¿Qué es la norma ISO 27001?
ISO/IEC 27001 es la norma internacional que establece los requisitos de un sistema de gestión de seguridad de la información (SGSI). Su objetivo es proteger la confidencialidad, la integridad y la disponibilidad de la información de una organización, tanto si está en servidores propios, en la nube o en papel. La publican conjuntamente ISO e IEC; por eso su denominación oficial es ISO/IEC 27001, aunque en la práctica se habla simplemente de ISO 27001.
La edición vigente es ISO/IEC 27001:2022, completada con la modificación Amd 1:2024 sobre el cambio climático. En España se publica como UNE-EN ISO/IEC 27001:2023. El periodo de transición de tres años para los certificados emitidos según la edición de 2013 terminó el 31 de octubre de 2025; desde entonces se certifica únicamente según la edición de 2022.
El núcleo de la norma es un enfoque basado en riesgos: no impone una tecnología concreta, sino que exige evaluar los riesgos de seguridad de la información, tratarlos de forma adecuada y comprobar periódicamente la eficacia de los controles. Es una norma muy extendida: según la encuesta ISO Survey 2022, se notificaron más de 70.000 certificados en 150 países y en todos los sectores económicos.
¿Para quién es la certificación ISO 27001?
La norma se aplica a organizaciones de cualquier tamaño y sector. El certificado resulta especialmente útil cuando sus clientes le confían sus datos: proveedores de servicios TI, servicios en la nube y alojamiento, centros de datos y desarrolladores de software, pero también consultoras, empresas de servicios de personal, el sector sanitario y proveedores industriales cuyos clientes exigen seguridad de la información en contratos y licitaciones.
También es adecuada para pymes: el alcance y los controles se ajustan a sus riesgos, no al tamaño de una gran empresa. ISO incluso ha publicado una guía práctica específica para pymes. Lo decisivo es definir bien el alcance, que puede abarcar toda la empresa o solo determinadas sedes, procesos o servicios.
Con carácter general, ninguna ley obliga a las empresas a certificarse en ISO 27001. En la práctica, sin embargo, se convierte a menudo en requisito porque los clientes la piden por contrato o porque un SGSI ayuda a cumplir obligaciones como las de la Directiva NIS2 de forma ordenada. En algunos sectores regulados pueden exigirse evidencias específicas: revise la normativa que se aplica a su actividad.
Requisitos de la ISO/IEC 27001:2022 (capítulos 4 a 10)
La norma sigue la estructura armonizada que ISO utiliza en todas sus normas de sistemas de gestión. Los requisitos auditables están en los capítulos 4 a 10, lo que facilita integrar el SGSI con un sistema de gestión de la calidad según ISO 9001 u otros sistemas.
Frente a la edición de 2013, los capítulos cambian poco. Son nuevas, por ejemplo, la planificación de los cambios (6.3) y la obligación de considerar en la revisión por la dirección los cambios en las expectativas de las partes interesadas (9.3). Los cambios más profundos están en el anexo A.
- Capítulo 4 – Contexto: cuestiones internas y externas, requisitos de las partes interesadas y alcance del SGSI; desde la Amd 1:2024, también si el cambio climático es una cuestión pertinente.
- Capítulo 5 – Liderazgo: compromiso de la alta dirección, política de seguridad de la información, roles y responsabilidades.
- Capítulo 6 – Planificación: proceso de evaluación y tratamiento de riesgos, Declaración de Aplicabilidad, objetivos de seguridad y planificación de los cambios.
- Capítulo 7 – Apoyo: recursos, competencia, toma de conciencia, comunicación e información documentada.
- Capítulo 8 – Operación: control de los procesos, evaluación periódica de riesgos y aplicación del plan de tratamiento, también en procesos y servicios suministrados externamente.
- Capítulo 9 – Evaluación del desempeño: seguimiento y medición, auditoría interna y revisión por la dirección.
- Capítulo 10 – Mejora: mejora continua, no conformidades y acciones correctivas.
Anexo A: 93 controles en cuatro temas
El anexo A de la ISO/IEC 27001:2022 recoge 93 controles de seguridad de la información agrupados en cuatro temas. La edición de 2013 contenía 114 controles en 14 apartados; en la nueva versión, 82 controles resumen de forma más compacta aquel contenido y 11 son completamente nuevos. Entre las novedades figuran la inteligencia de amenazas, la seguridad en el uso de servicios en la nube, la preparación de las TIC para la continuidad del negocio, la gestión de la configuración, la eliminación de información, la prevención de fugas de datos, el filtrado web y la codificación segura.
No es obligatorio aplicar todos los controles: los necesarios se derivan de su tratamiento de riesgos. El vínculo entre ambos es la Declaración de Aplicabilidad, que enumera los controles necesarios, justifica su inclusión, indica si están implantados y justifica la exclusión de cualquier control del anexo A. En la auditoría es uno de los documentos centrales.
- Controles organizativos (37): políticas, control de acceso, relaciones con proveedores y gestión de incidentes.
- Controles de personas (8): verificación de antecedentes, formación y concienciación, y reglas para el teletrabajo.
- Controles físicos (14): control de acceso físico, protección de equipos y supervisión de la seguridad física.
- Controles tecnológicos (34): protección contra malware, copias de seguridad, registro de eventos, cifrado y desarrollo seguro.
Requisitos previos: cómo preparar su SGSI para la certificación
Se certifica un SGSI implantado y en funcionamiento, no un proyecto sobre el papel. Antes de solicitar la auditoría de certificación conviene tener listos estos elementos:
Si no está seguro de que su SGSI esté preparado, puede encargar a CERTUNION una preauditoría opcional. Muestra las carencias antes de la auditoría de certificación, por ejemplo cuando la evaluación de riesgos, los controles y la Declaración de Aplicabilidad no encajan entre sí.
- un alcance definido y documentado, con interfaces claras con los proveedores
- una política de seguridad de la información respaldada por la dirección y responsables designados
- una evaluación de riesgos realizada, con plan de tratamiento y Declaración de Aplicabilidad
- controles implantados, personal formado y objetivos de seguridad medibles
- al menos una auditoría interna y una revisión por la dirección con resultados documentados
Duración y coste de la certificación ISO 27001
El proceso de certificación, desde la solicitud hasta el certificado, dura por lo general entre cuatro y ocho semanas, según el tamaño y la complejidad de su organización. Otra cosa es la implantación del SGSI: su duración depende del punto de partida y solo puede estimarse con seriedad tras un diagnóstico. Reserve también tiempo interno para entrevistas, evidencias y la corrección de desviaciones.
Con CERTUNION, la certificación ISO 27001 se contrata como paquete anual junto con la plataforma para su sistema de gestión. Hay tres paquetes anuales, con precios por año: 789 € para una norma (hasta 25 empleados), 1499 € para un máximo de tres normas (hasta 100 empleados) y 1949 € para las cinco normas (sin límite de plantilla).
El precio anual incluye la plataforma con todos sus módulos y la auditoría del año: la certificación inicial el primer año —el certificado se emite una vez superada la auditoría— y las auditorías de seguimiento el segundo y el tercer año. El contrato dura tres años; en el cuarto año, la recertificación tiene un 20 % de descuento. Todos los precios se entienden sin IVA y se dirigen exclusivamente a empresas y profesionales, no a consumidores. Los gastos de viaje y alojamiento de las auditorías presenciales se facturan según el coste real.
La duración de la auditoría depende del alcance de su SGSI. Influyen sobre todo:
- el número de personas que trabajan dentro del alcance
- el número y el tipo de sedes, incluidos centros de datos y teletrabajo
- la complejidad de sus sistemas, procesos y obligaciones legales
- el peso de los procesos externalizados, los servicios en la nube y los proveedores
- el grado de desarrollo del SGSI y si desea una preauditoría
Documentación obligatoria de la ISO 27001
La ISO/IEC 27001 no exige un manual con un formato determinado, pero sí información documentada en puntos concretos, entre ellos:
A ello se suma la documentación que usted mismo considere necesaria para la eficacia del SGSI, como políticas de acceso, copias de seguridad o proveedores. En una auditoría convencen más pocos documentos bien mantenidos que plantillas extensas que nadie aplica.
- alcance del SGSI (4.3) y política de seguridad de la información (5.2)
- proceso de evaluación y de tratamiento de riesgos (6.1.2 y 6.1.3)
- Declaración de Aplicabilidad (6.1.3 d) y objetivos de seguridad (6.2)
- evidencias de competencia (7.2) e información para el control operacional (8.1)
- resultados de la evaluación y del tratamiento de riesgos (8.2 y 8.3)
- resultados del seguimiento y la medición (9.1), programa y resultados de auditoría (9.2) y de la revisión por la dirección (9.3)
- no conformidades y acciones correctivas (10.2)
ISO 27001, ENS, NIS2 y RGPD
En España, el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022) se aplica al sector público y también a las entidades privadas que le prestan servicios o le proveen soluciones. Es un marco propio y obligatorio, con su propio procedimiento de verificación: auditoría para los sistemas de categoría media o alta y autoevaluación para los de categoría básica. Un SGSI según ISO/IEC 27001 facilita mucho su implantación, pero no la sustituye.
La Directiva (UE) 2022/2555 (NIS2) obliga en su artículo 21 a las entidades afectadas a adoptar medidas de gestión de riesgos de ciberseguridad, como análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, criptografía, control de acceso y formación. Muchas coinciden con la ISO/IEC 27001 y su anexo A, y el artículo 25 pide a los Estados miembros fomentar el uso de normas europeas e internacionales. Aun así, un certificado no sustituye el análisis de la ley nacional de transposición, por ejemplo en materia de notificación de incidentes.
Algo parecido ocurre con el RGPD: su artículo 32 exige medidas técnicas y organizativas apropiadas para la seguridad del tratamiento. Un SGSI ayuda a aplicarlas y documentarlas, pero no abarca obligaciones como las bases jurídicas, el deber de información o los derechos de los interesados. Gracias a la estructura armonizada, la ISO 27001 se integra además con ISO 9001, ISO 22301 o ISO 50001 en un sistema de gestión integrado.
Beneficios de la certificación ISO 27001
Un SGSI certificado aporta, ante todo, claridad: sabe qué información es crítica, qué riesgos existen y quién responde de qué. El certificado hace visible ese trabajo ante terceros. No evita los ataques, pero demuestra que su organización conoce sus riesgos, elige los controles con criterio y revisa su eficacia, y que una entidad independiente lo ha comprobado.
- confianza de clientes y socios que le confían sus datos
- mejores opciones en licitaciones y homologaciones de proveedores que piden una evidencia
- menos esfuerzo con cuestionarios de seguridad, porque muchas respuestas se apoyan en el SGSI
- procedimientos claros ante incidentes y para la continuidad del negocio
- una base sólida para abordar las obligaciones de NIS2, del ENS o del artículo 32 del RGPD
El proceso de certificación
Solicitud
Nos describe su organización, sus sedes y el alcance previsto de su SGSI. La primera conversación es sin compromiso.
Análisis y elección del paquete
Aclaramos el alcance, el número de personas incluidas, las sedes y los procesos externalizados, y usted elige el paquete anual adecuado.
Preauditoría (opcional)
Si lo desea, comprobamos antes en qué punto está su SGSI, por ejemplo si el tratamiento de riesgos y la Declaración de Aplicabilidad encajan.
Auditoría de certificación
De forma presencial o en remoto, nuestros auditores revisan la documentación, la evaluación de riesgos y la Declaración de Aplicabilidad, así como la eficacia real de los controles mediante entrevistas y muestreos.
Certificado
Tras superar la auditoría, CERTUNION emite el certificado para el alcance definido. Por lo general es válido durante tres años.
Auditorías de seguimiento
Las auditorías de seguimiento anuales comprueban que su SGSI sigue siendo eficaz, también cuando aparecen nuevos riesgos, sistemas o proveedores.
Preguntas frecuentes
¿Qué es la certificación ISO 27001?
Es la confirmación, por parte de una entidad de certificación independiente, de que el sistema de gestión de seguridad de la información de una organización cumple los requisitos de la ISO/IEC 27001:2022. Se basa en una auditoría de la documentación, la evaluación de riesgos y la eficacia de los controles. Se certifica el sistema de gestión para un alcance definido, no un producto ni una persona.
¿Cuánto cuesta la certificación ISO 27001?
Con CERTUNION, la certificación ISO 27001 forma parte de un paquete anual con la plataforma. Hay tres paquetes anuales, con precios por año: 789 € para una norma (hasta 25 empleados), 1499 € para un máximo de tres normas (hasta 100 empleados) y 1949 € para las cinco normas (sin límite de plantilla). El precio anual cubre la plataforma con todos sus módulos y la auditoría del año: la certificación inicial el primer año y después dos auditorías de seguimiento. El contrato dura tres años; la recertificación del cuarto año tiene un 20 % de descuento. Precios sin IVA, solo para empresas y profesionales; los gastos de viaje y alojamiento de las auditorías presenciales se facturan según el coste real. Aparte, conviene prever los costes internos de implantar y mantener el SGSI, como personal, formación y medidas técnicas.
¿Cuánto tiempo se tarda en obtener la certificación ISO 27001?
El proceso de certificación, desde la solicitud hasta el certificado, dura por lo general entre cuatro y ocho semanas, según el tamaño y la complejidad de su organización. Requiere un SGSI ya implantado, con evaluación de riesgos, auditoría interna y revisión por la dirección. Cuánto tarda la implantación depende de su punto de partida.
¿Cuánto tiempo es válida la certificación ISO 27001?
Los certificados son válidos, por lo general, durante tres años. En ese periodo se realizan auditorías de seguimiento anuales que comprueban si el SGSI sigue siendo eficaz y mejora. Antes de que venzan los tres años se realiza la recertificación, para que la evidencia frente a sus clientes no se interrumpa.
¿Es obligatoria la ISO 27001?
Con carácter general, ninguna ley obliga a las empresas a certificarse en ISO 27001. Sin embargo, muchos clientes, administraciones y cadenas de suministro la exigen por contrato. Además, un SGSI según ISO/IEC 27001 ayuda a cumplir de forma ordenada obligaciones legales como las medidas de gestión de riesgos de la Directiva NIS2 o el Esquema Nacional de Seguridad.
¿Qué requisitos hay que cumplir para certificarse en ISO 27001?
Su SGSI debe estar implantado y funcionar de forma demostrable: alcance definido, política de seguridad de la información, evaluación de riesgos con plan de tratamiento, Declaración de Aplicabilidad, controles implantados y, como mínimo, una auditoría interna y una revisión por la dirección. La norma no exige un tamaño mínimo de empresa ni un software concreto.
¿Qué es el anexo A de la ISO 27001?
Es el catálogo de 93 controles de seguridad de la información de la ISO/IEC 27001:2022, agrupados en controles organizativos, de personas, físicos y tecnológicos. No todos son obligatorios: los necesarios se derivan del tratamiento de riesgos, y la Declaración de Aplicabilidad justifica la inclusión o exclusión de cada uno de ellos.
¿Qué diferencia hay entre la ISO 27001 y la ISO 27002?
La ISO/IEC 27001 contiene los requisitos del SGSI y es la norma según la cual se certifica. La ISO/IEC 27002:2022 es una guía que desarrolla los 93 controles del anexo A y ofrece orientaciones para aplicarlos. No es posible certificarse según la ISO/IEC 27002; su función es ayudar en la implantación práctica.
¿Qué diferencias hay entre la ISO 27001 y el ENS?
El Esquema Nacional de Seguridad (Real Decreto 311/2022) es un marco obligatorio en España para el sector público y para las empresas privadas que le prestan servicios, con medidas y categorías propias. La ISO/IEC 27001 es una norma internacional voluntaria. Ambos comparten el enfoque de riesgos, por lo que un SGSI facilita el ENS, pero no sustituye su verificación propia.
¿Basta la ISO 27001 para cumplir la NIS2?
No automáticamente. La Directiva NIS2 exige en su artículo 21 medidas que coinciden en gran parte con la ISO/IEC 27001 y fomenta el uso de normas internacionales. Pero hay obligaciones que un SGSI por sí solo no resuelve, como la notificación de incidentes a las autoridades según la ley nacional. Un SGSI es una base sólida, no un análisis jurídico.
¿La ISO 27001 cubre todo el RGPD?
No. La ISO/IEC 27001 apoya la seguridad del tratamiento que exige el artículo 32 del RGPD, porque gestiona de forma sistemática los riesgos y las medidas técnicas y organizativas. Sin embargo, una auditoría del SGSI no revisa cuestiones de protección de datos como las bases jurídicas, el deber de información o los derechos de los interesados. Estas requieren su propia evaluación.
¿Puede una persona obtener la certificación ISO 27001?
No. Según la ISO/IEC 27001 se certifican los sistemas de gestión de las organizaciones, no personas concretas. La competencia de profesionales, por ejemplo como responsables de seguridad o auditores, se demuestra mediante una certificación de personas, que es un procedimiento independiente con su propio examen. Encontrará más información en nuestra página sobre certificación de personas.