Primero la evidencia, después el marco

Dónde está esto hoy

El orden importa y es el argumento de esta página: la evidencia existe primero y un adaptador es una lectura de ella. Así que la evidencia está y los adaptadores no, y ese es el orden correcto, no una excusa.

• DisponibleLa evidencia, los hallazgos y el registro de tratamientos. Que es lo que consume cualquier adaptador. Se recoge una vez y ya está recogida.
• DisponibleUna categoría jurídica y un nivel de sensibilidad en cada campo, y la categoría cita sus disposiciones. Una referencia en el propio campo, atada a la categoría y enlazada al texto oficial consolidado en el artículo: el dato personal ordinario cita los artículos 4.1, 6 y 5 del RGPD; una categoría especial cita el artículo 9 del RGPD y el artículo 9 de la LOPDGDD; los datos de condenas citan el artículo 10 del RGPD y el artículo 10 de la LOPDGDD. Un campo que nadie ha clasificado no cita nada, y el nivel de sensibilidad tampoco cita nada: es la ordenación de EVIDENT y el reglamento no define ninguna escala así. Disposiciones sobre un campo, no cobertura de un marco.
• PlanificadoEl adaptador de RGPD. El primero, y contra el que se perfilan los otros tres. Es la afirmación grande: evidencia mapeada sobre los controles de un marco, con cobertura informada control a control, y no una cita en un campo suelto.
• PlanificadoAdaptadores de ISO 27001, ISO 27701 y Reglamento de IA. Construidos sobre el modelo de evidencia y no pegados al generador de informes, que es por lo que llegan después.
• PlanificadoEstados de evidencia de un control. El vocabulario de abajo es el de los adaptadores, publicado ahora para que pueda discutirse.

Disponible es lo que ya está en el producto. Vista previa es lo que está hecho y se puede usar, y todavía cambia de forma. Planificado es lo que está especificado y aún sin construir: se publica de antemano para que pueda juzgarse antes de existir.

Una cita en un campo no es un adaptador de marco

Dos de las filas de arriba se leen fácilmente como una sola, así que conviene separarlas. Disponible hoy: cada campo clasificado nombra las disposiciones en las que se apoya su clasificación —una, dos o tres, según la categoría— y enlaza al texto oficial consolidado, en tu idioma, al artículo y no a la portada de un reglamento de ochenta páginas. La cita va atada a la categoría que se concluyó, así que un campo que nadie ha resuelto no cita ni el artículo 9 ni el artículo 10: la referencia sigue a la conclusión en lugar de afirmar una.

Planificado todavía: el adaptador. Ese es el camino contrario. Coge la evidencia y los hallazgos, los mapea sobre los controles de un marco e informa, control a control, de qué sostiene la evidencia, qué sostiene en parte y qué no puede resolver. Un campo que cita el artículo 9 es una entrada para eso. No es la cobertura de un control, y esta página no la ofrece como tal.

La arquitectura de destino

Evidencia canónica + hallazgos
        |-> adaptador RGPD
        |-> adaptador ISO 27001
        |-> adaptador ISO 27701
        |-> adaptador Reglamento de IA
        `-> marcos futuros

Las reglas que sigue todo adaptador

• Un adaptador mapea evidencias y hallazgos a controles. Nunca recoge evidencia propia: eso sería un segundo escáner con una segunda opinión.
• Un mismo hallazgo puede sostener varios controles, de varios marcos, a la vez.
• Las versiones de marco y de mapeo son inmutables. Actualizar un marco nunca reescribe una evaluación histórica, porque una evaluación es una afirmación sobre un momento.
• Un mapeo puede declarar sus limitaciones y señalar dónde hace falta interpretación humana; y donde eso sea cierto, debe hacerlo.

Qué es un mapeo y qué no

Un mapeo dice: esta evidencia es relevante para este control. No dice que cumplas con él. En el hueco entre esas dos frases es donde vive la profesión, y ese hueco es de tu DPO, tu auditor y tu abogado.

Cuando la evidencia disponible no puede resolver un control, se informa como UNKNOWN nombrando lo que falta, en lugar de contarlo en silencio como satisfecho.

Estados de evidencia de un control