Certificación ISO 27001: proceso, auditorías y plazos

TL;DR. Certificarte en ISO 27001 significa que una entidad de certificación independiente audita tu sistema de gestión de la seguridad de la información y emite un certificado por escrito. Lo hace en dos etapas: la etapa 1 revisa tu documentación y tu preparación, y la etapa 2 comprueba en tu empresa que el sistema funciona. El certificado dura tres años, con auditorías de seguimiento cada año y una auditoría de renovación antes de que caduque. Conviene elegir una entidad acreditada por ENAC para esta norma. La edición vigente es la ISO/IEC 27001:2022, y los certificados de la edición de 2013 ya no valen desde el 31 de octubre de 2025. ISO no certifica a nadie, y yo tampoco: yo te preparo para la auditoría y la hace un tercero.

¿Quién puede certificar una empresa en ISO 27001?

Solo una entidad de certificación, que es un organismo independiente de la empresa auditada. Según la página de certificación de ISO, ISO no certifica ni emite certificados: una empresa no puede estar certificada «por ISO». Tampoco certifica la consultora que te ayudó a implantar el sistema.

En España, la acreditación de las entidades de certificación la concede ENAC. Los anexos técnicos que ENAC publica de las entidades acreditadas para seguridad de la información toman como referencia la UNE-EN ISO/IEC 17021-1:2015 y la ISO/IEC 27006-1:2024, y citan la UNE-EN ISO/IEC 27001:2023 como norma de certificación. Esas son las reglas con las que se juzga al auditor.

¿Es obligatorio que la entidad de certificación esté acreditada por ENAC?

No lo es por la norma, pero te conviene. ISO lo resume así en su página de certificación: la acreditación aporta una confirmación independiente de la competencia de la entidad, no es obligatoria, y que una entidad no esté acreditada no significa necesariamente que no sea fiable. Lo que sí cambia es lo que puedes demostrar. Con una entidad acreditada, quien lea tu certificado puede comprobar en ENAC que la entidad lo estaba para esta norma.

Antes de firmar, mira en el buscador de acreditados de ENAC que la acreditación cubra la seguridad de la información y no solo otras normas. Si tu cliente o tu licitación exigen certificación acreditada, pregunta antes de contratar. En la guía para elegir una certificadora ISO acreditada por ENAC tienes los criterios para comparar ofertas. No recomiendo ninguna entidad concreta.

¿Cómo es el proceso de certificación paso a paso?

El ciclo completo, tal como lo describe la ISO/IEC 17021-1 (la norma que siguen las entidades de certificación), tiene estas fases:

Esa secuencia es la que recoge el resumen de la cláusula 9 de la ISO/IEC 17021-1 que publica el International Accreditation Service (IAS). La norma es de pago, así que no la reproduzco; lo que cito aquí sale de ese resumen y de las fuentes de abajo.

¿Qué se revisa en la auditoría de etapa 1?

La etapa 1 es una revisión de preparación. Según el resumen de IAS, sus objetivos incluyen revisar la documentación de tu sistema de gestión, evaluar si estás preparado para la etapa 2, obtener información sobre el alcance (sedes, procesos y requisitos legales aplicables) y comprobar que las auditorías internas y las revisiones por la dirección se están planificando y realizando.

Dos consecuencias prácticas. Si en la etapa 1 falta lo básico, la entidad puede repetir parte de ella antes de pasar a la etapa 2. Y el alcance que le des es lo que quedará escrito en el certificado, así que conviene decidirlo con calma antes de contratar.

¿Qué comprueba el auditor en la etapa 2?

La etapa 2 evalúa la implantación del sistema y su eficacia. Se hace en tu empresa e incluye, entre otros puntos, la evidencia de que el sistema funciona, el seguimiento y la medición del desempeño frente a tus objetivos, el cumplimiento de los requisitos legales y contractuales aplicables, el control operativo de tus procesos, y la auditoría interna y la revisión por la dirección.

En un sistema ISO 27001 eso se traduce en piezas que debes tener listas y que ya explico en otras guías:

• El alcance del sistema, escrito como quieres que lo lea tu cliente más exigente.
• El análisis y tratamiento de riesgos, que justifica qué controles aplicas. Tienes el método en el análisis de riesgos ISO 27001 paso a paso.
• La declaración de aplicabilidad, con cada control incluido o excluido y su justificación.
• La auditoría interna hecha y la revisión por la dirección celebrada, con sus registros.
• La documentación obligatoria y las evidencias de que los controles se aplican.

¿Qué pasa si el auditor encuentra no conformidades?

Se te comunican y tienes que corregirlas. El resumen de IAS recoge un plazo para las graves: si la entidad no puede verificar la corrección de una no conformidad mayor en los seis meses siguientes al último día de la etapa 2, tiene que hacer otra etapa 2 antes de recomendar la certificación. Por eso conviene tratar los hallazgos con rapidez y dejar la prueba de cada corrección.

Qué clasifica como no conformidad mayor o menor lo fijan la entidad y su procedimiento, y no lo afirmo aquí por falta de acceso al texto de la norma.

¿Cuánto dura el certificado ISO 27001 y qué auditorías tiene?

Tres años. La ISO/IEC 17021-1 (cláusula 9.1.3) prevé para la certificación inicial una auditoría en dos etapas, auditorías de seguimiento en el primer y segundo año tras la decisión de certificación y una auditoría de renovación en el tercer año, antes de la caducidad. El primer ciclo de tres años empieza con la decisión de certificación y los siguientes empiezan con la decisión de renovación.

Sobre los seguimientos, el FAQ de la IAF cita literalmente la cláusula 9.1.3.3: «Surveillance audits shall be conducted at least once a calendar year, except in recertification years. The date of the first surveillance audit following initial certification shall not be more than 12 months from the certification decision date». En castellano: al menos una al año, salvo en el año de renovación, y la primera, como máximo doce meses después de la decisión. Por eso conviene mantener el sistema vivo entre auditorías y no prepararlo solo para el día de la visita.

¿Cuánto se tarda en certificarse en ISO 27001?

Depende de dónde partas, y hay que separar dos cosas.

La implantación. Mi consultoría de implantación es de 2 a 6 meses. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente. Cuanto más construido tengas ya (políticas, inventario de activos, controles técnicos), más cerca del mínimo. Tienes las fases en la guía de implantación de ISO 27001.

La auditoría. El calendario de las etapas 1 y 2 lo acuerdas con la entidad de certificación. El plazo para corregir las no conformidades graves es el de los seis meses que he citado arriba. La decisión de certificar la toma la entidad una vez revisado el informe, y no puedo darte un plazo fijo porque depende de cada entidad.

¿Cuánto cuesta certificarse en ISO 27001?

Hay dos partidas que se pagan a dos proveedores distintos.

La consultoría de implantación, que es la mía, va de 4.000 a 25.000 €, según el tamaño y las circunstancias de cada empresa, y de 2 a 6 meses. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.

Los honorarios de la entidad de certificación son aparte y los fija cada entidad, por lo que no doy cifras. Dependen de aspectos como el tamaño de la empresa, la complejidad y el número de sedes del alcance, y de las jornadas de auditoría que la entidad calcule. Presupuesta el ciclo entero, no solo el primer año, y pide el desglose por fases y por año. Para el detalle de lo que incluye cada partida, tienes cuánto cuesta una ISO 27001.

¿Qué versión de la ISO 27001 se certifica hoy?

La ISO/IEC 27001:2022. En España está adoptada como UNE-EN ISO/IEC 27001:2023, con fecha de edición del 13 de septiembre de 2023 y versión corregida del 25 de septiembre de 2024, según la ficha de la tienda de AENOR, que la da como idéntica a la ISO/IEC 27001:2022 y «En Vigor». Su modificación 1:2024, sobre acciones relativas al cambio climático, figura también en vigor. Qué exige la norma lo tienes en la guía de la ISO 27001.

¿Siguen valiendo los certificados ISO 27001:2013?

No. El documento IAF MD 26:2023 fijó para las entidades de certificación un periodo de transición de tres años (36 meses desde el último día del mes de publicación de la edición de 2022, es decir, hasta el 31 de octubre de 2025) y establece que todas las certificaciones basadas en la ISO/IEC 27001:2013 «shall expire or be withdrawn at the end of the transition period». Desde esa fecha, un certificado de 2013 no acredita nada. Más detalle en la transición de la ISO 27001:2013 a la 2022.

La modificación de 2024 es otra cosa: es una enmienda sobre el cambio climático y no una edición nueva.

¿Cómo compruebo si una empresa está certificada en ISO 27001?

Mira el certificado y comprueba cuatro cosas: la entidad que lo emite, el alcance, la vigencia y que la entidad estuviera acreditada para esta norma. Después verifícalo en origen.

• En la entidad de certificación que lo firma. Muchas publican un buscador de certificados, como el de AENOR. Solo cubre los certificados de esa entidad.
• En ENAC, para saber si la entidad tenía la acreditación para esta norma, en su buscador de acreditados. ENAC acredita a la entidad, no certifica a tu proveedor.
• En la base internacional de certificados. ISO indica que se puede usar IAF CertSearch o contactar con la entidad de certificación, el organismo de acreditación o Global ACI. El IAF cesó sus operaciones el 1 de enero de 2026 y su web es hoy un archivo, y ISO señala que Global ACI asumió sus funciones. Si el dato que te da CertSearch importa, confírmalo con la propia entidad.

No conozco un registro oficial único español que reúna todos los certificados. Lo que he podido comprobar son estas vías, y no descarto que existan otras.

¿Necesito ISO 27001 o ENS?

Depende de a quién le vendes. El ENS es el marco del sector público y la ISO 27001 es una norma técnica voluntaria. Las dos comparten gran parte del trabajo. Tienes el criterio completo en ENS o ISO 27001: cuál necesitas y una herramienta para decidirlo.

Cómo te acompaño en la certificación ISO 27001

Acompaño a pymes en la implantación de la ISO 27001, desde el diagnóstico hasta la preparación de la auditoría de certificación: alcance, análisis de riesgos, declaración de aplicabilidad, auditoría interna y revisión por la dirección. La auditoría de certificación la hace una entidad independiente que eliges tú, y yo no la sustituyo. Si quieres que mire tu caso, tienes mi servicio de consultoría ISO 27001.

Preguntas frecuentes

¿La certificación ISO 27001 es obligatoria?

No. La ISO 27001 es una norma técnica y la Ley 21/1992 de Industria define las normas técnicas como especificaciones «cuya observancia no es obligatoria» (artículo 8.3). Puede ser un requisito de un cliente, de un contrato o de una licitación. Para el sector público el requisito habitual es el ENS, que es otra cosa.

¿Qué diferencia hay entre implantar y certificar la ISO 27001?

Implantar es construir y hacer funcionar el sistema en tu empresa. Certificar es que una entidad independiente lo audite y emita un certificado. Puedes implantar sin certificar, y una empresa que se certifica tiene que haber implantado antes.

¿Cuántas fases tiene la auditoría de certificación?

Dos. La etapa 1 revisa la documentación y tu preparación, y la etapa 2 comprueba en tu empresa que el sistema está implantado y es eficaz. Después vienen los seguimientos anuales y la renovación a los tres años.

¿Cuánto dura el certificado ISO 27001?

Tres años. Durante ese tiempo hay auditorías de seguimiento cada año, y la de renovación se hace en el tercero, antes de que el certificado caduque.

¿Quién certifica la ISO 27001 en España?

Una entidad de certificación. Conviene que esté acreditada por ENAC para seguridad de la información, lo que se comprueba en el buscador de acreditados de ENAC. ISO no certifica a ninguna empresa.

¿Puedo certificarme con el mismo consultor que me implanta el sistema?

No es tu consultor quien certifica: la emite una entidad de certificación externa, que eliges tú. Yo te preparo para la auditoría y no la sustituyo.

Fuentes oficiales

• ISO, página de certificación: ISO no certifica, acreditación no obligatoria, vías de verificación y Global ACI. Consultada el 18 de octubre de 2026.
• UNE-EN ISO/IEC 27001:2023 (tienda AENOR) y su modificación 1:2024: edición, estado y equivalencia con la ISO/IEC 27001:2022.
• IAF MD 26:2023, requisitos de transición a la ISO/IEC 27001:2022 (IAF): plazos y caducidad de los certificados de 2013.
• IAS, resumen de la cláusula 9 de la ISO/IEC 17021-1:2015: etapas 1 y 2, ciclo de tres años, no conformidades mayores.
• IAF FAQ Q32: cita literal de la cláusula 9.1.3.3 de la ISO/IEC 17021-1.
• ENAC, buscador de entidades acreditadas y sus anexos técnicos de acreditación en seguridad de la información (referencias UNE-EN ISO/IEC 17021-1:2015 e ISO/IEC 27006-1:2024).
• Ley 21/1992, de Industria (BOE, texto consolidado): artículo 8.3.
• AENOR, buscador de certificados.

¿Quieres certificar tu empresa en ISO 27001?

Si quieres saber en qué punto estás y qué te falta para llegar a la auditoría, reserva una consulta y revisamos tu caso.