Cada vez más clientes piden a sus proveedores la certificación ISO 27001. Para una pyme puede parecer un proyecto enorme, pero con un buen orden se puede abordar paso a paso. En esta guía te contamos qué es, qué necesitas y por dónde empezar.
Qué es ISO 27001
ISO/IEC 27001 es la norma internacional para los sistemas de gestión de la seguridad de la información (SGSI). La versión vigente es la de 2022: desde noviembre de 2025, los certificados basados en la versión anterior (2013) ya no son válidos.
La norma tiene dos partes:
- Las cláusulas 4 a 10: cómo organizar y gestionar la seguridad (contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora).
- El anexo A: una lista de 93 controles agrupados en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34).
No tienes que aplicar todos los controles: los eliges según tus riesgos y lo justificas en la Declaración de Aplicabilidad.
Qué necesitas para certificarte
Como mínimo, tendrás que demostrar:
- El alcance del sistema: qué parte de la empresa, qué servicios, qué ubicaciones.
- Una política de seguridad aprobada por la dirección.
- El análisis y el tratamiento de riesgos, con criterios definidos.
- La Declaración de Aplicabilidad: qué controles del anexo A aplicas y por qué excluyes los demás. Lo explicamos en La Declaración de Aplicabilidad de ISO 27001, explicada.
- Las políticas y procedimientos que exigen los controles elegidos.
- Formación y concienciación del personal.
- Una auditoría interna y una revisión por la dirección.
- Evidencias: registros que prueban que todo esto funciona en el día a día.
Cómo es la certificación
La certificación la emite una entidad de certificación acreditada (en España, la acreditación la concede ENAC). La auditoría tiene dos fases:
- Fase 1: revisión de la documentación y de la preparación.
- Fase 2: comprobación de que el sistema funciona en la práctica.
El certificado dura tres años, con auditorías de seguimiento anuales.
¿Cuánto tiempo lleva?
Depende del tamaño y del punto de partida. Para una pyme con una sola sede y pocos sistemas, un plazo realista de preparación es de seis a doce meses, sobre todo porque el sistema debe funcionar un tiempo antes de la auditoría para generar evidencias.
Por dónde empezar: cinco primeros pasos
- Consigue el apoyo de la dirección y nombra a un responsable.
- Define el alcance de forma realista. Mejor empezar con un alcance claro y ampliarlo después.
- Haz el inventario de activos (información, sistemas, proveedores, personas).
- Analiza tus riesgos y decide cómo tratarlos. Te lo explicamos en Registro de riesgos de ciberseguridad para pymes, paso a paso.
- Redacta las políticas básicas y empieza a guardar evidencias desde el primer día.
Si además te afecta NIS2
ISO 27001 y NIS2 comparten gran parte del trabajo: análisis de riesgos, políticas, gestión de incidentes, continuidad, proveedores, formación y control de accesos. Organizar tus controles una sola vez para los dos marcos te ahorra mucho esfuerzo. ¿No sabes si NIS2 te afecta? Usa nuestra comprobación gratuita de NIS2.
Cómo te ayuda CloudSignLab
CloudSignLab incluye una biblioteca de controles alineada con ISO 27001 y NIS2, la Declaración de Aplicabilidad, el registro de riesgos, las políticas con confirmación de lectura, las auditorías internas y un kit para preparar la certificación, con todas las evidencias en un solo sitio. Puedes crear una cuenta gratuita y ver tu nivel de preparación hoy mismo.
Este artículo es informativo. Los requisitos exactos están en la norma ISO/IEC 27001:2022, y la certificación solo la puede emitir una entidad acreditada.
