Consultor ISO 27001 para pymes
Soy Ángel Ortega Castro, consultor ISO 27001 independiente. Te acompaño a implantar un sistema de gestión de seguridad de la información preparado para la auditoría de certificación: alcance, análisis de riesgos, Declaración de Aplicabilidad, documentación y preparación de la auditoría externa. El trabajo lo hago yo, sin intermediarios. Primera sesión de 30 minutos sin coste.
En corto: qué hace un consultor ISO 27001
Un consultor ISO 27001 te lleva desde donde está hoy tu seguridad hasta un sistema de gestión (SGSI) que cumple la norma ISO/IEC 27001:2022 y puede superar la auditoría de una entidad certificadora. Define contigo el alcance, analiza los riesgos, selecciona los controles del Anexo A, redacta la documentación que la norma exige, prepara la auditoría interna y te acompaña en la de certificación. Si antes quieres entender la norma, empieza por la guía completa de ISO 27001.
Lo que no hace es certificarte. El certificado lo emite la entidad certificadora, que tiene que ser independiente de quien implantó el sistema y, para que su certificado tenga reconocimiento ante clientes y Administraciones, conviene que esté acreditada: en España por ENAC, o por otro organismo firmante del acuerdo de reconocimiento internacional (IAF MLA). Mi trabajo termina donde empieza el suyo.
El auditor revisa la documentación en una primera fase y en la segunda visita la organización, entrevista al personal y comprueba controles concretos por muestreo. Un sistema que solo existe en el archivo no pasa esa segunda fase.
Qué entrega un consultor ISO 27001 en una implantación.
La norma ISO/IEC 27001:2022 ordena los requisitos en las cláusulas 4 a 10, del contexto de la organización a la mejora, y añade un Anexo A con 93 controles repartidos en cuatro bloques. Esto es lo que preparo contigo para cubrirlas.
- Contexto, partes interesadas y alcance del SGSI. Qué sedes, procesos, sistemas y datos entran y qué queda fuera, por escrito. Es la decisión más cara de corregir después.
- Análisis de riesgos y plan de tratamiento. Inventario de activos, riesgos valorados con una metodología coherente y una decisión por cada uno. Lo explico paso a paso en cómo hacer el análisis de riesgos de ISO 27001.
- Declaración de Aplicabilidad (SoA). Qué controles del Anexo A aplican, cuáles no y por qué. Los detalles están en qué es la SoA y cómo redactarla.
- Documentación obligatoria. Política de seguridad, objetivos, procedimientos y registros que la norma pide, adaptados a tu tamaño. Consulta los documentos obligatorios de ISO 27001:2022 y la política de seguridad de la información.
- Implantación de controles y formación. Acompaño a tu responsable de seguridad y a tu equipo técnico en desplegar los controles que salen del análisis, y preparo la concienciación del personal.
- Auditoría interna. La planifico contigo y dejo el programa listo. Conviene que la ejecute un auditor distinto de quien implanta, para que quien revisa no sea quien diseñó.
- Revisión por la dirección. Preparo la información de entrada y el acta, para que la dirección decida con datos.
- Acompañamiento en la auditoría de certificación. Preparación de la fase 1 (documental) y de la fase 2 (implantación), y ayuda para cerrar las no conformidades que salgan.
Implantación de ISO 27001 en cinco fases.
El orden importa: no se redactan procedimientos antes de fijar el alcance, ni se seleccionan controles antes de analizar los riesgos. Cada fase termina en un entregable que puedes revisar.
| Fase | Qué se hace | Entregable principal |
|---|---|---|
| Fase 01 Diagnóstico y alcance | Análisis de la situación actual frente a la norma y al Anexo A, y decisión del alcance: sedes, procesos, sistemas y datos. | Informe de diagnóstico y alcance documentado. |
| Fase 02 Diseño del SGSI | Política, roles, metodología de riesgos, análisis de riesgos, plan de tratamiento y Declaración de Aplicabilidad. | Análisis de riesgos, SoA y política de seguridad aprobados por la dirección. |
| Fase 03 Implantación | Despliegue de los controles técnicos y organizativos, procedimientos, formación y recogida de evidencias. | Controles operativos con sus registros. |
| Fase 04 Auditoría interna y revisión | Auditoría interna del sistema, tratamiento de lo que salga y revisión por la dirección. | Informe de auditoría interna y acta de revisión por la dirección. |
| Fase 05 Certificación | Auditoría externa en dos fases (documental y de implantación) y cierre de las no conformidades. La emite la entidad certificadora. | Certificado de la entidad acreditada; yo preparo y acompaño. |
El plazo orientativo es de 2 a 6 meses hasta la auditoría de certificación, según el tamaño y las circunstancias de cada empresa. Lo alargan un alcance mal cerrado, la falta de una pieza técnica de base (copias de seguridad probadas, doble factor, control de accesos) y una dirección que no decide a tiempo. El cronograma fase a fase para una pyme está en la guía de implantación de ISO 27001.
Consultoría ISO 27001 para pymes: cuándo encaja y cuándo no.
Encaja si
Un cliente, un pliego o tu cadena de suministro te pide ISO 27001. Eres una pyme y no tienes un responsable de seguridad a tiempo completo. Quieres ordenar tu seguridad con un método. O vendes a la Administración y tienes que decidir entre ISO 27001, ENS o las dos cosas.
Quizá no es lo tuyo si
Lo que te exige el pliego es solo el ENS: mira entonces la consultoría ENS para empresas. Necesitas un equipo de varios consultores trabajando a la vez en muchas sedes. O buscas que alguien te dé el certificado: lo emite la entidad certificadora.
Los rangos de coste que publico están calculados para una pyme de unos 30 empleados, una sede y alcance estándar. Si tu empresa es mayor o tiene varias sedes, el alcance y el presupuesto cambian y se acotan en el diagnóstico.
Consultor independiente, consultora o hacerlo tú.
No hay una opción mejor para todos. Depende del tamaño del proyecto, de lo que ya sepa tu equipo y de cuánto quieras que el conocimiento se quede dentro.
| Criterio | Consultor independiente | Consultora | Hacerlo tú |
|---|---|---|---|
| Quién ejecuta | La persona con la que hablas antes de contratar. | Suele haber un perfil comercial y un equipo; conviene preguntar quién hace cada tarea. | Tu equipo. |
| Capacidad | Limitada a una persona: proyectos acotados y bien planificados. | Mayor, útil con varias sedes o plazos muy cortos. | La que puedas quitar a tu trabajo diario. |
| Qué te queda | Un sistema a tu medida y una persona de tu equipo capaz de mantenerlo. | La metodología y las plantillas de la firma, que hay que adaptar. | Aprendizaje interno, con curva alta. |
| Riesgo principal | Depender de la agenda de una sola persona. | Documentación genérica y estructura de costes mayor. | Rehacer alcance y documentos cuando el auditor no los acepta. |
Seis comprobaciones antes de contratar a quien sea
- Que el consultor y la entidad certificadora no sean la misma empresa ni dependan una de la otra.
- Que la entidad certificadora esté acreditada por ENAC, o por un organismo equivalente.
- Un presupuesto por fases, con los entregables de cada fase nombrados.
- El alcance acordado por escrito antes de empezar.
- Referencias que puedas comprobar.
- Documentación editable y formación del responsable, para que el sistema acabe siendo tuyo.
Si quieres comparar con otras normas y tipos de proveedor, tienes la guía para elegir consultoría ISO en España.
Precio de la consultoría ISO 27001 por partidas.
El coste de certificarse no es una sola factura: hay una consultoría de implantación, una auditoría interna, la auditoría de la entidad certificadora y un seguimiento anual. La consultoría va de 4.000 a 25.000 €, según el tamaño y las circunstancias de cada empresa; las demás partidas son las que publico en la guía de implantación para una pyme de 30 empleados, una sede y alcance estándar. No son una oferta. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.
| Partida | Rango | Qué cubre |
|---|---|---|
| Consultoría de implantación | 4.000 a 25.000 €, según el tamaño y las circunstancias de cada empresa | Diseño del SGSI, análisis de riesgos, SoA y formación interna. El importe depende del tamaño y de las circunstancias de cada empresa. |
| Auditoría interna | 1.500 a 3.000 € | De 2 a 3 días de auditor, distinto del consultor que implanta. |
| Auditoría de certificación | 3.500 a 6.500 € | Fases 1 y 2 y emisión del certificado. La factura la emite la entidad certificadora. |
| Seguimiento anual | 1.800 a 3.000 € | Auditoría de seguimiento de la entidad en los años siguientes del ciclo. |
Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.
Quedan fuera la formación y concienciación anual (900 a 2.500 € al año en la guía de implantación), las horas de tu propio equipo, las herramientas técnicas que el análisis de riesgos pueda exigir y la recertificación al final del ciclo. Lo explico en cuánto cuesta certificarse en ISO 27001. En la primera sesión acoto el rango real para tu caso, y el presupuesto cerrado llega tras el diagnóstico.
ISO 27001 + ENS para proveedores públicos.
ISO 27001 no sustituye a la declaración ni a la certificación de conformidad con el ENS, pero adelanta buena parte del trabajo. Si dudas por cuál de las dos normas empezar y en qué orden, la herramienta ISO 27001 o ENS: cuál necesitas y en qué orden te lo resuelve según tu caso.
El Real Decreto 311/2022 se aplica también a los sistemas de información de las entidades privadas que, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público «para el ejercicio por estas de sus competencias y potestades administrativas» (artículo 2.3). Los pliegos de esos contratos contemplarán los requisitos para asegurar la conformidad con el ENS, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS». Si no tienes claro si te alcanza, empieza por quién debe cumplir el ENS.
El Centro Criptológico Nacional analiza la relación entre ambos marcos en la guía CCN-STIC 825, «Esquema Nacional de Seguridad. Certificaciones 27001». Entiende esa compatibilidad «no como una relación aritmética de equivalencia, sino bajo un análisis general de los contenidos de ambas normas» (edición de julio de 2023 de la CCN-STIC 825), y recomienda hacer siempre un análisis de convergencias antes de integrar los dos sistemas.
| Pieza | Qué se reaprovecha | Qué hay que añadir para el ENS |
|---|---|---|
| Alcance | Se puede unificar en uno solo cuando sea posible, para que el sistema abarque los dos marcos. | En el ENS el alcance lo marcan los sistemas de información en los que se sustentan los servicios prestados al sector público (art. 2.3 del RD 311/2022). En ISO 27001 lo decide la organización. |
| Declaración de Aplicabilidad | Una sola, compartida, con todos los controles aplicados y las exclusiones motivadas. | En el ENS la firma el responsable de la seguridad (artículo 28.2). |
| Análisis de riesgos | Una metodología de riesgos única para los dos marcos. | El ENS categoriza el sistema valorando cinco dimensiones (anexo I) (disponibilidad, integridad, confidencialidad, trazabilidad y autenticidad), dos más que las tres clásicas de ISO. |
| Auditoría | Registros y evidencias comunes. | El ENS exige una auditoría ordinaria al menos cada dos años (artículo 31.1); en categoría BÁSICA basta una autoevaluación (anexo III, 2.1). |
| Certificación | Nada: cada norma tiene su esquema y su ciclo. | Declaración o certificación de conformidad con el ENS según el artículo 38. |
Si vas a licitar, tienes ENS o ISO 27001 para licitar con la Administración, las diferencias entre ENS e ISO 27001 y el pack ISO 27001, ENS y RGPD para licitar en Castilla y León.
Consultoría ISO 27001 y Kit Consulting.
El Kit Consulting es el programa de ayudas de Red.es, regulado por la Orden TDF/436/2024, modificada por la Orden TDF/38/2026, que paga servicios de asesoramiento a pymes de 10 a menos de 250 empleados. Entre sus categorías hay tres servicios de ciberseguridad: básico, avanzado y preparación para certificación. El tercero cubre la documentación para presentarse a la certificación de un SGSI según ISO 27001 y ENS de categoría media-alta, y deja la certificación fuera.
- Importe por servicio: 6.000 €, igual en los tres segmentos.
- Tope según tu tamaño: el bono total es de 12.000 € (de 10 a menos de 50 empleados), 18.000 € (de 50 a menos de 100) o 24.000 € (de 100 a menos de 250), y se reparte entre servicios de categorías distintas.
- Qué no cubre: la auditoría de la entidad certificadora.
- Estado: comprobado el 12 de octubre de 2026, la página oficial en Acelera pyme marca la convocatoria como finalizada.
Si la convocatoria reabre, tener el alcance definido y un diagnóstico previo te permite actuar rápido, y eso se puede preparar ya. Más detalle en Kit Consulting para ciberseguridad e ISO 27001, y para decidir entre programas, la herramienta Kit Digital o Kit Consulting.
Dudas habituales sobre la consultoría ISO 27001.
¿Qué hace exactamente un consultor ISO 27001?
Te acompaña desde el estado actual de tu seguridad hasta un sistema de gestión (SGSI) que cumple ISO/IEC 27001:2022 y puede pasar la auditoría de una entidad certificadora: define el alcance, analiza los riesgos, selecciona los controles del Anexo A, redacta la documentación obligatoria, prepara la auditoría interna y te acompaña en la auditoría de certificación. No emite el certificado.
¿En qué se diferencia el consultor de la entidad certificadora?
El consultor prepara el sistema; la entidad certificadora lo audita y emite el certificado. Tienen que ser independientes entre sí, y para que su certificado tenga reconocimiento ante clientes y Administraciones, conviene que esté acreditada: en España por ENAC, o por otro organismo firmante del acuerdo de reconocimiento internacional (IAF MLA). Quien te ha implantado el sistema no puede ser quien te lo certifique.
¿Cuánto cuesta la consultoría ISO 27001 para una pyme?
Para la consultoría de implantación, un rango de 4.000 a 25.000 €, según el tamaño y las circunstancias de cada empresa. A eso se suman la auditoría interna, la auditoría de certificación que factura la entidad y el seguimiento anual. Es un rango orientativo y el presupuesto cerrado llega tras el diagnóstico (siempre sujeto a valoración de la situación de cada empresa). Qué entra en cada partida y los costes que no se ven, en la página de precio de ISO 27001.
¿Cuánto tarda la implantación de ISO 27001?
De 2 a 6 meses, según el tamaño y las circunstancias de cada empresa. Depende del alcance, de lo que ya tengas montado (políticas, control de accesos, copias de seguridad) y de la agenda de la entidad certificadora. El cronograma fase a fase para una pyme está en la guía de implantación de ISO 27001 (siempre sujeto a valoración de la situación de cada empresa).
¿Puedo certificarme en ISO 27001 sin consultor?
Sí, la norma no exige contratar a nadie. El coste está en la curva de aprendizaje (análisis de riesgos, 93 controles del Anexo A, documentación) y en el riesgo de rehacer trabajo cuando el auditor no acepta un alcance o una justificación. Un consultor no escribe el sistema por ti: te ahorra los errores caros y te deja a una persona de tu equipo capaz de mantenerlo.
¿Sirve ISO 27001 para cumplir el ENS si vendo a la Administración?
Adelanta mucho trabajo, pero no lo sustituye. El certificado ISO 27001 demuestra que tu sistema de gestión cumple la norma ISO; lo que piden los pliegos es la declaración o la certificación de conformidad con el ENS (Real Decreto 311/2022, artículos 2.3 y 38). La guía CCN-STIC 825 compara ambos marcos y advierte de que la compatibilidad no es una equivalencia aritmética. Si dudas por cuál empezar, usa la herramienta ISO 27001 o ENS.
¿Se puede financiar con Kit Consulting?
Hoy no: comprobado el 12 de octubre de 2026, la convocatoria figura como finalizada en acelerapyme.gob.es. Cuando estaba abierta, el Kit Consulting incluía servicios de asesoramiento en ciberseguridad (básico, avanzado y preparación para certificación) con una ayuda de 6.000 € por servicio, dentro del bono total de tu tamaño de empresa (12.000, 18.000 o 24.000 €), y no cubría la auditoría de certificación. Más detalle en Kit Consulting para ciberseguridad e ISO 27001.
¿Cuánto dura el certificado ISO 27001?
Tres años, con auditorías de seguimiento durante el ciclo y una auditoría de recertificación al terminarlo. Los certificados de la versión de 2013 dejaron de ser válidos al acabar el periodo de transición, el 31 de octubre de 2025, según el documento IAF MD 26:2023. Los plazos están en la guía de transición de 2013 a 2022.
¿Trabajas con empresas de cualquier parte de España?
Sí, en remoto. Las reuniones son por videollamada y la documentación se trabaja en línea.
¿Cómo es la primera reunión?
Dura 30 minutos, por videollamada y sin coste. Cuéntame tu contexto: por qué necesitas ISO 27001, qué tienes ya y qué te piden tus clientes. Si tiene sentido seguir, te preparo una propuesta con alcance y honorarios concretos en cinco días laborables.
Guías de ISO 27001.
Más normas ISO y su relación con el resto del cumplimiento, en el hub de normas ISO.
¿Hablamos de tu proyecto ISO 27001?
Reserva una primera sesión de 30 minutos, por videollamada y sin coste. Cuéntame tu contexto y vemos por dónde empezar. Si tiene sentido seguir, te preparo una propuesta con alcance y honorarios concretos.