El 3 de noviembre cambia el examen CISM.
Tienen hasta el 2 de noviembre para presentarse al que han estado preparando. A partir de esa fecha, todos los exámenes siguen el Exam Content Outline actualizado.
La mayor parte de lo que leerán al respecto es una tabla de porcentajes. Los porcentajes son la parte menos interesante.
Qué cambió realmente
Los cuatro dominios se mantienen intactos. Governance, Risk Management, Program, Incident Management. Mismos nombres, mismo orden.
Las ponderaciones se movieron un solo punto en dos lugares. Information Security Governance pasa del 17 al 18 por ciento. Incident Management baja del 30 al 29. Risk Management se mantiene en 20. Program se mantiene en 33, sigue siendo el dominio de mayor peso en el examen.
Eso es todo en cuanto a números. El formato tampoco cambia: 150 preguntas, cuatro horas, nota mínima de 450 en la escala de 200 a 800.
Luego está la parte que merece atención.
ISACA ha añadido dos nuevas áreas de contenido: enterprise architecture e information security architecture. Y ha desplazado el énfasis del examen aún más hacia la estrategia de seguridad de la información y el desarrollo del programa.
Por qué arquitectura, y por qué ahora
La explicación de ISACA es una sola línea: la actualización refleja la necesidad de comprender las tecnologías bajo la responsabilidad de un security manager.
Léanlo de nuevo, porque es una corrección.
CISM lleva años vendiéndose como la certificación que se elige cuando no se quiere la técnica. El itinerario de gestión. Estrategia, governance, titularidad del programa, conversaciones con el consejo. Mucha gente lo eligió precisamente para alejarse de los diagramas.
El outline de 2026 cierra esa salida.
No se puede gobernar lo que no se puede describir. Un security manager que no sabe leer un diagrama de arquitectura no puede determinar si un control está donde realmente se encuentra el riesgo. Aprueba diseños que no sigue, acepta riesgo residual que no sabe localizar y da el visto bueno a un programa que parece completo sobre el papel con un agujero en el centro.
Y nótese que ISACA ha añadido enterprise architecture, no solo la de seguridad. Eso es una exigencia mayor. Significa entender cómo encaja realmente la tecnología del negocio, no solo la capa de seguridad que descansa sobre ella. Las reglas del firewall no son una arquitectura. Lo que protegen, sí.
Esto surge del Job Practice Analysis de ISACA, que encuesta a profesionales CISM en activo. No lo inventó ningún comité. Suficientes profesionales dijeron: esto es el trabajo ahora.
Presentarse antes o presentarse después
La mitad del sector formativo pasó septiembre diciéndoles que se dieran prisa. Fíjense en quién se beneficia de eso.
La versión honesta tiene tres respuestas.
Si llevan meses estudiando y están cerca. Preséntense antes del 3 de noviembre. Dominan el material actual, han construido el modelo mental actual, y no hay nada que ganar cambiando de blueprint con tres semanas en el reloj.
Si están empezando ahora. No lo hagan. Tres semanas no es una ventana de preparación para CISM desde cero, y suspender un examen para ganarle la mano al calendario es una forma cara de no ahorrar nada. Prepárense bien, preséntense al nuevo outline y traten el contenido de arquitectura como algo que necesitaban de todas formas.
Si están en un punto intermedio. Sean honestos con su nivel de preparación, no con la fecha. El plazo no es la variable que decide si aprueban.
Consejo: El nuevo outline no es más difícil. Es una evolución del mismo modelo de gestión con contenido añadido que refleja lo que el rol ya implica. Un cambio de ponderación de un punto y dos áreas de contenido no son motivo para reservar precipitadamente un examen para el que no están listos.
Si ya tienen el CISM
No ocurre nada con su certificación. El outline rige el examen, no la credencial, y su ciclo de CPE continúa exactamente igual que antes.
La dirección del cambio sigue siendo relevante para ustedes, sin embargo.
Trátenlo como una evaluación de brechas gratuita. Si enterprise architecture e information security architecture son las dos cosas que ISACA acaba de decidir que un security manager necesita entender, y tendrían dificultades para dibujarlas en una pizarra para su propia organización esta tarde, acaban de encontrar su próximo CPE.
Reflexión final
Las actualizaciones de certificaciones suelen decir más sobre la profesión que sobre el examen.
Esta dice que la distancia entre gobernar la seguridad y comprenderla ha dejado de ser aceptable. El manager que podía hablar extensamente sobre el apetito de riesgo pero no sabía nombrar los sistemas que albergaban los datos siempre fue un problema.
A partir del 3 de noviembre, es un problema examinable.
Dónde se enseña esto
Nuestro curso CISM está construido sobre el outline actualizado y se imparte en modalidad presencial con instructor o a ritmo propio. La próxima cohorte en directo es del 7 al 10 de diciembre, y la licencia a ritmo propio comienza cuando ustedes lo decidan.
Para conmemorar el lanzamiento, todos los cursos ISACA a ritmo propio del catálogo están disponibles al precio de partner. Esto se gestiona caso a caso y no en el proceso de pago, así que soliciten un presupuesto e indíquennos si es para una plaza individual o para un equipo.