¿Qué es la ISO 27001?
La ISO 27001 es la norma internacional que define cómo montar y mantener un sistema de gestión de la seguridad de la información, y la única de su familia que se puede certificar. Traducido: es el papel que un cliente, un banco o una Administración piden para comprobar que una empresa protege la información que le confían — sin tener que fiarse de su palabra.
En una frase
La ISO 27001 es una norma de requisitos auditables que obliga a identificar qué información es crítica para una organización, qué puede salir mal con ella y qué controles se implantan para evitarlo — y a demostrarlo con evidencias ante un auditor independiente cada año.
Lo que se certifica no es un producto ni un servidor: es el sistema de gestión. Por eso dos empresas del mismo sector pueden tener las dos el certificado con controles muy distintos.
Lo que la ISO 27001 no es
Cuatro confusiones que aparecen en casi todas las primeras llamadas:
No es una ley
Ninguna norma española obliga con carácter general a tener la ISO 27001. Es voluntaria — lo que ocurre es que el mercado la exige por contrato, que en la práctica aprieta igual o más que una ley.
No es un software
No se instala ni se compra en una licencia. Hay herramientas que ayudan a gestionar el sistema, pero ninguna certifica: lo que se audita son decisiones, procesos y evidencias de la organización.
No es el RGPD
El RGPD es una obligación legal sobre datos personales. La ISO 27001 cubre toda la información crítica, sean datos personales o no. Se apoyan, pero cumplir una no cumple la otra.
No se compra, se audita
El certificado lo emite una entidad acreditada tras auditar el sistema, nunca la consultora que lo implanta. Quien ofrece las dos cosas está vendiendo un papel que no resiste una verificación.
Las cinco palabras que van a aparecer
Con esto se entiende cualquier presupuesto de ISO 27001 que llegue a la mesa:
| Término | Qué es, en cristiano |
|---|---|
| SGSI | Sistema de Gestión de la Seguridad de la Información. El conjunto de políticas, procesos, responsables y registros que se certifica. Es el objeto de la auditoría. |
| Alcance | Qué servicios, sedes y sistemas entran en el certificado. Definirlo mirando a los contratos que se quieren ganar es media implantación — y un alcance que no cubra el servicio que se vende deja el certificado sin valor comercial. |
| Anexo A | El catálogo de 93 controles de seguridad de la versión 2022, agrupados en cuatro bloques: organizativos, de personas, físicos y tecnológicos. |
| Declaración de aplicabilidad | El documento que justifica cuáles de esos 93 controles aplican y cuáles no, con su razón. De lo primero que revisa un auditor. |
| No conformidad | Lo que el auditor encuentra que no cumple. Las menores se corrigen con un plan de acción; las mayores bloquean la emisión del certificado hasta subsanarse. |
Nadie busca esto por curiosidad
La ISO 27001 casi siempre llega empujada desde fuera. Estas son las cuatro puertas de entrada:
Un cuestionario de seguridad de un cliente
La vía más común en tecnología y servicios. Una gran cuenta manda su formulario de homologación y la primera pregunta es si hay certificado y con qué alcance. Sin él, el proceso se detiene ahí.
Un pliego o una licitación
Aparece como criterio de solvencia técnica o como requisito de acceso. Si además el cliente es una Administración, lo que hará falta es el Esquema Nacional de Seguridad, que es otra cosa.
La cadena de un sector regulado
Bancos, aseguradoras y sus proveedores tecnológicos arrastran las exigencias de DORA hacia abajo. El proveedor que no puede demostrar su seguridad se queda fuera del contrato.
Un incidente, propio o de la competencia
El detonante menos elegante y uno de los más frecuentes. Después de un susto, la dirección quiere algo verificable, no una declaración de intenciones.
ISO 27001, ENS, NIS2, DORA y RGPD: cuál es cuál
Son cinco cosas distintas y se mezclan constantemente. La diferencia que importa es si obliga la ley o el mercado, y si se certifica o se cumple:
| Marco | Qué es | ¿Quién obliga? | ¿Se certifica? |
|---|---|---|---|
| ISO 27001 | Norma internacional de sistemas de gestión de la seguridad de la información. | El mercado: clientes y homologaciones. | Sí, con entidad acreditada. |
| ENS | Marco español de seguridad para el sector público y quien le presta servicios. | La ley: Real Decreto 311/2022. | Sí, por esquema propio y en tres categorías. |
| NIS2 | Directiva europea de ciberseguridad para sectores esenciales e importantes. | La ley europea; en España, todavía sin ley de transposición. | No como certificado: se cumple y se demuestra. |
| DORA | Reglamento europeo de resiliencia operativa digital del sector financiero y sus proveedores TIC. | La ley: aplica desde enero de 2025. | No: se cumple, normalmente sobre un sistema ya certificado. |
| RGPD | Reglamento europeo de protección de datos personales. | La ley: aplicable desde 2018. | No como ISO: es cumplimiento directo. |
| ISO 9001 | Norma de gestión de la calidad. Se cita aquí porque comparte estructura y se suele integrar. | El mercado: pliegos y homologaciones. | Sí, con entidad acreditada. |
La lectura práctica: la ISO 27001 es la pieza que más se reutiliza. Un sistema bien montado sirve de base para responder a NIS2 y DORA sin construirlo todo otra vez, y buena parte de su trabajo se aprovecha en el ENS.
Cinco señales de que va a hacer falta
Con dos que se cumplan, la conversación deja de ser teórica:
- 1
Algún cliente ha enviado un cuestionario de seguridad en los últimos doce meses.
- 2
La empresa trata datos o sistemas de terceros: software, alojamiento, soporte, tratamiento de información por cuenta ajena.
- 3
Se vende, o se quiere vender, a grandes cuentas, banca o sector público.
- 4
Se ha perdido —o aplazado— alguna operación por no poder acreditar seguridad.
- 5
El sector está entrando en el perímetro de NIS2 o de DORA, directamente o como proveedor.
Qué versión está en vigor hoy
Esa confusión se ha disparado desde que se publicó la nueva edición de la norma de calidad. Los plazos reales de esa otra transición están en la guía de la ISO 9001:2026.
El certificado no protege: protege el sistema que hay detrás
La ISO 27001 se compra casi siempre para desbloquear un contrato, y eso es legítimo. El problema empieza cuando el objetivo es solo el papel: un sistema montado para pasar la auditoría y no para usarse se cae en la primera vigilancia, y mientras tanto ha dado a la dirección una sensación de seguridad que no se corresponde con nada.
Nuestra posición: implantarla cuando hay un comprador que la exige o se ve venir, con un alcance que cubra de verdad el servicio que se vende, y construida sobre cómo trabaja la empresa y no sobre una plantilla de otro sector. Esa versión cuesta parecido a la mala y es la única que sirve dos veces — ante el auditor y el día que pasa algo.
Madruga Consulting
Qué exige la norma cláusula a cláusula y cómo es el camino hasta el certificado, en la certificación ISO 27001. El método completo, en el proceso de certificación, y por qué un certificado vale y otro no, en la cadena de acreditación.
La ISO 27001, sin rodeos
¿Qué significan exactamente las siglas ISO/IEC 27001?
La publican conjuntamente dos organismos internacionales de normalización, ISO e IEC, y de ahí que se escriba indistintamente ISO 27001 o ISO/IEC 27001: son la misma norma. El 27001 es su número dentro de la familia 27000, dedicada a la seguridad de la información.
¿Es lo mismo la ISO 27001 que el Esquema Nacional de Seguridad?
No, y confundirlas sale caro. El ENS es una obligación legal española, fijada por el Real Decreto 311/2022, que alcanza al sector público y a sus proveedores. La ISO 27001 es una norma internacional voluntaria que se certifica ante clientes privados. Comparten buena parte de los controles, pero una no sustituye a la otra: quien vende a las dos partes acaba necesitando ambas.
¿Qué es la declaración de aplicabilidad?
El documento que recorre los 93 controles del Anexo A y justifica, uno a uno, cuáles se aplican y cuáles no, con el motivo. Es de los primeros papeles que pide un auditor y el que mejor delata si un sistema se ha implantado de verdad o se ha copiado de una plantilla.
¿Puede certificarse una empresa pequeña o es solo para grandes?
Puede, y es más habitual de lo que parece: la norma exige un sistema proporcional al tamaño y al riesgo real de la organización, no un departamento de seguridad. Lo que decide el esfuerzo no es la plantilla, es el alcance que se certifica y la madurez de partida.
¿Sirve la ISO 27001 para cumplir NIS2 o DORA?
No las sustituye —son obligaciones legales y la norma es voluntaria— pero es el vehículo más eficiente para demostrarlas. Buena parte de lo que exigen esos marcos ya está construido en un sistema de gestión certificado, de modo que quien parte de una ISO 27001 llega con la mayoría del trabajo hecho.
¿Cuánto cuesta y cuánto se tarda en certificarse?
Depende del alcance, del número de sedes y de lo que ya esté montado, y cualquier cifra dada sin ver el caso concreto es publicidad. Dos cosas sí se pueden afirmar: las tasas de la entidad de certificación van aparte del trabajo de consultoría, y el certificado tiene mantenimiento anual. Ambas se cierran por escrito en el diagnóstico, antes de empezar. Qué mueve el precio, factor a factor, está en la certificación ISO 27001.
¿Es lo mismo la ISO 27000 que la ISO 27001?
No. La ISO/IEC 27000 es la norma de la familia que da la visión general y el vocabulario: define los términos, pero no contiene requisitos que se puedan auditar. La que se certifica es la 27001. Las demás de la serie —como la 27002, que desarrolla los controles— sirven de guía. Si alguien te ofrece «la certificación ISO 27000», en realidad te está hablando de la 27001.
Cuéntanos el caso y te decimos si te aplica
Sin compromiso y sin argumentario de venta. Si no hace falta certificarse, también se dice.
¿Prefieres hablarlo?
Responde un consultor, no un comercial.
Madrid · Sevilla · Marbella · toda España en remoto