CERTIFICACIÓN ISO 27001

Te hablo a ti, empresa que maneja información que no puede permitirse perder ni filtrar: datos de clientes, propiedad intelectual, información financiera o cualquier dato que, si cae en malas manos o simplemente desaparece, te cuesta dinero y reputación. La ISO 27001 es la norma internacional de referencia para gestionar la seguridad de esa información, y a diferencia del ENS, no es exclusiva del sector público: aplica a cualquier empresa, de cualquier tamaño y sector.

La norma define los requisitos para implantar un Sistema de Gestión de Seguridad de la Información (SGSI): un conjunto de políticas, procesos y controles pensado para identificar tus riesgos reales y reducirlos de forma sistemática, no a base de parches puntuales cuando algo falla.

La versión vigente es la ISO/IEC 27001:2022, que actualizó el catálogo de controles del Anexo A: pasó de 114 controles repartidos en 14 dominios a 93 controles organizados en 4 dominios (organizativos, de personas, físicos y tecnológicos), alineados con el catálogo de referencia ISO 27002:2022.

No es obligatoria por ley con carácter general, pero cada vez es más frecuente que un cliente, un pliego o un partner te la exijan como condición para trabajar con ellos —y con la directiva NIS2 en camino, esa tendencia solo va a acelerarse.

• No tienes que implantar los 93 controles del Anexo A: tras tu análisis de riesgos, decides cuáles te aplican y documentas por qué excluyes el resto en la Declaración de Aplicabilidad (SoA), un documento obligatorio para la certificación.
• Se basa en el ciclo de mejora continua (Planificar-Hacer-Verificar-Actuar), igual que el resto de normas ISO de sistemas de gestión.
• La auditoría de certificación se hace en dos fases: Fase 1, revisión documental del SGSI y la SoA; Fase 2, verificación en campo de que los controles funcionan de verdad, no solo sobre el papel.
• El certificado tiene una validez de 3 años, con auditorías de seguimiento anuales para mantenerlo vigente.
• En un análisis de riesgos riguroso, lo habitual es que entre 60 y 75 de los 93 controles resulten aplicables; el resto se excluye de forma justificada, no por omisión.

Empieza siempre por el análisis de riesgos: es el corazón de la norma. Todo lo demás —controles, políticas, la propia SoA— se deriva de ahí, no al revés.

Si trabajas o quieres trabajar con la Administración Pública, valora implantar la ISO 27001 junto al ENS: comparten gran parte del trabajo de análisis de riesgos y de controles técnicos, y auditar ambas de forma coordinada ahorra tiempo y coste frente a hacerlo por separado.

No copies la Declaración de Aplicabilidad de otra empresa, por parecida que sea a la tuya. Los controles aplicables dependen de tu actividad real, y un auditor lo detecta enseguida en la Fase 2, sobre el terreno.

Involucra a tu departamento de IT desde el primer día: buena parte de los controles tecnológicos exigen cambios de infraestructura que llevan tiempo, y dejarlos para el final suele retrasar toda la certificación.

El beneficio comercial más directo es la confianza: certificarte te permite compartir y gestionar información sensible de clientes y partners con garantías demostrables, no solo con tu palabra.

También te da ventaja competitiva real en licitaciones y procesos de selección de proveedores (RFPs) donde se exige o se valora explícitamente, diferenciándote de la competencia que no está certificada.

Y más allá del papel: reduce de forma tangible el riesgo de incidentes de seguridad —brechas, ransomware, fugas de datos— y el coste, tanto económico como reputacional, que tienen cuando ocurren.

Si eres pyme, el programa Kit Consulting del Gobierno de España subvenciona hasta 24.000€ en consultoría especializada, y la implantación de ISO 27001 está entre las certificaciones financiables.

La ISO 27001 tiene su origen en la norma británica BS 7799, publicándose como estándar internacional ISO/IEC en 2005, con revisiones en 2013 y la actual de 2022. Trabaja de la mano de la ISO 27002, que desarrolla en detalle cómo implementar cada uno de los controles del Anexo A.

El coste de implantación varía mucho según el tamaño y la madurez previa de la empresa: proyectos de consultoría parten desde unos 2.750€, mientras que el primer año completo (consultoría, auditoría de certificación y mantenimiento) para una empresa de entre 50 y 200 empleados suele moverse entre 25.000€ y 55.000€. Si ya cuentas con políticas de seguridad documentadas o certificaciones previas como la ISO 9001, el camino suele ser más corto y económico.

Con la directiva europea NIS2 todavía pendiente de transposición definitiva en España —la Comisión Europea remitió un segundo requerimiento formal en mayo de 2026—, contar ya con un SGSI certificado en ISO 27001 es la mejor forma de anticiparte a las nuevas obligaciones de gestión de riesgos y notificación de incidentes que la ley traerá consigo.

A continuación se detalla paso a paso el proceso para certificarte en ISO 27001:

1. Diagnóstico inicial y análisis de brechas (gap analysis) frente a los requisitos de la norma.
2. Análisis y tratamiento de riesgos de seguridad de la información.
3. Diseño del SGSI: políticas, procedimientos y Declaración de Aplicabilidad (SoA).
4. Implantación de los controles técnicos y organizativos seleccionados.
5. Auditoría interna y revisión del sistema por la Dirección.
6. Auditoría de certificación: Fase 1 documental y Fase 2 en campo, por una entidad acreditada.
7. Obtención del certificado y auditorías de seguimiento anuales.