Paso a paso
1Confirme el alcance
Defina procesos, sedes y sistemas incluidos. El MSPI aplica a entidades públicas y mixtas.
En ATLAS: El proyecto del marco registra responsable, alcance y fechas antes de avanzar.
2Designe responsables
Nombre al líder del modelo y a los dueños de proceso; cada aprobación debe quedar a nombre de quien la hace.
En ATLAS: Los responsables se eligen entre las personas de su organización, nunca como texto libre.
3Haga el autodiagnóstico
Mida el estado actual frente a los requisitos del modelo y de ISO/IEC 27001:2022. Lo que no tenga soporte queda «no evaluado».
En ATLAS: Sin datos, el indicador muestra «NE», nunca un 0 % ni una cifra inflada.
4Valore los riesgos
Identifique activos de información, amenazas y controles existentes; decida el tratamiento de cada riesgo.
En ATLAS: Activos, riesgos y tratamientos quedan conectados en un solo inventario.
5Elabore la declaración de aplicabilidad
Revise los 93 controles del Anexo A y justifique cuáles aplica y cuáles no.
En ATLAS: El avance se mide sobre los controles que usted seleccionó, no sobre los 93.
6Implemente y guarde evidencias
Cada control necesita soporte con fecha y revisión por una persona distinta de quien lo aporta.
En ATLAS: Nadie puede aprobar su propia evidencia.
7Mida y audite
Haga seguimiento con indicadores, realice auditoría interna y presente resultados a la dirección.
En ATLAS: Tableros por etapa Planear, Hacer, Verificar y Actuar.
8Mejore
Cierre hallazgos con acciones correctivas verificadas y repita el ciclo.
En ATLAS: Una acción solo se cierra con verificación de eficacia.
Recomendaciones
Actualice las referencias internas que aún citen las versiones 3.0.2 o 4.0 del modelo.
Integre el plan del MSPI con el plan estratégico de TI y los reportes de seguimiento de su entidad.
Si ya tiene un SGSI ISO 27001, reutilice su análisis de riesgos, pero evalúe el MSPI por separado.
Preguntas frecuentes
¿Qué es la Resolución 02277 de 2025?
Es la resolución del MinTIC del 3 de junio de 2025 que actualiza el Anexo 1 de la Resolución 500 de 2021, es decir, los lineamientos del Modelo de Seguridad y Privacidad de la Información (MSPI) como habilitador de la Política de Gobierno Digital.
¿Desde cuándo rige?
Rige desde su publicación en el Diario Oficial n.º 53.155 del 20 de junio de 2025. Desde esa fecha, el MSPI se debe trabajar con el Anexo 1 actualizado.
¿Qué plazo tiene mi entidad para implementarlo?
La resolución no fija un plazo de implementación por fases. El único plazo que menciona es para el propio MinTIC: publicar el Anexo actualizado dentro de los 15 días siguientes a su expedición. Los tiempos de su entidad se definen en su plan de acción, el plan estratégico de TI y los reportes de seguimiento (por ejemplo FURAG). Verifique cualquier instrucción adicional del MinTIC o de su sector.
¿Qué documentos anteriores quedaron derogados?
Entre otros: el Modelo de Seguridad y Privacidad versiones 3.0.2 (2016) y 4.0 (2021), el Documento Maestro versión 4.0, las guías de incidentes, roles y responsabilidades, indicadores, gestión de activos y seguridad en la nube, el instrumento de autoevaluación de 2022 y la política general de 2022.
¿Cuáles son las fases del MSPI?
El Documento Maestro versión 5 (21 de abril de 2025) organiza el ciclo en cinco fases: Diagnóstico, Planificación, Implementación, Evaluación de desempeño y Mejora continua. Los ocho pasos de esta guía siguen ese orden.
¿Qué se hace en la fase de Diagnóstico?
Se mide el estado actual con el instrumento de evaluación del MSPI: qué controles están implementados y qué nivel de madurez tiene el modelo. Sus resultados alimentan la planificación.
¿Cómo se relaciona con ISO/IEC 27001:2022?
El MSPI se apoya en ISO/IEC 27001:2022, pero conserva requisitos nacionales propios. En ATLAS se evalúan por separado: cumplir uno no califica automáticamente el otro.
¿Necesitamos certificarnos en ISO 27001?
La resolución no exige certificación ISO. Lo que pide es adoptar e implementar el modelo; la certificación es una decisión voluntaria de la entidad.
Fuentes consultadas el 5 de noviembre de 2026: Resolución 2277 de 2025 (Normograma MinTIC) · Documento Maestro del MSPI, versión 5.
¿Quiere hacerlo con ATLAS?
Vea cómo la plataforma acompaña cada paso y solicite una demostración.
Ver MSPI — MinTIC en ATLAS →