¿Qué es la ISO 27001 y qué versión está vigente?
Es la norma internacional que fija los requisitos de un sistema de gestión de la seguridad de la información, y la que se certifica. La versión vigente es la ISO/IEC 27001:2022, publicada el 25 de octubre de 2022. Los certificados de la versión de 2013 caducaron o se retiraron el 31 de octubre de 2025.
Esta guía trata de la norma en sí: qué pide, cuánto cuesta y cuándo compensa. Si un cliente o un pliego te la exige y todavía no la tienes, lo que puedes enviar hoy está en me piden la ISO 27001 y no la tengo.
Un sistema de gestión de la seguridad de la información, o SGSI, es el conjunto de documentos y procedimientos con el que demuestras que gestionas la seguridad. La norma no dice qué producto comprar. Pide que analices tus riesgos, elijas los controles que los reducen, lo dejes por escrito y demuestres que lo revisas y lo mejoras.
31-10-2025
Fin de la transición fijado por el IAF: todas las certificaciones basadas en la ISO/IEC 27001:2013 caducan o se retiran.
El anexo A de la versión de 2022 remite a los controles de la ISO/IEC 27002:2022, la norma que los describe con su guía de aplicación. Según el IAF MD 26:2023, son 93 controles en 4 apartados, frente a 114 en 14 de la edición anterior: 11 son nuevos, 24 salen de fusionar otros y 58 se actualizaron.
¿Quién le pide la ISO 27001 a una pyme?
Casi siempre un cliente o un pliego, no una ley. Para el Reglamento (UE) 1025/2012, una norma es de observancia no obligatoria, y ni la NIS2 ni el Esquema Nacional de Seguridad imponen la certificación ISO 27001. Se vuelve exigible cuando la pide un contrato que firmas o una licitación a la que te presentas.
| Qué es | A quién obliga | ¿Se certifica? | Qué dice de la ISO 27001 |
|---|---|---|---|
| ISO/IEC 27001:2022 | A nadie por ley; a quien la acepta en un contrato o un pliego | Sí, con una entidad de certificación acreditada | — |
| Esquema Nacional de Seguridad (Real Decreto 311/2022) | Sector público y empresas privadas que le prestan servicios (art. 2.3) | Básica: autoevaluación y declaración. Media y alta: auditoría y certificación (art. 38) | No la sustituye: se acredita con su propia declaración o certificación de conformidad |
| NIS2 (Directiva 2022/2555) | Entidades esenciales e importantes, cuando se traslade a la ley española | No | Fomenta el uso de normas europeas e internacionales (art. 25); no exige ninguna en concreto |
La NIS2 sí permite a los Estados exigir esquemas europeos de certificación para productos, servicios o procesos concretos (artículo 24), y eso no es la ISO 27001. Cómo encaja la norma con la directiva, medida a medida, en ISO 27001 y NIS2.
¿Qué exige la ISO 27001 a una pyme?
Un sistema de gestión con alcance definido, análisis y tratamiento de riesgos, una declaración de aplicabilidad que dice qué controles aplicas y por qué, controles que funcionan con pruebas, auditoría interna, revisión por la dirección y mejora continua. La norma es de pago: aquí contamos lo que dicen de ella el IAF y ENISA.
Contexto
- El alcance: qué sedes, servicios o procesos cubre el sistema
- Las partes interesadas, como clientes o reguladores, y qué esperan del sistema
- La política de seguridad aprobada por la dirección
- Los roles y responsabilidades de seguridad
Riesgos y controles
- El análisis de riesgos
- El plan de tratamiento de los riesgos
- La declaración de aplicabilidad: qué controles del anexo A aplicas, cuáles no y por qué
Pruebas y mejora
- Las evidencias de que los controles funcionan
- El informe de la auditoría interna
- El acta de la revisión por la dirección
- Las acciones correctivas y los cambios hechos de forma planificada
El IAF explica que la norma pide comparar tus controles con los del anexo A y producir la declaración de aplicabilidad, y nombra entre sus apartados la auditoría interna, la revisión por la dirección y la mejora. La política, los roles y el análisis de riesgos de la lista los tomamos de la tabla de correspondencias de ENISA, que relaciona esos requisitos del Reglamento 2024/2690 con la ISO 27001:2022. Para el análisis, la guía de análisis de riesgos; para la política, la plantilla.
¿Cuándo le compensa a una pyme certificarse en la ISO 27001?
Cuando el certificado es requisito de un contrato o un pliego que lo vale, o cuando varios clientes lo piden y responder uno a uno cuesta más. Si solo te llegan cuestionarios, empieza por un sistema documentado con pruebas. Si trabajas para la Administración, lo que te piden es el Esquema Nacional de Seguridad.
| Situación | ¿Certificarte? | Por qué |
|---|---|---|
| Un cliente o una licitación exige el certificado, sin alternativa | Sí, si el contrato lo vale | Sin certificado no cumples ese requisito |
| Vendes servicios digitales a empresas grandes | Probablemente | El certificado responde de una vez a muchas preguntas de sus revisiones de proveedores |
| Te piden cuestionarios, pero no el certificado | Aún no | Un sistema documentado con pruebas responde a esas preguntas y es la base si luego te certificas |
| Trabajas para la Administración | Lo que necesitas es el ENS | El ENS se acredita con su propia declaración o certificación de conformidad |
| Nadie te lo ha pedido | No por ahora | Ordena antes tu seguridad con un plan y deja pruebas |
INCIBE plantea la certificación como el último paso de un plan director de seguridad: una vez alcanzado un nivel de madurez adecuado, la empresa puede plantearse certificar su sistema conforme a la ISO 27001 (INCIBE, plan director). Si vendes al sector público, la comparación está en ENS o ISO 27001.
¿Qué pasos lleva la certificación ISO 27001?
Seis: definir el alcance, analizar los riesgos, aplicar y documentar los controles con su declaración de aplicabilidad, hacer la auditoría interna y la revisión por la dirección, elegir una certificadora acreditada y pasar su auditoría. Después vienen las auditorías de seguimiento y la de renovación: el certificado no es para siempre.
Define el alcance: qué parte de la empresa cubre el sistema.
Analiza los riesgos: qué puede salir mal y qué impacto tendría.
Aplica y documenta los controles que los reducen, con la declaración de aplicabilidad.
Haz la auditoría interna y la revisión por la dirección antes de que venga nadie de fuera.
¿La certificadora está acreditada para la ISO 27001?
- Sí
- Pide su oferta y fija la fecha de la auditoría.
- No
- Busca otra: un certificado sin acreditación puede no servirle a tu cliente.
Pasa la auditoría de certificación y corrige lo que señale.
Cuánto se tarda depende de lo que tengas ya hecho, y lo cuenta me piden la ISO 27001 y no la tengo. Si ya tienes los controles puestos y probados, el trabajo es sobre todo documentar y revisar. Con Talvit documentamos tu sistema de seguridad y reunimos las pruebas cada mes en tu dossier de evidencias: es la base que necesitas si decides certificarte.
¿De qué depende lo que cuesta la ISO 27001?
De cinco partidas: la preparación, propia o con consultoría; lo que haya que comprar o configurar para cerrar controles; la auditoría inicial de la certificadora, cuyos días dependen del alcance; las auditorías de seguimiento y renovación, y el tiempo de tu equipo. No damos un precio: pídelo a certificadoras acreditadas con tu alcance delante.
| Partida | Qué incluye | De qué depende |
|---|---|---|
| Preparación | Análisis de riesgos, documentos, declaración de aplicabilidad | De lo que tengas ya escrito y de si lo haces tú o una consultoría |
| Controles | Lo que falte para cerrar los riesgos: doble factor, copias, protección de equipos | De tu punto de partida |
| Auditoría inicial | Los días de auditor de la certificadora | Del alcance: personas, sedes y procesos |
| Seguimiento y renovación | Las auditorías de los años siguientes | Del alcance y de cómo funcione el sistema |
| Tiempo interno | Reuniones, pruebas, auditoría interna y revisión por la dirección | De quién lleve el sistema dentro |
Para entender la factura de la certificadora sirve una referencia del IAF, aunque no sea de esta norma. En la certificación de calidad, medio ambiente y seguridad laboral, el tiempo de auditoría parte del número de personas del alcance, el seguimiento anual ronda un tercio del tiempo de la auditoría inicial y la renovación, unos dos tercios (IAF MD 5:2019). Para la ISO 27001 se aplican otras reglas de acreditación, propias de esta norma.
¿Cuánto dura un certificado ISO 27001?
Normalmente tres años: es el ciclo de certificación de sistemas de gestión que describe el IAF, con auditoría inicial, una de seguimiento en cada uno de los dos años siguientes y la de renovación al final. El certificado lleva fecha de caducidad y un alcance: compruébalos antes de darlo por bueno.
Año 0
Auditoría inicial
En dos etapas. Si la superas, la certificadora emite el certificado.
Año 1
Auditoría de seguimiento
Más corta que la inicial: comprueba que el sistema sigue funcionando.
Año 2
Auditoría de seguimiento
La segunda del ciclo.
Año 3
Auditoría de renovación
Antes de que caduque: abre un ciclo nuevo de tres años.
Fuente: IAF MD 5:2019, tiempo de auditoría de sistemas de gestión de calidad, ambiental y de seguridad laboral, consultado el .
El IAF describe este ciclo en su documento de tiempos de auditoría para calidad, medio ambiente y seguridad laboral. Para la ISO 27001, su documento de transición habla igualmente de auditorías de seguimiento y de renovación, y de un ciclo de certificación que la transición no cambiaba. Cuando sale una versión nueva de la norma hay un plazo para pasarse: con la de 2022 fueron 36 meses.
¿Cómo compruebas que un certificado ISO 27001 es válido?
Mira cuatro cosas: que la versión sea la de 2022, que no haya caducado, que el alcance cubra lo que te interesa y que la certificadora esté acreditada. En España acredita ENAC: su buscador confirma si una acreditación es válida. IAF CertSearch, la base mundial de certificaciones acreditadas, valida las de sistemas de gestión.
El certificado
- Norma: ISO/IEC 27001:2022. Uno de 2013 no está en vigor desde el 31 de octubre de 2025
- Fechas de emisión y de caducidad
- Alcance: qué sedes, servicios o procesos cubre
La certificadora
- Está acreditada para la ISO 27001 por ENAC o por otro organismo firmante del acuerdo del IAF
- Su acreditación sigue en vigor: el buscador de ENAC tiene una opción para confirmarlo
La validación
- El certificado aparece en IAF CertSearch o la certificadora lo confirma por escrito
ENAC es el único organismo nacional de acreditación, designado por el Real Decreto 1715/2010, y su buscador de acreditados permite buscar por empresa y confirmar la validez de una acreditación. Según el IAF, lo que emite una certificadora acreditada por un firmante de su acuerdo de reconocimiento puede reconocerse en todo el mundo. La consulta del certificado concreto se hace en IAF CertSearch.
¿Qué relación tiene la ISO 27001 con la NIS2 y con el ENS?
Se apoyan, pero no se sustituyen. La NIS2 no se certifica ni exige la ISO 27001, aunque muchas de sus medidas se relacionan con requisitos de la norma. El Esquema Nacional de Seguridad obliga a quien presta servicios a la Administración y se acredita con su propia declaración o certificación de conformidad.
ENISA publica una tabla que relaciona cada requisito del Reglamento 2024/2690, el que concreta las medidas de la NIS2 para los proveedores digitales, con apartados de la ISO 27001:2022, y avisa de que no mide equivalencias. Lo cuenta medida a medida ISO 27001 y NIS2; la prueba de cada medida, el checklist de la NIS2. Qué es el ENS, en Esquema Nacional de Seguridad.
Con Talvit no te certificamos: el certificado lo emite una certificadora acreditada tras su propia auditoría. Lo que hacemos, con presupuesto aparte de la cuota, es documentar tu sistema de seguridad y reunir las pruebas cada mes, y con el CISO externo de 8 horas, la hoja de ruta hacia la ISO 27001. El resto de normas, en normativa.
Lo que esta guía no cubre
- El texto de la ISO/IEC 27001 y de la ISO/IEC 27002, que son de pago: aquí no se citan sus cláusulas.
- Un precio de la certificación, que depende del alcance y de cada certificadora.
- Qué enviar si un cliente te la exige y no la tienes: lo cubre la guía me piden la ISO 27001 y no la tengo.
Preguntas frecuentes
¿Qué diferencia hay entre la ISO 27001 y la ISO 27002?
La ISO/IEC 27001 fija los requisitos del sistema de gestión y es la que se certifica. La ISO/IEC 27002 describe los controles con su guía de aplicación, y el anexo A de la 27001 remite a ellos.
¿Una pyme pequeña puede certificarse en la ISO 27001?
Sí. El certificado cubre el alcance que figura en él, que puede ser una sede, un servicio o un proceso. Lo que exige es tiempo, documentación al día y alguien que lleve el sistema.
¿Quién emite el certificado ISO 27001?
Una entidad de certificación, después de su propia auditoría. Para que el certificado tenga reconocimiento, la certificadora tiene que estar acreditada; en España, por ENAC. Una consultoría o un proveedor de seguridad puede prepararte, pero no certificarte.
¿Hay que volver a certificarse cuando sale una versión nueva de la norma?
Hay que pasarse a la versión nueva dentro del plazo de transición. Con la de 2022, el IAF dio 36 meses, hasta el 31 de octubre de 2025, y la transición podía hacerse junto a una auditoría de seguimiento, en la de renovación o en una aparte.
Fuentes
- IAF MD 26:2023, requisitos de transición a la ISO/IEC 27001:2022, consultado el
- IAF MD 5:2019, tiempo de auditoría de sistemas de gestión de calidad, ambiental y de seguridad laboral, consultado el
- ENAC, buscador de acreditados, consultado el
- IAF CertSearch, base de datos de certificaciones acreditadas, consultado el
- Real Decreto 1715/2010, designación de ENAC como organismo nacional de acreditación, consultado el
- Reglamento (UE) 1025/2012, sobre la normalización europea, art. 2.1, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21, 24 y 25, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, arts. 2.3 y 38, consultado el
- ENISA, NIS2 Technical Implementation Guidance (26 de junio de 2025) y su tabla de correspondencias, versión 1.2, consultado el
- INCIBE, Políticas de seguridad para la pyme: plan director de seguridad, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: la versión de 2022 y el fin de la transición, qué exige, de qué depende el coste, cuánto dura el certificado, cómo comprobarlo y sus fuentes.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
