Cómo obtener la certificación ISO 27001
Por Paul Gillet · Actualizado 2026-10-17
ISO/IEC 27001 es la norma internacional para un sistema de gestión de seguridad de la información (SGSI): la forma en que una organización decide qué riesgos de seguridad importan, los trata y mejora continuamente. A diferencia de SOC 2, culmina en un certificado, emitido por un organismo de certificación acreditado y válido durante tres años, con auditorías de vigilancia intermedias.
Lo que exige la norma
- Las cláusulas 4–10 son obligatorias: contexto y alcance (4), liderazgo y política (5), evaluación de riesgos, tratamiento de riesgos y objetivos (6), recursos, competencia, concienciación, comunicación e información documentada (7), operación del plan (8), seguimiento, auditoría interna y revisión por la dirección (9), y acciones correctivas y mejora (10).
- El Anexo A recoge 93 controles en cuatro temas: organizativos, de personas, físicos y tecnológicos. Son un conjunto de referencia, no una lista de verificación: usted elige los controles mediante el tratamiento de riesgos y justifica cada inclusión y exclusión en la Declaración de Aplicabilidad (SoA).
La edición vigente es ISO/IEC 27001:2022 (con una enmienda de 2024 que añade el cambio climático a las cláusulas de contexto). La transición desde la edición de 2013 finalizó el 31 de octubre de 2025, por lo que todo certificado válido corresponde ahora a la edición de 2022.
Los pasos
- Definir el alcance (4.3): qué partes de la organización, qué ubicaciones y qué servicios. Los clientes leen el alcance en su certificado, así que asegúrese de que cubra lo que contratan.
- Obtener el compromiso de la dirección (5): una política de seguridad de la información, funciones y responsabilidades asignadas, y recursos.
- Definir un método de evaluación de riesgos y aplicarlo (6.1.2): identificar los riesgos para la confidencialidad, la integridad y la disponibilidad, con responsables, probabilidad e impacto.
- Tratar los riesgos (6.1.3): elegir controles, compararlos con el Anexo A, y redactar la SoA y un plan de tratamiento de riesgos aprobado por los responsables de los riesgos.
- Establecer objetivos de seguridad medibles (6.2) y planificar cómo alcanzarlos.
- Implantar y operar (7–8): políticas, procedimientos, formación y concienciación, controles, y las evidencias documentadas de que funcionan.
- Medir y revisar (9): supervisar el SGSI, realizar una auditoría interna a cargo de alguien independiente del trabajo auditado, y celebrar una revisión por la dirección.
- Corregir lo que detecte (10): registrar las no conformidades y las acciones correctivas.
- Auditoría de la Etapa 1: el organismo de certificación revisa su documentación y su grado de preparación.
- Auditoría de la Etapa 2: el organismo de certificación comprueba si el SGSI funciona en la práctica. Las no conformidades mayores deben cerrarse antes de emitir el certificado.
Elegir un organismo de certificación
Utilice un organismo acreditado para ISO/IEC 27001 por un organismo nacional de acreditación que pertenezca al International Accreditation Forum (por ejemplo, UKAS, ANAB, DAkkS o JAS-ANZ), y compruebe que su acreditación cubre su alcance. Los certificados de organismos no acreditados son más baratos, pero los clientes suelen rechazarlos.
Calendario habitual
Muchas pequeñas y medianas organizaciones tardan entre seis y doce meses desde el inicio hasta el certificado. El SGSI necesita funcionar el tiempo suficiente para generar registros reales antes de la Etapa 2: al menos una auditoría interna, una revisión por la dirección y evidencias de que los controles funcionan. Tras la certificación, cabe esperar auditorías de vigilancia en los años uno y dos, y una auditoría de recertificación en el año tres.
Evidencias que buscan los auditores
- el alcance, la política de seguridad y los objetivos, con sus mediciones;
- el método de evaluación de riesgos, el registro de riesgos y el plan de tratamiento de riesgos;
- la Declaración de Aplicabilidad, con sus justificaciones;
- registros de competencia y formación;
- informes de auditoría interna y actas de la revisión por la dirección;
- registros de no conformidades y acciones correctivas;
- registros operativos de los controles seleccionados: revisiones de accesos, registros de cambios, evaluaciones de proveedores, registros de incidentes, copias de seguridad.
Errores que suelen pasar desapercibidos
- Evaluaciones de riesgos genéricas: los auditores preguntan cómo se identificaron sus riesgos y por qué se eligió cada control. Una lista genérica sin responsables no supera esa prueba.
- Exclusiones injustificadas en la SoA: excluir un control requiere un motivo vinculado a sus riesgos o a su alcance.
- Independencia de la auditoría interna: quien diseñó el SGSI no debería auditar su propio trabajo.
- Un alcance demasiado estrecho para ser útil: un certificado que cubre una sola oficina no satisfará a un cliente que contrate su servicio en la nube.
Cómo le ayuda este sitio
ControlMapping enumera cada control del Anexo A y cada cláusula del SGSI con sus equivalentes en otros diez marcos. Los vínculos del Anexo A con NIST CSF 2.0 y SP 800-53 proceden de correspondencias publicadas; el texto de los controles es propiedad de ISO, por lo que solo mostramos los títulos. Si ya sigue SOC 2, NIST o NIS2, la tabla siguiente y el análisis de brechas muestran qué se aprovecha. La gestión de las cláusulas 4–10 suele ser la parte nueva de mayor envergadura.
¿Ya tiene otro marco?
Cuántos requisitos de ISO 27001 corresponden a cada marco que quizá ya cumple. Abra un informe de brechas para ver la lista requisito por requisito.
| Si ya tienes | requisitos de ISO 27001 asignados | Solo relación tangencial | Sin correspondencia | |
|---|---|---|---|---|
| 800-53 | 121 de 123 | 1 | 1 | informe de brechas → · comparación |
| NIS2 | 104 de 123 | 13 | 6 | informe de brechas → · comparación |
| SOC 2 | 98 de 123 | 21 | 4 | informe de brechas → · comparación |
| NIST CSF 2.0 | 79 de 123 | 34 | 10 | informe de brechas → · comparación |
| PCI DSS | 76 de 123 | 37 | 10 | informe de brechas → · comparación |
| DORA | 70 de 123 | 36 | 17 | informe de brechas → |
| CMMC | 65 de 123 | 41 | 17 | informe de brechas → |
| HIPAA | 58 de 123 | 46 | 19 | informe de brechas → · comparación |
| CIS v8.1 | 53 de 123 | 38 | 32 | informe de brechas → · comparación |
| GDPR | 47 de 123 | 47 | 29 | informe de brechas → · comparación |
| CPS 234 | 35 de 123 | 40 | 48 | informe de brechas → |
| Essential Eight | 23 de 123 | 39 | 61 | informe de brechas → · comparación |
| Cyber Essentials | 20 de 123 | 19 | 84 | informe de brechas → |
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Los recuentos proceden de los mismos datos que análisis de brechas; una correspondencia significa requisitos relacionados, no prueba de que uno satisfaga al otro.
Preguntas
¿Cuánto tiempo es válido un certificado ISO 27001?
Tres años, siempre que se superen las auditorías de vigilancia anuales. Antes de que expire debe realizarse una auditoría de recertificación.
¿Tenemos que implantar los 93 controles del Anexo A?
No. Usted elige los controles mediante el tratamiento de riesgos y justifica cada inclusión y exclusión en la Declaración de Aplicabilidad.
¿Es mejor ISO 27001 o SOC 2?
Ninguno es mejor; los clientes piden cosas distintas. ISO 27001 es un certificado reconocido internacionalmente; SOC 2 es un informe de atestación de estilo estadounidense. Consulte ISO 27001 frente a SOC 2.
No es asesoramiento legal ni de cumplimiento. Consulte el texto oficial y a su auditor, evaluador o regulador antes de basarse en él.