitado, seguro y respetuoso con los derechos | Aviso de privacidad, reglas de conservación, controles de acceso, evidencias de supresión |
| Consejo u órgano de dirección | El riesgo de privacidad está gobernado, dotado de recursos y revisado | Objetivos del PIMS, informes de riesgos, actas de revisión por la dirección |
| Auditoría interna | Los controles operan y las evidencias son fiables | Índice de evidencias REG12, plan de auditoría, hallazgos, acciones correctivas |
En la fase de Gestión de riesgos, Paso 13: Planificación del tratamiento de riesgos y Declaración de Aplicabilidad, Zenith Blueprint recomienda la trazabilidad:
Referencia cruzada de regulaciones: si determinados controles se implantan específicamente para cumplir el RGPD de la UE, NIS2 o DORA, puede indicarlo en el Registro de Riesgos (como parte de la justificación del impacto del riesgo) o en las notas de la SoA.
Esto crea el hilo conductor que buscan los auditores: requisito, riesgo, control, propietario, evidencia, resultado de prueba y acción de mejora.
Dónde encaja Zenith Controls en el modelo PIMS
Zenith Controls: la guía de cumplimiento transversal de Clarysec ayuda a los equipos a evitar programas de cumplimiento duplicados al mapear temas de control de ISO/IEC 27001:2022 e ISO/IEC 27002:2022 con otros estándares, expectativas de auditoría y patrones de evidencia.
Para las evidencias del PIMS ISO 27701:2025, cuatro controles de ISO/IEC 27002:2022 son especialmente importantes:
- 5.2 Funciones y responsabilidades de seguridad de la información
- 5.20 Seguridad de la información en las relaciones con proveedores
- 5.21 Gestión de la seguridad de la información en la cadena de suministro de las TIC
- 5.34 Privacidad y protección de la PII
El control 5.2 respalda la claridad de roles. Un PIMS necesita responsabilidad proactiva definida para el Responsable del PIMS, Responsable de Privacidad, Propietario del proceso, Propietario de negocio, Legal, Compras, Seguridad, Auditoría interna y alta dirección.
El control 5.34 respalda la obligación central de privacidad. Zenith Blueprint, fase Controles en acción, Paso 23, explica la expectativa de auditoría:
Desde una perspectiva de auditoría, este control está recibiendo cada vez más atención. Auditores, reguladores y clientes quieren ver:
✓ Dónde reside la PII,
✓ Qué base jurídica rige su tratamiento,
✓ Cómo se restringe el acceso,
✓ Cómo se notifican los incidentes,
✓ Y cómo la organización respeta los derechos y mantiene la transparencia.
Zenith Blueprint continúa:
El control 5.34 no es solo una casilla de verificación. Es una declaración de custodia ética.
Los controles 5.20 y 5.21 conectan las evidencias del PIMS con la gobernanza de proveedores y de la cadena de suministro de las TIC. Zenith Blueprint, fase Controles en acción, Paso 23, enumera temas de acuerdos con proveedores:
Las áreas clave que suelen abordarse en los acuerdos con proveedores incluyen:
✓ Obligaciones de confidencialidad, incluidos alcance, duración y restricciones de divulgación a terceros;
✓ Responsabilidades de control de acceso, como quién puede acceder a sus datos, cómo se gestionan las credenciales y qué supervisión existe;
✓ Medidas técnicas y organizativas para protección de datos, cifrado, transmisión segura, copias de seguridad y compromisos de disponibilidad;
✓ Plazos y protocolos de notificación de incidentes, a menudo con plazos definidos (por ejemplo, «notificar en un plazo de 24 horas»);
✓ Derecho de auditoría, incluida frecuencia, alcance y acceso a evidencias relevantes (por ejemplo, informes de pruebas de penetración, SoA, certificaciones);
✓ Controles de subcontratistas, que exigen a su proveedor trasladar obligaciones de seguridad equivalentes a sus socios posteriores;
✓ Disposiciones de fin de contrato, como devolución o destrucción de datos, recuperación de activos y desactivación de cuentas.
Este es el puente entre la responsabilidad proactiva conforme al RGPD de la UE y las evidencias del SGSI.
Mapeo de evidencias del PIMS entre RGPD de la UE, NIS2, DORA, NIST y COBIT 2019
Las evidencias de privacidad rara vez sirven a un solo marco. Un objeto de evidencia PIMS bien diseñado puede satisfacer varias preguntas de auditoría.
El RGPD de la UE ancla la responsabilidad proactiva de privacidad mediante base jurídica, claridad de roles, contratos con encargados, derechos, gestión de violaciones de seguridad y cumplimiento demostrable.
NIS2 es relevante para entidades esenciales e importantes, incluidos determinados proveedores de servicios en la nube, proveedores de servicios gestionados, proveedores de servicios de seguridad gestionados, proveedores de centros de datos y organizaciones de infraestructura digital. El artículo 20 de NIS2 atribuye la responsabilidad de gobernanza de la ciberseguridad a los órganos de dirección. El artículo 21 exige medidas técnicas, operativas y organizativas adecuadas, incluidos análisis de riesgos, gestión de incidentes, continuidad del negocio, seguridad de la cadena de suministro, desarrollo seguro, evaluación de la eficacia, formación, criptografía, seguridad de recursos humanos, control de acceso, gestión de activos y autenticación multifactor o autenticación continua cuando proceda. El artículo 23 introduce expectativas de notificación de incidentes significativos, incluida alerta temprana en un plazo de 24 horas y notificación del incidente en un plazo de 72 horas.
DORA es relevante para entidades financieras y proveedores terceros de servicios de TIC en ecosistemas financieros. Los artículos 5 y 6 de DORA exigen gobernanza del riesgo de las TIC, políticas, estrategia, pruebas y mejora continua. Los artículos 17 a 19 cubren detección, clasificación, escalado, notificación, análisis de causa raíz y lecciones aprendidas de incidentes relacionados con las TIC. Los artículos 28 a 30 exigen estrategia de riesgo de terceros de TIC, registros, diligencia debida, disposiciones contractuales, derechos de auditoría, asistencia en incidentes, protección de datos, planificación de salida y revisión del riesgo de concentración.
NIST CSF 2.0 proporciona un lenguaje de gobernanza y riesgo mediante GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND y RECOVER. COBIT 2019 añade objetivos de gobernanza, prácticas de gestión, propiedad, métricas, aseguramiento y capacidad de proceso.
| Evidencia del PIMS | Valor para el RGPD de la UE | Valor para NIS2 y DORA | Valor para NIST y COBIT 2019 | Control ISO/IEC 27002:2022 relacionado de Zenith Controls |
|---|---|---|---|---|
| Inventario de tratamientos REG02 | Demuestra actividad, rol, finalidad, base jurídica y visibilidad de la conservación | Respalda la comprensión de activos, servicios y dependencias | Respalda el contexto organizativo, entradas de riesgo y trazabilidad de gobernanza | 5.2 y 5.34 |
| Evaluación preliminar de riesgos de privacidad REG04 | Respalda privacidad desde el diseño, decisiones de EIPD y salvaguardas | Respalda expectativas de gestión de riesgos y eficacia de controles | Respalda categorización del riesgo, priorización y planificación de mejoras | 5.34 |
| Registro de encargados y subencargados REG08 | Respalda gobernanza de encargados, condiciones contractuales, derechos de auditoría, supresión y obligaciones de asistencia | Respalda riesgo de cadena de suministro, riesgo de terceros de TIC, revisión de concentración y planificación de salida | Respalda gestión del riesgo de proveedores y aseguramiento de gobernanza | 5.20 y 5.21 |
| Índice de evidencias REG12 | Demuestra control de información documentada y preparación para auditorías | Respalda supervisión, aseguramiento y revisión por la dirección | Respalda trazabilidad de evidencias y supervisión de controles | 5.2 |
| Registros de incidentes y violaciones de seguridad | Respaldan la evaluación de violaciones de la seguridad de los datos personales y las evidencias de notificación | Respaldan los modelos de notificación de incidentes de NIS2 y DORA | Respaldan detección, respuesta, recuperación y lecciones aprendidas | 5.34 y 5.20 |
La ventaja de cumplimiento es clara. Una cadena de evidencias PIMS controlada puede respaldar el RGPD de la UE, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 y la diligencia debida de clientes.
Cómo probarán los auditores su PIMS
Una auditoría del PIMS no es una revisión documental. Es un ejercicio de trazabilidad de evidencias.
| Perfil del auditor | Ruta probable de auditoría | Respuesta sólida de evidencias del PIMS |
|---|---|---|
| Auditor ISO/IEC 27001:2022 e ISO 27701:2025 | Alcance, partes interesadas, evaluación de riesgos, SoA, controles del Anexo A, auditoría interna, revisión por la dirección | REG02 vinculado al registro de riesgos, notas de la SoA, índice de evidencias REG12, hallazgos de auditoría |
| Regulador del RGPD de la UE o auditor de privacidad | Actividad de tratamiento, base jurídica, transparencia, contratos con encargados, gestión de violaciones de seguridad | REG02, Registro de Bases Jurídicas, avisos de privacidad, REG08, registros de incidentes |
| Evaluador NIST CSF | Perfiles actual y objetivo, gobernanza, riesgo, roles, riesgo de proveedores, respuesta y recuperación | Perfil PIMS, plan de brechas, registro de riesgos, matriz de roles, supervisión de proveedores |
| Auditor COBIT 2019 | Objetivos de gobernanza, propiedad, capacidad de proceso, métricas, aseguramiento | Acta constitutiva de gobernanza del PIMS, KPI, informes a la dirección, registro de auditorías |
| Auditor DORA o cliente financiero | Riesgo de las TIC, proceso de incidentes, registro de terceros, derechos contractuales, estrategia de salida | REG08, registro de proveedores de TIC, playbooks de incidentes, planes de salida, evidencias de aseguramiento |
| Evaluador NIS2 | Supervisión por la dirección, medidas de riesgo, notificación de incidentes, seguridad de la cadena de suministro | Aprobaciones del Consejo, mapeo NIS2, controles de proveedores, flujo de trabajo de notificación de incidentes |
La P33 Política de Auditoría y Supervisión del Cumplimiento de Clarysec respalda el modelo de auditoría:
La organización debe mantener un Registro de Auditorías que contenga:
El equivalente para pymes, Política de Auditoría y Supervisión del Cumplimiento-sme, añade un requisito importante de calidad de las evidencias:
Los metadatos (por ejemplo, quién los recopiló, cuándo y de qué sistema) deben documentarse.
Ese requisito de metadatos es pequeño pero potente. Las capturas de pantalla sin fuente, fecha, recopilador y contexto del sistema son evidencias débiles. Las evidencias de auditoría controladas demuestran autenticidad, vigencia y trazabilidad.
Cómo son unas buenas evidencias del PIMS
Suponga que un auditor selecciona una actividad: análisis de tickets de soporte al cliente.
Una respuesta débil es: «Tenemos una política de privacidad y nuestro DPA lo cubre».
Una respuesta sólida del PIMS es:
- REG02 identifica la actividad, sistemas, categorías de PII, interesados, finalidad, clasificación de rol, conservación, transferencias, controles de seguridad y propietario.
- La clasificación de roles muestra si la organización es responsable del tratamiento, encargada del tratamiento o ambas cosas para partes específicas del flujo de trabajo.
- Si actúa como responsable del tratamiento, la base jurídica está validada y registrada en el Registro de Bases Jurídicas.
- Si actúa como encargado del tratamiento, la instrucción del cliente y la cláusula del DPA están vinculadas.
- REG04 muestra la evaluación preliminar de riesgos de privacidad antes del lanzamiento o de un cambio sustancial.
- REG08 identifica la plataforma de tickets, el proveedor de resumen por IA, subencargados, controles contractuales, derechos de auditoría, aseguramientos de seguridad, condiciones de supresión y asistencia en incidentes.
- Las evidencias de control de acceso muestran que el acceso del personal de soporte está basado en roles y se revisa.
- Las evidencias de registro de eventos y supervisión muestran que el acceso a tickets de soporte se supervisa.
- Las evidencias de conservación y supresión muestran que los tickets se suprimen o anonimizan conforme al período de conservación aprobado.
- REG12 indexa todas las evidencias de soporte con propietario y fecha de revisión.
- El Registro de Auditorías muestra si la actividad fue probada, qué hallazgos se plantearon y si las acciones correctivas se cerraron.
Así es como ISO 27701:2025 se vuelve operativo. Crea una cadena repetible de responsabilidad proactiva.
Fallos comunes en las evidencias del PIMS
En entornos SaaS, fintech, de servicios gestionados y tecnológicos B2B, aparecen repetidamente las mismas brechas.
Primero, las organizaciones mantienen un RoPA o registro de tratamiento, pero no clasifican los roles de responsable y encargado por actividad. Eso genera confusión sobre base jurídica, instrucciones documentadas y obligaciones de subencargados.
Segundo, la base jurídica se registra una vez y no se revalida cuando cambia la finalidad. El artículo 6 del RGPD de la UE exige disciplina sobre finalidad y base jurídica. El tratamiento ulterior puede requerir evaluación de compatibilidad y salvaguardas.
Tercero, los inventarios de proveedores enumeran proveedores, pero no muestran campos de control contractual. Una lista de proveedores no equivale a gobernanza de encargados del tratamiento.
Cuarto, las decisiones de EIPD son informales. Los equipos dicen «no es de alto riesgo», pero no pueden mostrar criterios de evaluación preliminar, aprobador, fecha o evidencias.
Quinto, existen evidencias de auditoría, pero no están controladas. Las capturas de pantalla carecen de metadatos. Las políticas están vigentes, pero los registros están desactualizados. Los contratos existen, pero se omiten las reevaluaciones de renovación.
Sexto, los procesos de incidentes se centran en eventos de ciberseguridad, pero no clasifican claramente las violaciones de la seguridad de los datos personales. El análisis de violaciones de la seguridad de los datos personales del RGPD de la UE, la notificación de incidentes significativos de NIS2 y la notificación de incidentes relacionados con las TIC de DORA deben coordinarse, no duplicarse.
Clarysec aborda estos fallos tratando las evidencias del PIMS como un sistema de gestión controlado, no como una carrera de última hora antes de una auditoría.
Lista de verificación de preparación de evidencias del PIMS ISO 27701:2025
Utilice esta lista de verificación para su próxima revisión interna de preparación.
- Defina el alcance del PIMS y las partes interesadas, incluidos clientes, reguladores, interesados, proveedores, auditoría interna y dirección.
- Asigne roles y responsabilidades del PIMS, incluidos Responsable del PIMS, Responsable de Privacidad, Propietario del proceso, Legal, Compras, Seguridad y Auditoría interna.
- Cree entradas REG02 para cada actividad de tratamiento de PII.
- Clasifique el rol de responsable del tratamiento, encargado del tratamiento, corresponsable del tratamiento o subencargado para cada actividad.
- Valide la base jurídica del tratamiento como responsable del tratamiento antes de que comience el tratamiento y antes de cualquier cambio de finalidad.
- Registre instrucciones documentadas para actividades como encargado del tratamiento.
- Active la evaluación preliminar de riesgos de privacidad en REG04 antes de cualquier tratamiento nuevo o modificado sustancialmente.
- Complete una EIPD cuando la evaluación preliminar de riesgos indique riesgo de privacidad elevado.
- Mantenga REG08 para encargados, subencargados, proveedores de TIC y proveedores relevantes para la privacidad.
- Verifique los campos contractuales de alcance, duración, finalidad, categorías de PII, confidencialidad, seguridad, asistencia, derechos de auditoría, devolución, supresión y terminación.
- Mantenga REG12 como índice de información documentada del PIMS.
- Mapee las evidencias del PIMS con el tratamiento de riesgos de ISO/IEC 27001:2022 y las notas de la SoA.
- Establezca referencias cruzadas con las obligaciones del RGPD de la UE, NIS2, DORA, NIST CSF 2.0 y COBIT 2019 cuando corresponda.
- Realice auditorías internas anuales de cumplimiento de privacidad y actualice el Registro de Auditorías.
- Revise trimestralmente los hallazgos abiertos, acciones correctivas, decisiones de riesgo e informes a la dirección.
La P17 Política de Protección de Datos y Privacidad refuerza el ciclo de auditoría:
Se debe realizar una auditoría interna de cumplimiento de privacidad anualmente o cuando se produzcan cambios organizativos o regulatorios importantes. El alcance de la auditoría debe incluir:
El mensaje es sencillo. El cumplimiento de privacidad se supervisa; no se presume.
Construya su modelo de evidencias del PIMS con Clarysec
ISO 27701:2025 aporta más valor cuando se integra con ISO/IEC 27001:2022 y se diseña para producir evidencias por defecto. Así es como la privacidad se convierte en un modelo operativo defendible, no en un proyecto de certificación.
Cuando un cliente pide aseguramiento de privacidad, puede mostrar evidencias. Cuando un regulador pregunta por qué trató datos, puede mostrar rol, finalidad, base jurídica, salvaguardas y aprobaciones. Cuando un auditor pregunta cómo gobierna subencargados, puede mostrar REG08, controles contractuales, reevaluaciones y derechos de auditoría. Cuando el Consejo pregunta si el riesgo de privacidad está bajo control, puede mostrar métricas, acciones abiertas, resultados de auditoría y revisión por la dirección.
Si su PIMS sigue teniendo muchas políticas y pocas evidencias, empiece por la cadena que seguirán los auditores:
Inventario de tratamientos REG02, evaluación preliminar de riesgos de privacidad REG04, gobernanza de encargados y subencargados REG08, índice de evidencias REG12, Registro de Bases Jurídicas, Registro de Auditorías y mapeo de la SoA.
Clarysec puede ayudarle a operacionalizar esa cadena mediante:
- Zenith Blueprint: hoja de ruta de 30 pasos para auditores, especialmente el Paso 2 para requisitos de partes interesadas, el Paso 13 para tratamiento de riesgos y trazabilidad de la SoA, y el Paso 23 para controles de privacidad, proveedores y organizativos.
- Zenith Controls: la guía de cumplimiento transversal, utilizando los controles 5.2, 5.20, 5.21 y 5.34 de ISO/IEC 27002:2022 como anclajes prácticos de responsabilidad proactiva de privacidad.
- El conjunto de políticas PIMS ISO 27701 de Clarysec, incluida la Política del Sistema de Gestión de la Privacidad de la Información, la Política de Inventario de Tratamientos de PII y Base Jurídica, la Política de Evaluación de Riesgos de Privacidad y EIPD, la Política de Gestión de Privacidad de Encargados, Subencargados y Terceros y la Política de Gestión de Información Documentada y Evidencias del PIMS.
- Soporte empresarial y para pymes mediante la P17 Política de Protección de Datos y Privacidad, la Política de Protección de Datos y Privacidad-sme, la Política de Seguridad de Terceros y Proveedores-sme, la P33 Política de Auditoría y Supervisión del Cumplimiento y la Política de Auditoría y Supervisión del Cumplimiento-sme.
Su próxima acción es sencilla: elija una actividad de tratamiento de PII de alto riesgo y recorra la cadena de evidencias desde REG02 hasta REG12. Si la cadena se rompe, ese es su primer proyecto de mejora. Si se mantiene, amplíe el modelo a todo su inventario de tratamientos.
Así es como ISO 27701:2025 se convierte en algo más que un certificado. Se convierte en prueba de responsabilidad proactiva conforme al RGPD de la UE.
Certifíquese en PECB ISO/IEC 27701 y ponga en marcha su PIMS
- ✓ Material oficial de PECB y dos intentos de examen
- ✓ Tasa de certificación y cuota anual de mantenimiento (AMF) del primer año incluidas, cuando corresponda
- ✓ Autoestudio o en directo online · curso asignado en 1 día hábil
Frequently Asked Questions
Sobre el autor
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
