Cada vez más contratos exigen que el proveedor esté certificado en ISO 27001: los de las administraciones públicas, los de los grandes clientes que trasladan a su cadena de suministro las obligaciones de ciberseguridad y los de cualquier organización que trate datos de terceros. En CEDESA pasamos por ese proceso y mantenemos la certificación junto con el ENS, la ISO 9001 y la ISO 56001, así que conocemos el camino desde dentro. Esta guía explica, paso a paso, cómo implantar la norma en una empresa española: qué exige, cuánto trabajo real supone, cómo se certifica y cómo encaja con el Esquema Nacional de Seguridad. Si lo que buscas es entender qué garantiza el certificado de un proveedor ajeno, tenemos otra guía sobre qué certifica la ISO 27001 en un proveedor de software.
Qué es la ISO/IEC 27001 y qué exige
La ISO/IEC 27001 es la norma internacional que especifica los requisitos de un Sistema de Gestión de la Seguridad de la Información (SGSI): el conjunto de políticas, procesos, roles y controles con los que una organización protege la confidencialidad, la integridad y la disponibilidad de su información. La versión vigente es la de 2022; el periodo de transición desde la versión de 2013 terminó el 31 de octubre de 2025, así que hoy toda certificación se emite y se audita contra la norma de 2022.
La norma tiene dos partes:
- Los requisitos del sistema de gestión (cláusulas 4 a 10): contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Son obligatorios y no se pueden excluir.
- El Anexo A, con 93 controles de referencia agrupados en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). No es obligatorio implantarlos todos: la organización decide cuáles aplican a partir de su análisis de riesgos y lo justifica en la declaración de aplicabilidad. La norma ISO/IEC 27002 explica cómo implantar cada control.
La idea de fondo es que la seguridad se gestiona como cualquier otro proceso de negocio: se identifican riesgos, se decide qué hacer con ellos, se implantan controles, se mide si funcionan y se mejora. El certificado acredita que ese ciclo existe y funciona, no que la empresa sea invulnerable.
Quién la necesita en España
No es obligatoria por ley, pero en la práctica la exigen:
- Las administraciones públicas, en muchos pliegos, como criterio de solvencia técnica o como requisito del adjudicatario, con frecuencia junto con el ENS. Lo explicamos en la guía sobre cómo preparar un pliego técnico de software con ENS.
- Los grandes clientes, que trasladan a sus proveedores los requisitos de seguridad de su propia cadena de suministro; la Directiva NIS2 (UE 2022/2555) refuerza esa tendencia en los sectores esenciales e importantes.
- Las empresas que tratan datos personales de terceros: un SGSI certificado es una forma reconocida de acreditar las medidas técnicas y organizativas que exige el artículo 32 del RGPD.
- Las empresas de software y servicios en la nube, para las que la certificación se ha convertido en un requisito comercial básico.
Implantación paso a paso
Paso 1. Definir el alcance y el contexto
El alcance delimita qué parte de la organización, qué procesos, qué sedes y qué sistemas cubre el SGSI. Un alcance demasiado estrecho produce un certificado que no sirve para los contratos que se quieren ganar; uno demasiado amplio multiplica el trabajo. Conviene alinearlo con lo que los clientes van a pedir: en CEDESA el alcance cubre todos los sistemas que desarrollamos y los datos de nuestros clientes, porque es lo que las administraciones y las empresas contratantes quieren ver. En esta fase se identifican también las partes interesadas (clientes, reguladores, empleados, proveedores) y los requisitos legales y contractuales aplicables.
Paso 2. Compromiso de la dirección y política de seguridad
La norma exige que la alta dirección lidere el sistema: apruebe la política de seguridad de la información, asigne roles y responsabilidades y dote de recursos. Sin este compromiso el proyecto se convierte en un ejercicio documental del departamento de sistemas y no supera la auditoría de certificación, que entrevista a la dirección.
Paso 3. Inventario de activos y análisis de riesgos
Se inventarían los activos de información (sistemas, datos, personas, instalaciones, proveedores) y se define una metodología de análisis de riesgos: identificar amenazas y vulnerabilidades, valorar probabilidad e impacto y fijar criterios de aceptación. En España es habitual apoyarse en la metodología MAGERIT, que además facilita el diálogo con el ENS. El resultado es un registro de riesgos priorizado y un plan de tratamiento: qué riesgos se mitigan con controles, cuáles se transfieren, cuáles se evitan y cuáles se aceptan.
Paso 4. Declaración de aplicabilidad y plan de tratamiento
La declaración de aplicabilidad recorre los 93 controles del Anexo A e indica, para cada uno, si aplica, por qué y cómo se implanta, o por qué se excluye. Es el documento que el auditor usará como mapa. El plan de tratamiento de riesgos fija responsables, plazos y recursos para implantar los controles que faltan.
Paso 5. Implantar los controles y la documentación
Es la fase más larga. Incluye controles organizativos (políticas, gestión de proveedores, clasificación de la información, gestión de incidentes, continuidad), de personas (contratación, concienciación, acuerdos de confidencialidad, proceso disciplinario), físicos (perímetros, control de acceso, protección de equipos) y tecnológicos (gestión de identidades y privilegios, cifrado, copias de seguridad, registro de eventos, gestión de vulnerabilidades, desarrollo seguro, seguridad en la nube). La documentación debe ser la necesaria para que el sistema funcione, no un archivador para el auditor; la norma exige información documentada concreta, pero no un volumen determinado.
Paso 6. Formación y concienciación
Todo el personal incluido en el alcance debe conocer la política, sus responsabilidades y cómo actuar ante un incidente. La auditoría lo comprueba entrevistando a empleados de distintos niveles, no solo al responsable de seguridad.
Paso 7. Medir, auditar internamente y revisar por la dirección
Antes de la certificación hay que haber cerrado al menos un ciclo completo: indicadores definidos y medidos, una auditoría interna realizada por alguien independiente del área auditada y una revisión por la dirección con sus decisiones registradas. Las no conformidades detectadas se tratan con acciones correctivas documentadas. Sin evidencias de este ciclo, la auditoría de certificación no puede concluir que el sistema está en funcionamiento.
Paso 8. Certificación
La certificación la emite una entidad de certificación acreditada; en España, la acreditación la otorga ENAC, y conviene comprobar que la entidad elegida está acreditada específicamente para ISO/IEC 27001. El proceso tiene dos fases: la auditoría de fase 1 revisa la documentación y la preparación; la de fase 2 verifica en la práctica que los controles están implantados y funcionan. Si hay no conformidades mayores, hay que cerrarlas antes de recibir el certificado. El certificado tiene una validez de tres años, con auditorías de seguimiento anuales y una auditoría de renovación al final del ciclo.
ISO 27001 y ENS: cómo se relacionan
En España la pregunta aparece en todos los proyectos con la Administración: ¿basta con la ISO 27001 o hace falta también el ENS? Son cosas distintas y complementarias:
- La ISO 27001 es una norma internacional voluntaria que certifica un sistema de gestión. Fija el método, no las medidas concretas: cada organización elige sus controles a partir de sus riesgos.
- El Esquema Nacional de Seguridad (Real Decreto 311/2022) es una norma jurídica española obligatoria para los sistemas de información de las administraciones públicas y de los proveedores que les prestan servicios. Fija un catálogo de medidas concretas según la categoría del sistema (básica, media o alta) y se certifica por entidades acreditadas, con supervisión del Centro Criptológico Nacional.
Un SGSI bien construido facilita mucho la conformidad con el ENS, porque el análisis de riesgos, la gestión de incidentes, la gestión de proveedores y buena parte de los controles tecnológicos son comunes; el CCN publica guías de correspondencia entre ambos marcos. Pero un certificado no sustituye al otro: para contratar con la Administración hace falta el ENS, y la ISO 27001 se pide además como acreditación de madurez. En CEDESA mantenemos las dos certificaciones, junto con la ISO 9001 y la ISO 56001, y explicamos qué cambia según el tamaño del proveedor en la comparativa sobre gran integradora o empresa mediana.
Errores frecuentes en la implantación
- Comprar un paquete de plantillas y rellenarlas. El auditor detecta en la primera entrevista que las políticas no se aplican. La documentación debe describir lo que la empresa hace de verdad.
- Delegarlo todo en sistemas. La ISO 27001 es un sistema de gestión de toda la organización; RRHH, compras, dirección y operaciones tienen controles propios.
- Un análisis de riesgos que no dirige nada. Si la declaración de aplicabilidad no se deduce del análisis de riesgos, el sistema no es coherente y el auditor lo señalará.
- Elegir mal el alcance. Certificar solo un sistema secundario para tener el sello acaba en contratos que exigen un alcance que la empresa no tiene.
- Llegar a la certificación sin un ciclo cerrado. Sin auditoría interna y revisión por la dirección con evidencias no hay certificado.
- Olvidar el mantenimiento. Las auditorías de seguimiento anuales exigen que el sistema siga vivo: indicadores actualizados, riesgos revisados, incidentes gestionados.
Preguntas frecuentes sobre la implantación de la ISO 27001
¿Cuánto tiempo lleva implantar la ISO 27001?
Depende del tamaño de la organización, del alcance y de la madurez de partida. Una empresa pequeña con procesos ya ordenados puede completar la implantación y certificarse en menos de un año; una organización compleja o que parte de cero necesita más. Lo que no se puede acortar es el ciclo mínimo de funcionamiento antes de la auditoría: indicadores medidos, auditoría interna y revisión por la dirección.
¿Es obligatorio implantar los 93 controles del Anexo A?
No. Los controles del Anexo A son de referencia. La organización decide cuáles aplican a partir de su análisis de riesgos y justifica en la declaración de aplicabilidad tanto los incluidos como los excluidos. Lo que sí es obligatorio son los requisitos de las cláusulas 4 a 10 de la norma.
¿Sirve la ISO 27001 para contratar con la Administración pública española?
Ayuda y con frecuencia se exige, pero no sustituye al Esquema Nacional de Seguridad, que es obligatorio para los proveedores de sistemas de información de las administraciones según el Real Decreto 311/2022. Lo habitual en los pliegos es pedir el ENS y valorar además la ISO 27001.
¿Quién puede certificar la ISO 27001 en España?
Cualquier entidad de certificación acreditada para esa norma. En España la acreditación la concede ENAC; también se aceptan entidades acreditadas por organismos de otros países firmantes de los acuerdos de reconocimiento internacional. Conviene comprobar en el registro del acreditador que la entidad está acreditada específicamente para ISO/IEC 27001.
¿Qué diferencia hay entre la ISO 27001 de 2013 y la de 2022?
La versión de 2022 reorganizó el Anexo A: pasó de 114 controles en 14 dominios a 93 controles en 4 temas, incorporó controles nuevos sobre inteligencia de amenazas, seguridad en la nube, continuidad de las TIC, filtrado web, codificación segura y otros, y ajustó ligeramente las cláusulas del sistema de gestión. Desde el 31 de octubre de 2025 solo tiene validez la certificación contra la versión de 2022.
Conclusión
Implantar la ISO 27001 en una empresa española es un proyecto de organización antes que de tecnología: definir bien el alcance, analizar los riesgos, elegir y justificar los controles, formar al personal y cerrar un ciclo completo de medición y mejora antes de la auditoría. Para quien trabaja con la Administración, el camino natural es construir el SGSI de forma que sirva también para el ENS. Si necesitas un proveedor de software que ya haya recorrido ese camino y desarrolle con la seguridad integrada desde el diseño, en CEDESA estaremos encantados de ayudarte; escríbenos desde nuestra página de contacto.