¿Es obligatoria la ISO 27001 por ley en España?
No. Una norma ISO es, por definición legal, de observancia no obligatoria: así lo establece el Reglamento (UE) 1025/2012. La directiva europea NIS2 tampoco la impone: pide a los Estados que fomenten el uso de normas europeas e internacionales. La ISO 27001 se vuelve exigible cuando la pide un contrato o un pliego que aceptas.
El artículo 2.1 del Reglamento (UE) 1025/2012 define «norma» como una especificación técnica «cuya observancia no es obligatoria». El artículo 25 de la NIS2 habla de fomentar normas, y las diez medidas de su artículo 21.2 no nombran ninguna certificación.
¿Qué te están pidiendo exactamente cuando te piden la ISO 27001?
Depende de la redacción, y hay cuatro casos: el certificado literal, como requisito para firmar; el certificado «o equivalente»; una casilla del cuestionario que pregunta si estás certificado; o una cláusula que pide seguir la ISO 27001 o «buenas prácticas». Solo en el primero no hay alternativa; en los otros puedes ofrecer controles probados.
| Cómo viene redactado | Qué significa | Qué envías |
|---|---|---|
| «Certificado ISO/IEC 27001 en vigor», como requisito | Sin certificado no cumples ese requisito | Pregunta si aceptan un plan con fecha de certificación; si no, ese contrato espera |
| «ISO 27001 o equivalente» | Aceptan otra acreditación o un sistema que cubra lo mismo | Tu ENS o tu TISAX si los tienes; si no, el paquete de controles y pruebas |
| «¿Está certificado en ISO 27001?», en un cuestionario | Una pregunta más entre muchas | «No», más qué controles tienes y con qué pruebas |
| «Conforme a la ISO 27001 o buenas prácticas», en el contrato | Un nivel de seguridad, no un certificado | Tu política y la lista de controles con su estado |
| «Conformidad con el ENS», en un pliego público | Otro requisito: el Esquema Nacional de Seguridad | La declaración o la certificación de conformidad con el ENS, según la categoría |
Si dudas en qué caso estás, pregúntalo por escrito: «¿Aceptáis evidencias de los controles en lugar del certificado?». La respuesta decide si hablas de documentos o de una auditoría.
¿Qué puedes enviar hoy si no tienes la ISO 27001?
Un paquete que el cliente pueda comprobar: la política de seguridad firmada por la dirección, la lista de controles con su estado, las pruebas recientes de los que tienes y un plan con fechas para los que faltan. Es lo que revisa una certificadora, sin su sello: lo demuestras tú, no un tercero.
Documentos
- Política de seguridad firmada y fechada por la dirección
- Análisis de riesgos, aunque sea una tabla
- Lista de controles con su estado: puesto, en curso o no aplica
Pruebas del último mes
- Informe de protección de los equipos
- Registro de la última restauración de copias
- Captura de la política de doble factor
- Registro de formación o del último simulacro
Compromiso
- Plan con fecha y responsable para lo que falta
- Persona de contacto para dudas
La lista de controles es lo que la norma llama declaración de aplicabilidad: qué controles aplicas y por qué. El índice del dossier enumera los documentos de un paquete así; para la política tienes la plantilla de política de seguridad y los modelos de INCIBE. Cómo contestar cada pregunta, en la plantilla de respuestas.
¿Cuánto se tarda en conseguir la ISO 27001 si el cliente insiste?
Meses, no semanas, y depende de lo que tengas ya documentado. Hay que definir el alcance, analizar riesgos, escribir la declaración de aplicabilidad, poner y probar los controles, hacer una auditoría interna y superar la auditoría de una certificadora. Después vienen auditorías de seguimiento y de renovación: el certificado no es para siempre.
Paso 1
Alcance
Qué parte de la empresa cubre el sistema.
Paso 2
Riesgos y declaración de aplicabilidad
Qué puede fallar y qué controles del anexo A aplicas.
Paso 3
Controles y pruebas
Ponerlos y reunir evidencias de que funcionan.
Paso 4
Auditoría interna y revisión por la dirección
Antes de que venga nadie de fuera.
Paso 5
Auditoría de certificación
La hace una certificadora acreditada.
Después
Seguimiento y renovación
Auditorías periódicas para mantener el certificado.
En España, la acreditación de certificadoras la da ENAC, designada único organismo nacional de acreditación en 2010. Antes de contratar una certificadora, comprueba que está acreditada para la ISO 27001: un certificado sin acreditación puede no servirle a tu cliente.
¿Vale un certificado ISO 27001 de la versión 2013?
No. La versión vigente es la ISO/IEC 27001:2022, publicada el 25 de octubre de 2022, y el Foro Internacional de Acreditación (IAF) fijó que las certificaciones de la versión 2013 caducaran o se retiraran al acabar la transición, el 31 de octubre de 2025. Un certificado de 2013 ya no acredita nada.
31-10-2025
Fin de la transición fijado por el IAF: las certificaciones basadas en la ISO/IEC 27001:2013 caducan o se retiran.
93
Controles a los que remite el anexo A de la versión 2022, agrupados en 4 apartados. La versión 2013 tenía 114 en 14.
Te sirve para dos cosas: si un proveedor tuyo enseña un certificado de 2013, no está en vigor; y si alguna vez tuviste uno, no lo adjuntes como si lo estuviera. El documento de transición es el IAF MD 26:2023.
¿Te sirve el ENS o TISAX en lugar de la ISO 27001?
Solo si el cliente lo acepta, porque responden a públicos distintos. El Esquema Nacional de Seguridad es obligatorio para quien presta servicios a la Administración; TISAX es la evaluación del sector de automoción. Si ya tienes uno de los dos, adjúntalo y pregunta si lo aceptan como equivalente: la decisión es del cliente.
| Esquema | Quién lo pide | Cómo se acredita | Cuánto dura |
|---|---|---|---|
| ISO/IEC 27001:2022 | Clientes privados de cualquier sector | Auditoría de una certificadora acreditada | Ciclo con auditorías de seguimiento y renovación |
| Esquema Nacional de Seguridad | La Administración, por ley (RD 311/2022, art. 2.3) | Básica: autoevaluación y declaración. Media y alta: auditoría y certificación (art. 38) | Revisión al menos cada dos años: auditoría o, en básica, autoevaluación (art. 31 y anexo III) |
| TISAX | Fabricantes y proveedores de automoción | Autoevaluación con el catálogo ISA y auditoría externa | Etiquetas válidas tres años, compartidas en el portal de ENX y no públicas |
Las condiciones de TISAX están en la web de ENX. Más detalle en qué es el ENS, cómo se declara la conformidad con el ENS y qué es TISAX.
¿Cómo se le dice al cliente que no tienes la ISO 27001 sin perder el contrato?
De frente y con lo que sí tienes: que no estás certificado, qué controles tienes puestos, con qué pruebas y qué harías si el certificado fuera imprescindible. Pregunta qué riesgo quiere cubrir con el requisito: si es un control concreto, como el doble factor o las copias, puedes demostrarlo sin el sello.
Si te piden firmar una declaración junto al cuestionario, no escribas «cumplimos la ISO 27001»: lo que firmas puede pasar a ser una obligación. Cómo responder a lo que todavía no tienes, en qué responder si no cumples un control.
¿Cuándo compensa certificarse en la ISO 27001?
Cuando el certificado es requisito literal de un contrato que vale el esfuerzo, o cuando te lo piden varios clientes o pliegos y responder uno a uno cuesta más que certificarse. Si solo te llegan cuestionarios, empieza por un sistema documentado con pruebas: es la base de la certificación si algún día la necesitas.
¿El requisito dice «certificado» sin alternativa?
- Sí
- Compara el contrato con meses de trabajo y las auditorías
- No
- Responde con el paquete de controles y pruebas
¿Te lo piden ya dos o más clientes o pliegos?
- Sí
- Planifica la certificación
- No
- Mantén el sistema documentado y al día cada mes
Qué es la norma y sus pasos, en ISO 27001 para pymes; qué documentos tiene un sistema de gestión, en qué es un SGSI. Con Talvit documentamos tu sistema de seguridad y reunimos las evidencias cada mes en tu dossier de evidencias: sirve para responder hoy y de base si decides certificarte. Más guías, en Clientes.
Lo que esta guía no cubre
- Cómo implantar la ISO 27001 paso a paso, que es un proyecto aparte y está resumido en la guía de ISO 27001 para pymes.
- Los requisitos de solvencia de un pliego concreto, que fija cada órgano de contratación.
- La comparación detallada entre la ISO 27001 y el nivel 2 de TISAX.
Preguntas frecuentes
¿Puedo decir que «cumplo la ISO 27001» sin estar certificado?
Mejor no. Sin auditoría nadie lo ha comprobado y se lee como si tuvieras el certificado. Di qué controles tienes y enséñalos.
¿Un certificado ISO 27001 cubre toda la empresa?
Cubre el alcance que figura en él, que puede ser una sede, un servicio o un proceso. Si te enseñan uno, mira el alcance; si te piden el tuyo, el cliente lo mirará.
¿La ISO 27001 me sirve para la NIS2?
Ayuda, porque muchas medidas coinciden, pero no la sustituye: la NIS2 no se certifica ni exige una norma concreta. Lo que piden sus medidas se demuestra con pruebas, tengas o no el certificado.
¿Cuánto cuesta certificarse en la ISO 27001?
Depende del alcance y de lo que tengas hecho: suma el trabajo interno o de consultoría y las auditorías de la certificadora, la inicial y las de seguimiento. Pide presupuesto a certificadoras acreditadas.
Fuentes
- Reglamento (UE) 1025/2012, art. 2.1, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21 y 25, consultado el
- IAF MD 26:2023, transición a la ISO/IEC 27001:2022, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, arts. 2.3, 31 y 38, consultado el
- ENX Association, TISAX, consultado el
- Real Decreto 1715/2010, designación de ENAC como organismo nacional de acreditación, consultado el
- INCIBE, Políticas de seguridad para la pyme, consultado el
Registro de cambios
- : Publicación.
