Glosario
Declaración de aplicabilidad
Documento firmado que recoge, control a control, cuáles aplican al sistema, cuáles no y con qué justificación.
- DdA
- SoA
- Statement of Applicability
En el ENS es una obligación literal: el artículo 28.2 del Real Decreto 311/2022 exige que la relación de medidas seleccionadas del anexo II se formalice en un documento llamado Declaración de Aplicabilidad, firmado por el responsable de la seguridad. En ISO/IEC 27001 cumple una función equivalente respecto de los controles del anexo A.
Lo que la hace útil, y no un trámite, son dos cosas. La primera es la justificación de las exclusiones: un control marcado como no aplicable sin motivo escrito es una no conformidad esperando a ocurrir. La segunda es el tratamiento de las medidas compensatorias: cuando se sustituye un control por otro, la correspondencia detallada entre ambos forma parte integral del propio documento, junto a la justificación de que protege igual o mejor.
Sin firma y sin fecha no es una Declaración de Aplicabilidad. Es una hoja de cálculo con buenas intenciones.