Un sistema de gestión ISO/IEC 27001 para entidades de dinero electrónico y fintech

ISO indica que cada empresa decide si se certifica, y que el certificado lo emite un organismo de evaluación de la conformidad acreditado, cuya competencia ha confirmado un organismo de acreditación.

Dónde se cruza con su licencia

DORA solo permite a las entidades financieras de la UE contratar con proveedores de TIC que cumplan normas adecuadas de seguridad de la información (art. 28(5)). La solicitud de una entidad de pago conforme a PSD2 incluye un documento de política de seguridad con evaluación de riesgos y medidas de control (art. 5(1)(j)). Un SGSI ISO/IEC 27001 da una base común a ambos documentos y a los cuestionarios bancarios.

1. Alcance. Qué entidades, productos, entornos en la nube y oficinas entran. En un grupo con una EDE y una empresa tecnológica, esta primera decisión condiciona todo lo demás.
2. Riesgo. Inventario de activos y riesgos, evaluación y plan de tratamiento con responsables.
3. Declaración de aplicabilidad. Cada control del anexo A con su decisión, la justificación y la referencia a la evidencia.
4. Políticas y procedimientos. Solo los que exigen los controles elegidos, escritos como usted trabaja.
5. Registros. Accesos, comprobaciones de copias, formación, revisiones de incidentes: el rastro que demuestra que los controles operan.
6. Auditoría interna y revisión por la dirección. Realizamos la auditoría interna frente a la norma y preparamos el material de revisión.

Una persona verifica cada hallazgo, y todos los documentos le pertenecen.

UKAS señala que en la edición 2022 se fusionaron 24 controles y se actualizaron 58. La transición de los certificados terminó el 31 de octubre de 2025 (IAF MD 26), y hoy se certifica frente a ISO/IEC 27001:2022 con la Modificación 1:2024 sobre acción climática.

Decisiones típicas en una fintech

En una EDE totalmente en la nube, la seguridad física suele cumplirse a través del proveedor, con el contrato y sus informes como justificación. El desarrollo seguro aplica si el producto se desarrolla en casa. Una exclusión sin justificación se convierte en una no conformidad en el informe del auditor.

IAF MD 5:2023 calcula el tiempo de la auditoría inicial como fase 1 más fase 2 e indica que, durante el primer ciclo de tres años, cada seguimiento anual ocupa en torno a un tercio de ese tiempo.

Le preparamos para ambas fases: auditoría interna, cierre de no conformidades, evidencias y ensayo de las preguntas del auditor. Si un banco necesita respuestas antes, una base SGSI verificada cubre la mayor parte de su cuestionario de seguridad.

Con DORA, el marco de gestión del riesgo de TIC se documenta y revisa al menos una vez al año (art. 6(5)), y el registro de información de contratos de TIC se entrega completo a la autoridad cuando lo pide (art. 28(3)). Incorporamos esos elementos al SGSI y elaboramos una correspondencia entre los controles ISO y los requisitos de DORA. La licencia la lleva nuestra práctica de licencias.