Certificación ISO 27001 para pymes: del gap analysis al certificado

Con tres meses y partiendo de cero, a la certificación no se llega, y quien te diga lo contrario te va a dejar a mitad de camino con la factura pagada. La norma exige evidencias de que el sistema funciona, no solo de que existe: hace falta un ciclo de registros, una auditoría interna hecha y una revisión por la dirección antes de que la entidad certificadora pueda auditar la fase 2. Lo que sí se puede hacer en tres meses es llegar a esa conversación con algo defendible: el alcance definido, el análisis de riesgos terminado, la declaración de aplicabilidad aprobada y un plan con fechas firmado por dirección. En nuestra experiencia, un cliente que exige la certificación acepta casi siempre un compromiso documentado con calendario si ve que el trabajo ya está en marcha. Lo que no acepta nadie es un correo diciendo que estáis en ello.

Puedes, y en una pyme casi siempre es lo inteligente. El alcance del SGSI lo define la organización y puede limitarse a un servicio, a una plataforma o a una sede, siempre que las interfaces y dependencias con el resto estén identificadas y tratadas. Ojo con las dos trampas. La primera es acotar tanto que el certificado no cubra lo que tu cliente quería ver certificado: el alcance aparece impreso en el certificado y el departamento de compras lo lee. La segunda es acotar mal y dejar fuera un sistema del que el alcance depende, porque el auditor lo va a arrastrar hacia dentro igualmente. Por eso el alcance se decide mirando dos cosas a la vez: qué te están pidiendo por escrito y qué infraestructura sostiene realmente ese servicio.

No. El calendario de transición que fijó el IAF cerró el 31 de octubre de 2025: a partir de esa fecha los certificados emitidos bajo ISO/IEC 27001:2013 dejaron de ser válidos. Si tu empresa aún lo exhibe, hoy está presentándose con un certificado retirado, con el riesgo reputacional y contractual que eso implica si un cliente lo verifica. Y el matiz importante: quien no migró dentro del plazo no puede hacer una simple transición, tiene que pasar por un proceso de certificación completo bajo la versión 2022. La parte buena es que el trabajo previo no se pierde: el análisis de riesgos, los procedimientos y buena parte de los controles siguen valiendo, y lo que hay que hacer es reorganizarlos a la estructura nueva de cuatro temas e incorporar los once controles que la versión 2022 añadió.

Lo es cuando se hace mal, y hay mucha ISO 27001 mal hecha que le da la razón a esa sospecha. Un SGSI comprado como plantilla, con un análisis de riesgos genérico y unos procedimientos que nadie ha leído, no protege de nada: solo produce una carpeta que se actualiza el mes antes de la auditoría. La diferencia está en si los controles se implantan de verdad y se verifican. Cuando el análisis de riesgos parte de tus activos reales, cuando los controles tecnológicos se comprueban con pruebas técnicas y no con una casilla, y cuando la gestión de incidentes se ensaya antes de necesitarla, el sistema sí cambia cómo funciona la empresa. Nosotros trabajamos así por una razón práctica además de por convicción: el auditor también distingue las dos cosas.

Que es lo normal y no significa que hayas suspendido. Las no conformidades se clasifican por gravedad: una menor es un incumplimiento puntual que no compromete el sistema y se cierra con un plan de acción correctiva dentro del plazo que fije la entidad certificadora; una mayor sí compromete la capacidad del SGSI para funcionar y hay que resolverla y acreditarla antes de que se emita el certificado, a veces con una visita adicional. Lo que separa un proyecto bien llevado de uno improvisado no es llegar sin hallazgos, es no llegar con hallazgos mayores. Para eso está la auditoría interna previa: la hacemos con el mismo criterio con el que audita la entidad certificadora, precisamente para que las sorpresas aparezcan cuando todavía no cuentan.

Bastante menos que implantarlo, pero no cero, y conviene presupuestarlo desde el principio. El certificado dura tres años y en ese periodo hay auditorías de seguimiento anuales y una de renovación al final del ciclo, cada una con su coste por parte de la entidad certificadora. Por tu lado, el mantenimiento consiste en seguir generando los registros, revisar el análisis de riesgos cuando cambia algo relevante, hacer la auditoría interna anual y celebrar la revisión por la dirección. En una pyme eso son unas pocas jornadas al año si el sistema se diseñó para ser mantenible, y un proyecto entero otra vez si se diseñó para pasar una auditoría concreta y luego se abandonó.

Sí, puedes hacerlo en una auditoría integrada si tu certificadora está acreditada para la ISO 27001, pero la 27001 no es una ampliación de la 9001: necesita su propio sistema de seguridad funcionando antes de la auditoría inicial. Lo que se comparte, y ahí está el ahorro, es la estructura común: contexto, partes interesadas, control documental, auditoría interna, revisión por la dirección y acciones correctivas. Con un sistema realmente integrado, además, la certificadora puede reducir jornadas de auditoría. El calendario te ayuda: la ISO 14001:2026 se publicó en abril y la ISO 9001:2026 el 16 de septiembre, con transición hasta 2029, así que puedes encajar la transición de ambas con la certificación de la 27001 en la misma visita. El error típico es dar por hecho que tu certificadora de calidad también hace 27001: comprueba en ENAC que la tiene en su alcance antes de firmar. Cuenta con 4 a 8 meses para la 27001 y, antes de empezar, pregunta a tu cliente de automoción si de verdad quiere la 27001 o acabará pidiéndote TISAX.

Sí, el auditor puede revisar esos contratos, porque la ISO 27001 te obliga a identificar y cumplir los requisitos contractuales de seguridad (control 5.31); pero una brecha detectada y gestionada no es una no conformidad, lo es esconderla. Ningún auditor espera que llegues perfecto: espera que hayas identificado qué exigen tus NDA (cifrado, borrado, plazos, ubicación de los datos), que esté en tu análisis de riesgos y que tengas un plan con fechas y responsables para cerrar lo que falta. Lo que sí acaba en no conformidad es que en la muestra aparezca un NDA que exige cifrado y tu sistema no lo mencione en ningún sitio. Mi consejo: haz un inventario de NDA activos y extrae los requisitos en una tabla de una página. Casi siempre se repiten los mismos cinco o seis, y se resuelven con cifrado de portátiles y del servidor de ficheros, un procedimiento de borrado con evidencia y control de quién descarga los modelos 3D. El auditor firma confidencialidad: lo que vea no llega a tus clientes. Mejor que el incumplimiento lo descubras tú que tu cliente.

No, tener máquinas con Windows 7 no te impide certificar la ISO 27001 ni te obliga a cambiarlas: la norma no exige tecnología actual, exige que conozcas el riesgo y lo trates. Windows 7 no recibe parches desde enero de 2020 (enero de 2023 con soporte extendido de pago), así que el auditor querrá ver que lo has identificado y qué has hecho. Lo que funciona en planta sin tocar la máquina: aislarla en su propia red sin salida a Internet, con un cortafuegos que solo deje pasar lo imprescindible; bloquear los USB o pasar los programas por un puesto de descontaminación; acceso del fabricante solo desde un equipo de salto, con doble factor y supervisado; y copia de los programas CNC y de la configuración. El riesgo residual lo acepta formalmente su dueño, con fecha de revisión, y eso es perfectamente auditable. El incidente típico en planta no entra por Internet: entra por el pendrive del técnico de mantenimiento conectado al PC de control. Si la planta no aporta nada al servicio que te pide el cliente, puedes dejarla fuera del alcance, aunque cada vez más clientes industriales la quieren dentro.

No. Lo que da valor a un certificado ISO 27001 es que lo emita una entidad acreditada por ENAC o por otro organismo de acreditación reconocido internacionalmente. ENAC lo explica así: un certificado sin marca de acreditación se considera, a todos los efectos, no acreditado, y muchos departamentos de compras y licitaciones lo rechazan. El certificado barato y rápido suele venir de entidades sin acreditación, y acabas pagando dos veces cuando tu cliente lo rechaza. Antes de contratar, comprueba en la web de ENAC o en IAF CertSearch que la entidad tiene la ISO/IEC 27001 en su alcance acreditado, y exige que el certificado lleve la marca de acreditación.

Bastante más que el PDF. Un cliente exigente comprueba que el certificado está vigente y no suspendido, que lo emite una entidad acreditada, que el alcance cubre el servicio que le prestas y qué versión de la Declaración de Aplicabilidad (SoA) se certificó, que debe constar en los documentos de certificación. Muchos lo verifican directamente en IAF CertSearch o en la web de la certificadora. El fallo típico es un alcance que no incluye el servicio contratado («desarrollo de software» cuando el cliente compra soporte o alojamiento), y entonces el certificado no le sirve. Define el alcance pensando en lo que te piden tus clientes, no solo en lo que es más fácil de certificar, y ten a mano la SoA por si te la piden.

Puedes prepararte con ellas, pero no certificarte: la certificación la hace siempre una entidad acreditada mediante una auditoría externa, y las propias plataformas lo reconocen. Estas herramientas automatizan la recogida de evidencias y ayudan a mantener el sistema, pero no deciden por ti el alcance, el análisis de riesgos ni qué controles aplicas y por qué. Las plantillas, además, envejecen: muchas no recogen todavía el requisito de la enmienda de 2024 (Amd 1:2024), que obliga a valorar si el cambio climático es una cuestión pertinente para tu sistema. El error típico es llegar a la auditoría con documentos genéricos que no describen tu empresa, y el auditor lo detecta enseguida. Úsalas como apoyo, no como sustituto del análisis.

No. Funciona con el modelo de responsabilidad compartida: tu proveedor protege su infraestructura y tú eres responsable de lo que montas encima, es decir, accesos, configuración, copias, cifrado y tu aplicación. Su certificado demuestra que gestiona bien su parte, pero no dice nada de la tuya. En tu ISO 27001, ese proveedor es un proveedor crítico que debes gestionar con los controles de relación con proveedores y de servicios en la nube (5.19 a 5.23 del Anexo A): evaluarlo, revisar su certificado y su alcance, y definir qué controles le corresponden a él y cuáles a ti. Su certificado es una buena evidencia para esa evaluación, no un atajo para la tuya.

Más cómodo, pero arriesgado. La norma que regula a las entidades de certificación (ISO/IEC 17021-1) considera que la consultoría prestada por una organización vinculada a la certificadora es una amenaza significativa para su imparcialidad, y exige que pasen al menos dos años entre la consultoría y la certificación. Un certificado emitido en esas condiciones puede ser cuestionado por tu cliente o por el organismo de acreditación. Pregunta directamente si existe algún vínculo societario o comercial entre la consultora y la certificadora. Nosotros implantamos el sistema y te acompañamos, pero la certificación la hace una entidad acreditada e independiente que eliges tú.

No. El Anexo A de la ISO 27001:2022 es un catálogo de referencia, y el propio comité que redacta la norma aclara que la presencia de un control en el Anexo A no lo hace obligatorio. Lo que sí es obligatorio es comparar tus riesgos con los 93 controles, decidir cuáles aplicas y justificar en la Declaración de Aplicabilidad (cláusula 6.1.3 d) por qué incluyes o excluyes cada uno. En una empresa de 12 personas sin desarrollo propio, por ejemplo, varios controles de desarrollo seguro pueden quedar fuera con una justificación razonada. El error es intentar implantarlos todos y abandonar a mitad, o excluirlos sin justificar. Un buen análisis de riesgos hace el sistema proporcionado a tu tamaño.

No del todo, pero los responderás mucho más rápido. Tus clientes, sobre todo los que están dentro del ámbito de NIS2, tienen que gestionar la seguridad de su cadena de suministro (artículo 21.2.d de la Directiva), y eso incluye evaluar a sus proveedores aunque estén certificados. Lo que cambia es la conversación: muchos aceptan el certificado como evidencia principal y reducen el cuestionario, o te piden solo la SoA y algunas evidencias concretas. Con el sistema en marcha tienes las respuestas documentadas, y un cuestionario que antes te costaba semanas se contesta en horas. Ten preparado un dossier con el certificado, el alcance, la SoA y las evidencias que más te piden.

No te recomendamos condicionar el proyecto a la ayuda. La convocatoria del Kit Consulting cerró el 31 de marzo de 2025, y el servicio de ciberseguridad que financiaba cubría el asesoramiento, pero no la certificación: la auditoría de la entidad certificadora quedaba fuera. Si sale una nueva convocatoria, compruébalo en el BOE y en la web de Red.es antes de contar con ella. Mientras tanto, el coste de esperar suele ser mayor que la ayuda: si un cliente te exige la 27001, perder ese contrato pesa más que la subvención. Si quieres aprovechar una ayuda futura, puedes empezar con un diagnóstico y planificar las fases para encajarlas si se abre una convocatoria.

Porque para calcular los días de auditoría cuenta todo el personal que trabaja dentro del alcance del sistema, sea o no plantilla. La norma que fija los tiempos de auditoría de la ISO 27001 (ISO/IEC 27006-1:2024) incluye a quien realiza actividades dentro del alcance, así que tus 10 freelances computan junto a tus 8 empleados. Si alguno no trabaja con información del alcance, puedes justificar que quede fuera. En cuanto a la presencia, buena parte de la auditoría puede hacerse en remoto, y la versión de 2024 de esa norma flexibilizó las auditorías a distancia. Pregunta a la certificadora cómo ha contado al personal y qué parte hará en remoto: es habitual ajustar el presupuesto tras esa conversación.

Si han pasado menos de seis meses desde el vencimiento, normalmente no hace falta empezar de cero: la norma de las entidades de certificación (ISO/IEC 17021-1) permite restaurar la certificación si se completan las actividades de recertificación pendientes dentro de ese plazo. Pasados los seis meses, toca una auditoría inicial completa. Cambiar de certificadora en esa situación es más difícil: según las reglas internacionales de transferencia (IAF MD 2), solo se puede trasladar una certificación vigente, no suspendida y con las no conformidades mayores cerradas, así que con el certificado caducado lo habitual es recertificar primero y cambiar después. Habla cuanto antes con tu certificadora actual: cada semana que pasa reduce tu margen.