Este artículo analiza la norma ISO/IEC 27001 —estándar internacional para Sistemas de Gestión de la Seguridad de la Información (SGSI)— desde la perspectiva del ordenamiento uruguayo, con foco en su articulación con el Decreto N.º 66/025 y el Marco de Ciberseguridad 5.0 de Agesic. Se sostiene que, si bien la certificación ISO 27001 no es legalmente obligatoria en Uruguay, su adopción opera como el vehículo más eficiente para acreditar el cumplimiento de las obligaciones que sí lo son: adopción de un marco de referencia, alcance de un nivel mínimo de madurez, designación de un responsable de seguridad, auditorías periódicas y gestión de incidentes. El análisis compara la lógica certificable y auditable de ISO 27001 (ciclo PDCA, Anexo A, evidencia documental) con la lógica de resultados del Marco AGESIC 5.0 (funciones, perfiles, madurez), y concluye que ambos instrumentos son complementarios: el Marco define qué resultados alcanzar y la norma provee el cómo sostenerlos y demostrarlos ante terceros. Se identifica, asimismo, una brecha de capacidades técnicas y formativas en el mercado uruguayo para operar esta convergencia.
Palabras clave: ISO/IEC 27001; SGSI; Anexo A; ciclo PDCA; Decreto 66/025; Marco de Ciberseguridad 5.0; AGESIC; certificación; cumplimiento normativo; Ley 18.331.
1. Introducción
Durante años, la seguridad de la información fue tratada como un asunto estrictamente técnico, delegado al área de sistemas. Esa concepción ha quedado atrás. La norma ISO/IEC 27001 fue precisamente el instrumento que, desde el ámbito internacional, formalizó el desplazamiento de la seguridad hacia el terreno de la gestión: no exige tecnologías concretas, sino un sistema de gobierno del riesgo con responsabilidades asignadas, evidencia documental y mejora continua.
En Uruguay, ese desplazamiento se ha vuelto además una exigencia jurídica. El Decreto N.º 66/025 (2025) obligó a los organismos públicos y a las empresas privadas de sectores críticos a adoptar un marco de ciberseguridad, alcanzar un nivel mínimo de madurez, designar un responsable de seguridad y reportar incidentes al CERTuy. La pregunta que este artículo aborda es directa: ¿qué lugar ocupa ISO/IEC 27001 en ese nuevo escenario, si la norma que el Estado exige adoptar es el Marco de Agesic y no la ISO?
2. Antecedentes
ISO/IEC 27001 es el estándar internacional certificable para Sistemas de Gestión de la Seguridad de la Información, publicado conjuntamente por la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional. Su versión vigente, ISO/IEC 27001:2022, reestructuró los controles del Anexo A —que pasaron de 114 a 93, reorganizados en cuatro temas: organizacional, personas, físico y tecnológico— e incorporó controles asociados a inteligencia de amenazas, seguridad en la nube y prácticas de desarrollo seguro (ISO/IEC, 2022).
En el plano nacional, la norma convive con un ecosistema regulatorio consolidado: la Ley N.º 18.331 de Protección de Datos Personales, que impone deberes de seguridad y confidencialidad sobre el tratamiento de datos; el Marco de Ciberseguridad de Agesic, hoy en su versión 5.0, construido sobre NIST CSF 2.0; y el Decreto N.º 66/025, que transformó la adopción de dicho Marco en obligación legal para el universo de entidades críticas. ISO 27001 no fue incorporada como norma obligatoria por ninguna de estas piezas, pero es referenciada de manera recurrente como estándar internacional de contraste en las subcategorías del propio Marco.
3. Análisis de la norma ISO/IEC 27001
3.1. Arquitectura: cláusulas obligatorias y Anexo A
La norma se organiza en dos bloques de naturaleza distinta. Las cláusulas 4 a 10 constituyen los requisitos obligatorios del sistema de gestión —contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora— y no admiten exclusión: son la condición de existencia del SGSI. El Anexo A, en cambio, es un catálogo de 93 controles de referencia cuya aplicabilidad se determina mediante la Declaración de Aplicabilidad (SoA), documento que justifica la inclusión o exclusión de cada control con base en el análisis de riesgos.
Esta distinción es central y suele malinterpretarse: ISO 27001 no obliga a implementar los 93 controles, sino a decidir razonadamente sobre cada uno y a poder demostrar esa decisión. La norma es, ante todo, una exigencia de trazabilidad.
3.2. El ciclo PDCA y la lógica de la evidencia
El SGSI opera bajo el ciclo Planificar–Hacer–Verificar–Actuar (PDCA), que institucionaliza la mejora continua mediante auditorías internas, revisión por la dirección y tratamiento de no conformidades. Su valor diferencial frente a un marco de buenas prácticas radica en la auditabilidad por tercera parte: la certificación es emitida por un organismo acreditado e independiente, lo que convierte al SGSI en evidencia oponible frente a reguladores, clientes y contrapartes contractuales.
3.3. Convergencia con el Marco de Ciberseguridad 5.0
El Marco AGESIC 5.0 y la ISO 27001 no compiten: operan en planos complementarios. El primero es un marco de resultados —seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar), tres perfiles de riesgo y un modelo de madurez de cinco niveles— que define qué debe lograrse. La segunda es un sistema de gestión certificable que provee la maquinaria para lograrlo y sostenerlo en el tiempo. La correspondencia es sustancial:
| Dimensión | Marco AGESIC 5.0 | ISO/IEC 27001:2022 |
|---|---|---|
| Naturaleza | Marco de resultados y madurez | Sistema de gestão certificable |
| Exigibilidad en Uruguay | Obligatorio (Decreto 66/025) | Voluntario; medio de acreditación |
| Estructura | Funciones, categorías, subcategorías | Cláusulas 4–10 + Anexo A (93 controles) |
| Verificación | Autoevaluación de madurez y auditoría | Auditoría de tercera parte acreditada |
| Aporte principal | Define el qué y el nivel exigido | Define el cómo y produce la evidencia |
4. Afectación y alcance en el contexto uruguayo
Conviene precisarlo sin ambigüedad: ISO/IEC 27001 no es de certificación obligatoria en Uruguay. Ninguna norma nacional exige que una organización se certifique. Lo que sí es obligatorio, para las entidades alcanzadas por el Decreto N.º 66/025, es adoptar un marco de ciberseguridad, alcanzar un nivel mínimo de madurez, designar un responsable de seguridad, someterse a auditorías periódicas y notificar incidentes al CERTuy dentro de las 24 horas.
El punto relevante es funcional, no formal: una organización con un SGSI maduro conforme a ISO 27001 dispone, casi por definición, de los artefactos que el cumplimiento nacional le va a reclamar —política de seguridad aprobada por la dirección, análisis de riesgos documentado, roles formalmente asignados, gestión de proveedores, procedimientos de respuesta a incidentes, planes de continuidad, programa de concientización y registros de auditoría interna. La ISO no sustituye la obligación; la instrumenta.
El alcance práctico se proyecta sobre tres planos:
- Regulatorio: el SGSI aporta la evidencia documental que permite acreditar diligencia ante la URCDP y Agesic, tanto en materia de datos personales (Ley N.º 18.331) como de madurez en ciberseguridad.
- Contractual y comercial: la certificación funciona como pasaporte de confianza en licitaciones públicas, cadenas de suministro y operaciones con contrapartes internacionales que la exigen a sus proveedores.
- De gobernanza: la cláusula de liderazgo traslada la responsabilidad a la alta dirección, lo que resulta consistente con la tendencia a interpretar las fallas de ciberseguridad como deficiencias de gobierno antes que como incidentes técnicos, con la consiguiente exposición de directores y administradores.
5. Conclusiones
ISO/IEC 27001 no compite con el Marco de Ciberseguridad 5.0 ni lo reemplaza: lo hace operativo y demostrable. Mientras el Marco —hoy jurídicamente exigible por vía del Decreto N.º 66/025— establece los resultados esperados y el nivel de madurez requerido, la norma internacional aporta el sistema de gestión, la disciplina de evidencia y la validación independiente que convierten esos resultados en algo verificable ante terceros.
Para las organizaciones uruguayas alcanzadas por la obligación, la decisión estratégica no debería plantearse como una disyuntiva entre marcos, sino como una integración: adoptar el Marco AGESIC como referencia normativa de cumplimiento y estructurar el SGSI conforme a ISO 27001 como el mecanismo que lo sostiene. Este enfoque convergente evita la duplicación de esfuerzos y transforma el cumplimiento en capacidad organizacional real.
Reflexión final
El riesgo mayor de todo estándar certificable es degradarse en un ejercicio de papel: un certificado colgado en la pared que no se corresponde con ninguna práctica viva. ISO/IEC 27001 solo entrega valor cuando el SGSI se comporta como lo que dice ser —un sistema que aprende de sus incidentes, revisa sus riesgos y ajusta sus controles. En un país donde la ciberseguridad acaba de pasar de la recomendación a la obligación, la tentación de certificar para cumplir será fuerte. El desafío consiste en resistirla: cerrar la brecha entre la norma y la competencia técnica requiere profesionales formados con rigor y anclados en el derecho nacional, sin los cuales la obligatoriedad producirá conformidad formal antes que resiliencia efectiva.
Referencias bibliográficas:
Conexus Hub te acompaña en el camino
En Conexus Hub Technologies Solutions ayudamos a empresas y organizaciones uruguayas a entender y cumplir el marco normativo de ciberseguridad y protección de datos, sin apartarnos de las normas ISO/IEC 27001; sin tecnicismos innecesarios y con soluciones a la medida de cada realidad.
Nuestra propuesta combina asesoría en cumplimiento (Ley 18.331, Decreto 66/025 y Marco de AGESIC), diagnósticos de madurez y gestión de riesgos, y programas de capacitación para que tu equipo se convierta en la primera línea de defensa —no en el eslabón más débil, con lineamientos desarrollados por las normas ISO/IEC 27001 con colaboradores capacitados y habilitados por UNIT.
¿Querés saber en qué situación está tu organización frente a la normativa? Escribinos y coordinemos un primer diagnóstico. Dar el primer paso hoy es mucho más económico que enfrentar una sanción mañana.