Un cliente grande te manda un cuestionario de veinte páginas antes de firmar. Otro te pide directamente el certificado. Y de pronto una norma de la que nunca te habías ocupado se convierte en la condición para entrar en un concurso. La ISO 27001 es esa norma, y a la mayoría de las empresas les llega así: por exigencia de un tercero, no por vocación.
Qué es la ISO 27001
La ISO 27001 es la norma internacional que define cómo debe montarse un sistema de gestión de la seguridad de la información. Dicho en cristiano: cómo se organiza una empresa para proteger los datos que maneja, los suyos y los de sus clientes.
Conviene aclarar algo desde el principio, porque es el malentendido más común. No es una lista de productos que haya que comprar. No dice «instala este antivirus» ni «pon este firewall». Dice que identifiques qué información tienes, qué riesgos corre, qué vas a hacer con cada riesgo y cómo vas a comprobar que lo hecho funciona.
Por eso una empresa de diez personas y una de dos mil pueden estar certificadas por la misma norma con medidas muy distintas. Lo que se audita no es tu tecnología: es tu criterio y tu constancia.
Qué pide exactamente
La norma tiene dos partes que funcionan juntas y que conviene distinguir.
La primera es el sistema de gestión. Aquí entran el alcance —qué parte de la empresa se certifica—, el análisis de riesgos, los objetivos, la formación del personal, las auditorías internas y la revisión por la dirección. Es la parte que no se puede delegar del todo, porque exige decisiones de negocio.
La segunda es el anexo de controles. Un catálogo de medidas concretas agrupadas en cuatro bloques: organizativas, de personas, físicas y tecnológicas. No hay que aplicarlas todas: hay que revisarlas una a una y justificar por escrito las que no apliquen a tu caso.
- Organizativas. Políticas, responsabilidades, gestión de proveedores, clasificación de la información.
- De personas. Acuerdos de confidencialidad, formación, qué pasa con los accesos cuando alguien se va.
- Físicas. Quién entra al despacho donde está el servidor, cómo se destruye el papel, qué se hace con un equipo viejo.
- Tecnológicas. Copias de seguridad, control de accesos, registro de eventos, cifrado, protección frente a malware.
Cómo se llega al certificado, paso a paso
El camino es siempre el mismo, y saber por dónde va uno evita la sensación de estar dando vueltas.
- Definir el alcance. Qué actividades, qué sedes y qué sistemas entran. Un alcance demasiado amplio al principio es el error que más proyectos alarga.
- Analizar los riesgos. Qué información manejas, qué puede pasarle y qué impacto tendría. De aquí sale todo lo demás.
- Decidir y aplicar los controles. Qué medidas se ponen para cada riesgo, quién las ejecuta y con qué plazo.
- Documentar. Políticas, procedimientos y registros que demuestren que aquello se hace de verdad, no solo que está escrito.
- Auditoría interna y revisión por la dirección. Es requisito: hay que auditarse antes de que venga nadie de fuera.
- Auditoría de certificación. La entidad certificadora viene en dos fases: primero revisa la documentación, después comprueba sobre el terreno que se cumple.
Sobre plazos: en una empresa pequeña que parte de cero, contar con entre seis meses y un año es razonable. Lo que más tarda casi nunca es la parte técnica; es reunir evidencias de que las cosas llevan meses haciéndose.
Qué cuesta y qué se lleva por delante
No hay una tarifa única, pero sí tres partidas que siempre aparecen y que conviene tener claras antes de decidir.
La consultoría, si la hay: quien te acompaña a montar el sistema, hacer el análisis de riesgos y preparar la documentación. La auditoría de certificación, que factura la entidad certificadora y depende del tamaño de la empresa y del alcance. Y las medidas que falten: si el análisis de riesgos revela que no tienes copias de seguridad verificadas o control de accesos, eso hay que resolverlo, y ese coste es real.
A eso se suma la partida que nadie presupuesta: las horas de tu propia gente. El certificado se renueva cada tres años, con auditorías de seguimiento anuales, así que esto no es un proyecto que se cierra y se olvida.
La pregunta útil antes de empezar no es cuánto cuesta certificarse, sino qué contratos concretos se están perdiendo hoy por no tenerlo. Si la respuesta es ninguno, quizá lo que hace falta ahora es mejorar la seguridad, no certificarla.
¿Te han pedido el certificado y no sabes por dónde empezar? Hacemos una auditoría previa y te decimos cuánto te separa de la norma.
ISO 27001, ENS y NIS2: en qué se diferencian
Las tres hablan de seguridad de la información y se confunden a diario, pero responden a preguntas distintas.
La ISO 27001 es voluntaria e internacional. Te certificas porque tú quieres o porque un cliente lo exige, y vale igual en España que fuera.
El Esquema Nacional de Seguridad es obligatorio para el sector público español y para las empresas que le prestan servicios. No lo eliges: si trabajas con una administración, te alcanza.
La directiva NIS2 es normativa europea y obliga a sectores considerados esenciales o importantes a cumplir medidas mínimas de ciberseguridad y a notificar incidentes. Está desarrollada en nuestro artículo sobre la directiva NIS2.
La buena noticia es que se solapan bastante. Una empresa que ha montado bien su sistema según la ISO 27001 tiene ya hecha buena parte del trabajo que le van a pedir las otras dos, y al revés. Lo caro es abordarlas por separado, cada una con su prisa.
Qué mira el auditor cuando llega
Saber qué se pregunta en una auditoría ahorra meses de documentación inútil. El auditor no viene a leer políticas: viene a comprobar que lo que dicen esas políticas ocurre.
- Evidencias con fecha. No basta con tener un procedimiento de copias de seguridad: pide los registros de las restauraciones de prueba de los últimos meses.
- Trazabilidad de accesos. Quién tiene acceso a qué, quién lo autorizó y cuándo se revisó por última vez. Las cuentas de gente que ya no está en la empresa son el hallazgo más frecuente.
- Gestión de incidentes. Que exista un registro de lo que ha pasado durante el año y de qué se hizo. Una empresa que declara cero incidentes en doce meses no tranquiliza: preocupa.
- Proveedores. Qué terceros tocan tu información, qué se les exige por contrato y cómo se comprueba.
- Implicación de la dirección. Actas de la revisión anual, objetivos revisados y decisiones tomadas. Si el sistema es cosa solo del departamento técnico, se nota enseguida.
La forma barata de llegar a esto es empezar a generar evidencias desde el primer mes del proyecto, aunque el sistema esté a medias. La cara es escribir cincuenta documentos en marzo para una auditoría de abril.
La versión de 2022 y qué cambió
La norma se revisó en 2022 y el cambio más visible está en el anexo de controles. Antes eran ciento catorce repartidos en catorce apartados; ahora son noventa y tres agrupados en cuatro bloques: organizativos, de personas, físicos y tecnológicos.
No es solo una reorganización. Se incorporaron controles que antes no estaban y que reflejan cómo se trabaja ahora: seguridad en servicios en la nube, inteligencia de amenazas, borrado de información, prevención de fuga de datos, supervisión de la actividad y seguridad en el desarrollo de software.
De esa lista, el que más desconcierta es el de prevención de fuga de datos, porque obliga a decidir qué información no debe salir de la empresa y por qué vía se impide. Lo desarrollamos en la guía sobre cómo implantar un sistema DLP.
La inteligencia de amenazas rinde mucho más cuando sabes en qué momento del ataque encaja cada indicio, algo que repasamos al detallar las fases de la cyber kill chain.
Para una empresa que se certifica hoy, eso significa que el uso de servicios en la nube y el control de lo que sale de la organización van a mirarse con lupa. Si tu información vive en herramientas contratadas a terceros —que es lo normal— el trabajo consiste en saber cuáles son, qué garantías dan y qué pasa si mañana desaparecen.
Certificarse o mejorar: no siempre es lo mismo
Hay empresas que necesitan el papel porque se lo exigen. Y hay empresas que lo que necesitan es dormir tranquilas, que no es idéntico.
Si nadie te pide el certificado, aplicar el fondo de la norma sin pasar por la auditoría es una opción perfectamente razonable: análisis de riesgos, control de accesos, copias verificadas, gestión de incidentes y formación. Es la parte que de verdad reduce el riesgo, y cuesta bastante menos que el proceso completo.
Si en cambio ya te lo han pedido dos veces este año, o si tu sector camina hacia ahí, retrasarlo solo hace que llegues con menos margen. En ese caso conviene empezar por saber cuánto te separa hoy de la norma, que es exactamente lo que revela una revisión previa de tus sistemas.
Los errores que más alargan el proyecto
Un alcance demasiado ancho. Certificar toda la empresa cuando bastaba con un servicio multiplica el trabajo y el coste de la auditoría.
Copiar la documentación de otro. Se nota a la primera pregunta, porque describe procesos que en tu empresa no existen. Y deja al equipo con un manual que nadie reconoce.
Dejarlo en manos de una sola persona. Si el sistema depende de quien lo montó y esa persona se marcha, la siguiente auditoría es un problema.
Tratarlo como papeleo. Es la trampa clásica: mucha carpeta y ningún cambio en cómo se trabaja. Pasa la auditoría, no protege nada y hay que rehacerlo cuando ocurre el primer incidente de verdad.
Los seis primeros pasos si partes de cero
Cuando una empresa decide ponerse, la duda no es filosófica: es qué se hace el lunes. Este es el orden que mejor funciona.
- Decidir quién manda en esto. Una persona responsable con nombre y apellidos, y un patrocinador en la dirección. Sin las dos figuras, el proyecto se para en la primera semana con mucho trabajo.
- Inventariar la información. Qué datos maneja la empresa, dónde están y quién accede. Suele aparecer información crítica en sitios que nadie tenía en el mapa: un disco duro externo, un servicio en la nube contratado por un departamento, un histórico en el portátil de alguien.
- Hacer el análisis de riesgos. Para cada activo importante, qué puede pasarle, con qué probabilidad y qué impacto tendría. No hace falta una metodología compleja: hace falta que esté hecho y escrito.
- Cerrar primero lo evidente. Copias verificadas, cuentas de gente que ya no está, accesos de administrador repartidos, equipos sin actualizar. Son hallazgos que aparecen siempre y que se arreglan rápido.
- Empezar a dejar rastro. Desde el primer mes: registros de las revisiones, actas de las reuniones, incidencias anotadas. Esto es lo que después se convierte en las evidencias que pide el auditor.
- Formar al equipo. Una sesión corta y concreta, no un curso de veinte horas que nadie termina. La mayoría de los incidentes entran por una persona que hizo clic donde no debía.
Con esos seis pasos dados, el proyecto está encarrilado aunque falte la mitad del camino. Y aunque al final se decida no certificar, la empresa ya ha ganado lo que de verdad importa: saber qué tiene, qué riesgo corre y qué ha hecho al respecto.
La ISO 27001 se puede vivir de dos maneras. Como un trámite que hay que pasar porque un cliente lo exige, con mucha carpeta y poco cambio. O como la excusa para poner orden en algo que llevaba años pendiente: saber qué información tienes, quién accede y qué pasaría si mañana falta. La primera se nota en la segunda auditoría; la segunda se nota el día que ocurre un incidente.
Preguntas frecuentes sobre la ISO 27001
Es la norma internacional que define cómo montar un sistema de gestión de la seguridad de la información. Sirve para proteger de forma ordenada los datos que maneja la empresa y para demostrarlo ante clientes, concursos y auditorías con un certificado reconocido.
En una empresa pequeña que parte de cero, entre seis meses y un año. Lo que marca el plazo no es la tecnología, sino reunir evidencias de que las medidas llevan meses aplicándose, porque el auditor pide pruebas, no intenciones.
Hay tres partidas: la consultoría que acompaña el proyecto, la auditoría de la entidad certificadora —que depende del tamaño y del alcance— y las medidas que haya que implantar tras el análisis de riesgos. A eso se suman las horas del propio equipo, que casi nunca se presupuestan.
No, es voluntaria. Lo que ocurre es que muchos clientes grandes y muchos concursos la exigen como requisito, de modo que en la práctica se vuelve obligatoria para vender a según qué mercados.
Sí. El certificado tiene una vigencia de tres años, con auditorías de seguimiento anuales. Si el sistema se abandona después de la primera auditoría, en la siguiente se nota.
¿Te separa mucho del certificado o menos de lo que crees?
Revisamos cómo estás hoy frente a la norma, te decimos qué falta y en qué orden hacerlo. Y si lo que necesitas no es certificarte, también te lo decimos.
Cuéntanos qué te están pidiendo Sin compromiso · Respuesta en menos de 24 h
