La ISO 27001 es la norma internacional que certifica tu sistema de gestión de seguridad. Define cómo una organización identifica sus riesgos de información, decide qué controles aplica y demuestra ante un auditor externo que ese sistema funciona de verdad. Desde el 31 de octubre de 2025 solo tiene validez la versión de 2022: los certificados emitidos contra la edición de 2013 han caducado.
Lo esencial
- La ISO 27001 es voluntaria, pero muchos pliegos y contratos la exigen, de modo que en la práctica actúa como requisito de mercado.
- La versión vigente es la ISO/IEC 27001:2022, adoptada en España como UNE-EN ISO/IEC 27001:2023 y modificada por el A1:2024 sobre acción climática.
- El Anexo A recoge 93 controles agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos.
- El plazo de transición desde la edición de 2013 terminó el 31 de octubre de 2025, así que un certificado que siga citando la ISO 27001:2013 ya no acredita nada.
- El certificado dura tres años, con auditoría de seguimiento anual y recertificación completa al final del ciclo.
¿Qué es la ISO 27001 y para qué sirve?
La ISO 27001 es la norma que establece los requisitos de un sistema de gestión de seguridad de la información (SGSI). No es un catálogo de medidas técnicas que se instalan y se olvidan: es un modelo de gestión que obliga a analizar riesgos, decidir qué se hace con cada uno y revisar periódicamente si la decisión sigue siendo válida.
Su utilidad práctica es doble. Hacia dentro, ordena la seguridad de una empresa que hasta entonces la llevaba por intuición o por criterio del departamento de sistemas. Hacia fuera, el certificado emitido por una entidad acreditada sirve como prueba en licitaciones, auditorías de cliente y cuestionarios de proveedores, donde afirmar que «tenemos buenas prácticas» no vale nada y un certificado sí.
La norma es aplicable a cualquier organización, con independencia de su tamaño o sector, porque el alcance lo define la propia empresa. Una consultora de 15 personas puede certificar su plataforma de servicio y dejar fuera la gestión interna de nóminas, siempre que el recorte del alcance esté justificado y documentado.
¿Cuál es la última versión de la ISO 27001 en 2026?
La versión vigente es la ISO/IEC 27001:2022, publicada en octubre de 2022. En España se adopta como UNE-EN ISO/IEC 27001:2023, que es el mismo texto con la portada europea, y en 2024 recibió la modificación A1:2024 sobre acción climática, que afecta solo a las cláusulas 4.1 y 4.2: obliga a valorar si el cambio climático es una cuestión pertinente para el sistema de gestión. No añade ni modifica ningún control del Anexo A.
El cambio de fondo respecto a la edición de 2013 está en el Anexo A. Los 114 controles repartidos en 14 dominios se reorganizaron en 93 controles agrupados en cuatro temas, y se incorporaron once controles nuevos que la versión anterior no contemplaba: inteligencia de amenazas, seguridad en servicios en la nube, preparación de las TIC para la continuidad, monitorización de actividades, filtrado web, codificación segura, gestión de la configuración, borrado de información, enmascaramiento de datos, prevención de fuga de datos y actividades de seguimiento.
La fecha que más consecuencias tiene es la del cierre de la transición. Conforme al documento IAF MD 26, los certificados emitidos contra la ISO 27001:2013 dejaron de ser válidos el 31 de octubre de 2025. Si en una homologación de proveedor recibes un certificado que menciona la edición de 2013, ese documento ya no acredita conformidad, aunque la fecha de caducidad impresa diga otra cosa.
¿Qué controles incluye el Anexo A de la ISO 27001:2022?
El Anexo A recoge 93 controles distribuidos en cuatro temas. No son obligatorios uno a uno: la empresa selecciona los que aplican a partir de su análisis de riesgos y justifica las exclusiones en la Declaración de Aplicabilidad (SoA), que es el documento que el auditor revisa primero.
| Tema | Controles | De qué trata |
|---|---|---|
| Organizativos | 37 | Políticas, roles, gestión de proveedores, clasificación de la información, continuidad y cumplimiento legal. |
| De personas | 8 | Selección, formación, acuerdos de confidencialidad, proceso disciplinario y salida de empleados. |
| Físicos | 14 | Perímetros, control de acceso a instalaciones, protección de equipos y soportes, puesto de trabajo despejado. |
| Tecnológicos | 34 | Control de accesos, criptografía, copias de seguridad, registro y monitorización, desarrollo seguro y filtrado web. |
Por ejemplo: una empresa que presta servicios en la nube y no tiene centro de proceso de datos propio aplicará casi todos los controles tecnológicos y podrá reducir los físicos a la oficina, pero tendrá que reforzar los organizativos de cadena de suministro, porque su riesgo se ha desplazado al proveedor.
¿Qué requisitos pide la norma para implantar el SGSI?
Los requisitos certificables no están en el Anexo A, están en las cláusulas 4 a 10 del cuerpo de la norma. Son siete bloques y ninguno se puede excluir: si falta uno, la certificación no sale.
- Contexto (cláusula 4): partes interesadas, requisitos aplicables y alcance del sistema por escrito.
- Liderazgo (cláusula 5): política de seguridad aprobada por dirección y roles asignados con nombre y apellidos.
- Planificación (cláusula 6): metodología de análisis de riesgos, plan de tratamiento, SoA y objetivos medibles.
- Soporte (cláusula 7): recursos, competencias, concienciación y control documental.
- Operación (cláusula 8): ejecución del plan y evidencias de que los controles se aplican.
- Evaluación (cláusula 9): indicadores, auditoría interna y revisión por la dirección.
- Mejora (cláusula 10): tratamiento de no conformidades y acciones correctivas trazadas.
El punto donde más proyectos encallan es la cláusula 9. Es fácil escribir políticas y difícil demostrar, doce meses después, que alguien las ha medido, auditado y revisado con la dirección sentada en la mesa.
¿Cómo certificarse en ISO 27001 paso a paso?
La certificación llega al final de la implantación, no la sustituye. El recorrido habitual tiene seis pasos y la auditoría externa se divide siempre en dos fases.
- Definir el alcance y obtener el compromiso de dirección, con presupuesto y responsable designado.
- Analizar riesgos sobre un inventario de activos real y aprobar el plan de tratamiento.
- Implantar los controles seleccionados y generar las evidencias que los acreditan.
- Auditar internamente y celebrar la revisión por la dirección, ambas documentadas.
- Fase 1 de la auditoría externa: el auditor revisa la documentación y comprueba que el sistema está listo.
- Fase 2: auditoría sobre el terreno, cierre de no conformidades y emisión del certificado.
Elige una entidad de certificación acreditada por ENAC o por un organismo equivalente reconocido en el acuerdo multilateral del IAF. Un certificado emitido por una entidad sin acreditación se cae en cuanto el cliente lo mira con atención, y el coste de rehacerlo es íntegro.
¿Cuánto cuesta y cuánto tarda certificarse en ISO 27001?
El plazo habitual va de seis a doce meses desde el arranque hasta la fase 2, y depende sobre todo del punto de partida: una empresa con inventario de activos actualizado, copias verificadas y gestión de accesos ordenada recorta meses frente a otra que empieza de cero.
El coste tiene tres partidas que conviene separar en el presupuesto: la implantación (horas internas más consultoría, si la hay), la auditoría de certificación (que la entidad tarifa por jornadas de auditor según plantilla y complejidad del alcance) y el mantenimiento anual del ciclo de tres años. Pedir a las entidades certificadoras el número de jornadas y no solo el importe final es lo que permite comparar ofertas de verdad, porque el precio por jornada varía menos que las jornadas propuestas.
¿Dónde se solapan la ISO 27001, el ENS y la NIS2?
Las tres piden lo mismo en lo esencial, analizar riesgos y gestionar incidentes, pero se diferencian en quién obliga, quién verifica y con qué plazos. Esta comparativa cruza las tres exigencias, algo que casi ningún contenido hace y que decide el orden en que conviene abordarlas.
| Exigencia | ISO 27001:2022 | ENS (RD 311/2022) | NIS2 (Directiva 2022/2555) |
|---|---|---|---|
| Naturaleza | Voluntaria y certificable | Obligatoria por reglamento | Obligatoria, pendiente de transposición en España |
| Análisis de riesgos | Cláusula 6.1, documentado | Determina la categoría del sistema (art. 40 y Anexo I) | Art. 21.2.a |
| Gestión de incidentes | Controles 5.24 a 5.28 | Marco operacional del Anexo II | Art. 21.2.b, con notificación temprana en 24 horas |
| Cadena de suministro | Controles 5.19 a 5.23 | El art. 2.3 extiende el ENS al proveedor privado | Art. 21.2.d |
| Auditoría | Certificación, seguimiento anual y recertificación a los 3 años | Al menos cada dos años (art. 31) | Supervisión de la autoridad competente |
| Quién verifica | Entidad acreditada (ENAC) | Autoevaluación en BÁSICA, certificación en MEDIA y ALTA | Autoridad nacional |
Una precisión que cambia decisiones de calendario: a 29 de septiembre de 2026, España todavía no ha transpuesto la NIS2. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y sigue en tramitación, de modo que mientras tanto continúa aplicándose el Real Decreto-ley 12/2018, la transposición de la NIS original. Planificar inversiones contra un texto que aún puede cambiar en el trámite parlamentario es un riesgo evitable.
Si tu empresa vende a la Administración, el orden razonable es ENS primero, porque es exigible hoy y te lo van a pedir en el pliego, y después ISO 27001, que reaprovecha buena parte del trabajo. Si vendes a grandes cuentas privadas, el orden se invierte. Puedes ampliar el mapa completo de obligaciones en la guía de ciberseguridad para empresas y revisar el detalle del Esquema Nacional de Seguridad.
¿Qué errores retrasan una implantación de ISO 27001?
Cuatro fallos concentran la mayoría de los retrasos y los tres primeros se detectan antes de la fase 1 si alguien mira el proyecto con ojo de auditor.
- Alcance mal definido: se certifica «toda la empresa» sin medir el esfuerzo y se descubre tarde que hay sedes o sistemas sin control.
- Inventario de activos incompleto: sin inventario fiable el análisis de riesgos es decorativo, y con él se cae la cláusula 6.
- Documentación sin evidencia: políticas impecables que nadie aplica ni registra. El auditor pide registros, no documentos.
- Proveedores fuera del sistema: se olvidan los controles 5.19 a 5.23 y el riesgo real vive en un tercero que nadie ha evaluado.
- Sin proceso de vulnerabilidades: los controles tecnológicos piden detección y remediación con registro. Monta antes la gestión de vulnerabilidades, porque es de lo primero que el auditor quiere ver con datos.
Sostener el SGSI a lo largo del ciclo de tres años es, en la práctica, un problema de trazabilidad: quién hizo qué, cuándo y con qué evidencia. Centralizar políticas, riesgos, incidentes y auditorías en una herramienta como el software de cumplimiento normativo de Laworatory evita llegar a la recertificación reconstruyendo un año de registros a partir de correos.
Preguntas frecuentes sobre la ISO 27001
¿Es obligatoria la ISO 27001?
No, la ISO 27001 es voluntaria. Lo que la vuelve necesaria en la práctica son los pliegos de licitación y los contratos de grandes clientes que la exigen como condición para trabajar. Las obligaciones legales de seguridad llegan por otras vías, como el artículo 32 del RGPD o el Esquema Nacional de Seguridad.
¿Sigue valiendo un certificado ISO 27001:2013?
No. El plazo de transición fijado en el documento IAF MD 26 terminó el 31 de octubre de 2025, y desde esa fecha los certificados emitidos contra la edición de 2013 han perdido validez. Si un proveedor te presenta uno, pídele el certificado contra la versión 2022.
¿Cuánto dura el certificado ISO 27001?
El certificado tiene una vigencia de tres años. Durante ese periodo la entidad certificadora realiza una auditoría de seguimiento cada año, y al cumplirse el ciclo se hace una auditoría de recertificación completa para renovarlo.
¿Sirve la ISO 27001 para cumplir el RGPD?
Ayuda mucho, aunque no lo sustituye. El artículo 32 del RGPD exige medidas técnicas y organizativas apropiadas, y un SGSI certificado es una forma sólida de acreditarlas. Aun así el RGPD incluye obligaciones que la norma no cubre, como la base legal del tratamiento, los derechos de las personas o la notificación de brechas de seguridad.
¿Qué diferencia hay entre la ISO 27001 y la ISO 27002?
La ISO 27001 es la norma certificable que define los requisitos del sistema de gestión. La ISO 27002 es una guía de buenas prácticas que desarrolla cómo implantar cada uno de los 93 controles del Anexo A, y no se certifica. Si quieres situarlas dentro del mapa general, tienes el panorama de las normas ISO aplicadas al compliance.
Por dónde empezar
Si tu punto de partida es un certificado caducado de la edición 2013, una licitación pública a la vista o un cuestionario de proveedor que no sabes responder, el primer paso no es contratar la auditoría: es cerrar el alcance y levantar el inventario de activos. Con esas dos piezas sobre la mesa, el resto del proyecto deja de ser una estimación y pasa a ser un plan con fechas. Si prefieres verlo funcionando antes de decidir, puedes agendar una demo y revisamos juntos tu punto de partida.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Última actualización: 29 de septiembre de 2026.