La ISO 27001 tiene fama de ser un mundo de consultoras, carpetas llenas de procedimientos y un coste que asusta. Y en parte hay algo de verdad: mal enfocada, una certificación puede convertirse en un proyecto eterno que genera papeles que nadie lee. Pero bien hecha es otra cosa. Es la forma más reconocida de demostrar, dentro y fuera de España, que tu empresa se toma en serio la seguridad de la información. Y cada vez la piden más en licitaciones y contratos.
Te cuento qué es de verdad, cuánto cuesta, cuánto tarda y cómo abordarla si eres una pyme y no quieres morir en el intento.
Qué es la ISO 27001 (sin la jerga de siempre)
La ISO/IEC 27001 es una norma internacional que define cómo montar un Sistema de Gestión de la Seguridad de la Información, lo que en el sector llamamos SGSI. Detrás de esas siglas hay una idea bastante de sentido común: en lugar de ir poniendo parches sueltos, decides de forma ordenada qué información tienes que proteger, qué riesgos la amenazan y qué medidas vas a aplicar, y luego lo revisas con cierta regularidad para que no se quede obsoleto.
La norma no te dice «instala este antivirus». Te dice «decide, justifica y demuestra». Por eso funciona en una empresa de cinco personas y en una multinacional: el marco es el mismo, lo que cambia es la escala.
Una cosa importante que mucha gente confunde: la 27001 son los requisitos de gestión. El catálogo de controles concretos (gestión de accesos, cifrado, copias, seguridad física, etc.) vive en el Anexo A, desarrollado en la ISO 27002. No tienes que aplicarlos todos a ciegas: aplicas los que tu análisis de riesgos justifique, y explicas por qué dejas fuera el resto en un documento llamado Declaración de Aplicabilidad.
¿Para qué sirve realmente?
En la práctica, las pymes que vienen a certificarse lo hacen por dos motivos, y casi siempre conviven.
El primero es comercial. Hay clientes, sobre todo grandes empresas y administraciones, que ya no contratan a proveedores sin un mínimo de garantías. El sello ISO 27001 te abre puertas que antes ni se planteaban y te ahorra rellenar cuestionarios de seguridad interminables, porque el certificado responde a la mayoría de sus preguntas de golpe.
El segundo es de riesgo real. El proceso te obliga a mirar tu empresa con ojos críticos. Es muy habitual que en el análisis aparezcan cosas que estaban a la vista pero que nadie había parado a ordenar: copias que nunca se habían probado, accesos de gente que ya no trabaja ahí, contraseñas compartidas por un grupo de WhatsApp. La certificación, bien llevada, te deja la casa más segura, no solo con un diploma en la pared.
Cuánto cuesta y cuánto tarda
Aquí no hay un precio único, y desconfía de quien te lo dé sin haber mirado tu empresa. El coste depende del tamaño, del número de sedes, de la complejidad de tus sistemas y de cuánto trabajo interno puedas asumir tú frente a cuánto delegas.
Lo que sí puedo darte son órdenes de magnitud realistas. Para una pyme de entre 50 y 200 empleados, la implantación completa suele llevar entre 5 y 9 meses. En el coste conviene separar dos partidas que la gente mezcla:
- La consultoría e implantación, es decir, el trabajo de montar el SGSI, redactar lo necesario y aplicar los controles. Aquí es donde más varía el presupuesto.
- La auditoría de certificación, que la hace una entidad independiente acreditada por ENAC, no tu consultor. Esto es clave: quien te ayuda a prepararte no puede ser quien te certifica. Son dos actores distintos.
Y no es un gasto de una vez. El certificado tiene un ciclo de tres años, con auditorías de seguimiento anuales para comprobar que sigues manteniendo el sistema. Es un compromiso continuo, no una foto puntual. Lo digo sin rodeos porque hay quien se lleva la sorpresa en el segundo año. Si no tienes a nadie dentro que lo mantenga, un CISO as a Service se ocupa de ese mantenimiento por una cuota mensual.
El proceso, paso a paso
Sin entrar en cada subapartado de la norma, el camino típico es este:
- Análisis de situación (GAP). Vemos dónde estás frente a lo que pide la norma. Casi nadie parte de cero: seguro que ya haces cosas bien.
- Definir el alcance. Qué parte de la empresa entra en el SGSI. Acotar bien el alcance es una de las decisiones que más ahorra dinero, y una de las que más se descuida.
- Análisis de riesgos. El corazón de todo. Identificas activos, amenazas y vulnerabilidades, y decides cómo tratar cada riesgo.
- Aplicar controles y documentar. Pones las medidas que el análisis justifica y dejas constancia razonable. Documentar lo justo, no generar papel por generar.
- Rodaje del sistema. El SGSI tiene que «vivir» unos meses: registros, una auditoría interna y una revisión por dirección. Sin evidencias de que funciona, no hay certificado.
- Auditoría de certificación. La entidad acreditada revisa en dos fases. Si todo encaja, llega el sello.
El punto cinco es donde fallan muchos proyectos con prisa. La certificación no premia tener los papeles perfectos el día de la auditoría; premia poder demostrar que el sistema lleva funcionando un tiempo. Eso no se puede improvisar la semana antes.
ISO 27001 frente al ENS: ¿son lo mismo?
Es la duda que más me plantean, sobre todo en empresas que trabajan con la Administración. No son lo mismo, pero se llevan bien. El Esquema Nacional de Seguridad es obligatorio si prestas servicios al sector público español; la ISO 27001 es un estándar internacional voluntario, aunque cada vez más exigido por el mercado. Comparten buena parte de los controles, así que si te toca cumplir los dos, tiene todo el sentido implantarlos de forma coordinada y aprovechar el trabajo en común en lugar de montar dos proyectos paralelos.
Consejos de quien ha pasado por esto unas cuantas veces
Tres ideas que le repito a cualquier pyme antes de empezar:
No persigas el sello, persigue el sistema. Si montas un SGSI que tiene sentido para tu negocio, el certificado cae solo. Si solo persigues el papel, acabas con un sistema falso que se cae a la primera auditoría de seguimiento.
Acota el alcance con cabeza. No metas toda la empresa porque suene mejor. Empieza por lo que de verdad importa a tus clientes y a tu riesgo, y ya ampliarás.
Implica a dirección desde el día uno. La norma exige el compromiso de la dirección, y no es burocracia: sin alguien que decida y desbloquee, el proyecto se atasca en cuanto haya que priorizar.
Conclusión
La ISO 27001 no es magia ni es solo papeleo. Es una manera ordenada de proteger tu información y de demostrarlo a quien te lo pide. Para una pyme, lo razonable es plantearla con calma, con un alcance bien definido y con la idea de que es un proceso continuo, no un sprint. Bien hecha, te deja una empresa más segura y con una ventaja comercial clara. Mal hecha, te deja una carpeta cara que no usa nadie. La diferencia está casi siempre en el enfoque inicial.
Cómo te ayudamos en CiberPYME
Fuentes oficiales
Los plazos y los rangos de coste de una ISO 27001 en pyme, junto a los de ENS y pentesting, están desglosados con su fuente en nuestra página de precios de ciberseguridad para empresas de Valencia.
