Las dos normas que ordenan qué hace tu proveedor cloud y qué te toca a ti

ISO/IEC 27017 e ISO/IEC 27018 son dos normas de la familia ISO 27000 pensadas para servicios en la nube: la 27017 aterriza los controles de seguridad de la información al escenario cloud, y la 27018 se centra en un caso concreto, el del proveedor de nube pública que trata datos personales por cuenta de un cliente. Ninguna de las dos es un sistema de gestión independiente: se apoyan en la ISO 27001 y se auditan como una ampliación del alcance de ese certificado. Sirven para lo mismo desde dos lados: dejar por escrito quién responde de qué cuando la información vive en la infraestructura de otro.

Esa es la pregunta que ninguna de las normas generalistas responde bien. La ISO 27001 te obliga a controlar tus activos, pero no te dice cómo se controla un activo que gestiona Microsoft, Amazon o un proveedor de hosting de Valladolid. La 27017 y la 27018 rellenan ese hueco.

Qué son ISO 27017 e ISO 27018

Las dos son códigos de buenas prácticas, no normas de requisitos. La diferencia importa: una norma de requisitos (como la ISO 27001) dice «la organización debe», y contra ella se audita para certificar. Un código de buenas prácticas dice «conviene que», y su papel es orientar la implantación de controles que ya vienen exigidos desde otro sitio.

ISO/IEC 27017: los controles de la ISO 27002, llevados al escenario cloud

ISO/IEC 27017 se publicó por primera vez en 2015 con un título largo y descriptivo: controles de seguridad de la información basados en la ISO/IEC 27002 para servicios en la nube. Hace dos cosas. Por un lado, coge una parte de los controles de la ISO 27002 y añade orientación específica para nube, con una particularidad que la distingue de casi todo lo demás: separa la orientación dirigida al proveedor del servicio de la dirigida al cliente.

Por otro, incorpora controles propios que no existen en la ISO 27002 y que solo tienen sentido en un entorno cloud:

• el reparto de papeles entre proveedor y cliente;
• la retirada de los activos del cliente cuando el contrato termina;
• la separación entre clientes en entornos virtualizados;
• el bastionado de las máquinas virtuales;
• la alineación de la administración de seguridad entre las dos partes;
• la supervisión del uso del servicio;
• el aislamiento de las redes virtuales.

En la primera edición eran siete. Su segunda edición se publicó en julio de 2026, alineada con la ISO/IEC 27002:2022 y con la orientación puesta al día para arquitecturas que en 2015 eran marginales, como los contenedores o la ejecución sin servidor; la primera edición, la de 2015, quedó retirada en julio de 2026. Al reordenarse sobre el catálogo de la 27002:2022, el recuento de partida cambia: no des por bueno un mapeo antiguo sin revisarlo, y confirma con tu entidad de certificación contra qué edición va a auditar, porque buena parte de la documentación comercial en circulación se redactó citando la edición vieja.

ISO/IEC 27018: privacidad en la nube pública, escrita para el encargado

ISO/IEC 27018 nació en 2014 con un enfoque más estrecho y más jurídico. Está escrita para el proveedor de nube pública que actúa como encargado del tratamiento, es decir, el que trata datos personales siguiendo instrucciones de otro. Traduce a controles operativos los principios de privacidad reconocidos internacionalmente: no usar los datos del cliente para fines propios (publicidad o entrenamiento de modelos, por ejemplo) sin consentimiento explícito, informar de dónde se almacenan y quién los subcontrata, avisar cuando una autoridad los reclama, devolverlos y borrarlos al terminar, y dejar rastro de quién accede.

Su edición vigente es de 2025: la tercera, publicada en agosto de ese año, que sustituye a la de 2019, se realinea con la ISO/IEC 27002:2022 y suma un anexo B de orientación ampliada de implantación que la edición anterior no traía.

Nota sobre las citas. Las normas ISO no son de acceso público: se compran. Aquí se explica su contenido de forma funcional, a partir de los resúmenes públicos de ISO y de entidades de certificación. No verás transcripciones literales de cláusulas.

En qué se diferencian: el servicio frente a los datos personales

La confusión más frecuente es tratarlas como dos versiones de lo mismo. Puestas al lado de la norma sobre la que se apoyan, las diferencias se ven de golpe.

Del cuadro se deducen las dos decisiones que importan. La distinción por modelo de despliegue es la que más gente se salta: si montas una nube privada en tu propio centro de datos, la 27018 no es tu norma, porque tus obligaciones de privacidad nacen directamente de la protección de datos y no de un código pensado para servicios multicliente. Y la distinción por destinatario decide si esto es un proyecto o una cláusula: una empresa que vende SaaS y trata datos personales de sus clientes necesita las dos normas; una empresa que solo consume nube no implanta ninguna, las exige.

Ninguna de las dos se certifica sola

Aquí es donde conviene ser preciso, porque el marketing del sector ha creado bastante ruido. No existe un «sistema de gestión ISO 27018» de la misma manera que existe un sistema de gestión ISO 27001. Al ser códigos de buenas prácticas, no contienen los requisitos de gobierno (contexto, liderazgo, evaluación del desempeño, mejora) sobre los que se construye una certificación de sistema de gestión.

El mecanismo real es este: la organización mantiene un SGSI certificado según ISO 27001, incorpora los controles de la 27017 o de la 27018 a su Declaración de Aplicabilidad, y la entidad de certificación audita también esos controles y lo refleja en el alcance del certificado o en un anexo. Lo único que se sostiene solo es el certificado ISO 27001. Por eso el primer paso, si estás pensando en esto, es tener claro cómo funciona el Anexo A de la ISO 27001 y sus 93 controles: sin esa base, no hay dónde colgar nada.

De ahí salen las dos comprobaciones que conviene hacer antes de firmar nada.

Mira quién acredita a la entidad certificadora

En España, el organismo nacional de acreditación es ENAC, y lo que acredita es la actividad de certificación de sistemas de gestión. Antes de pagar por un sello, pide ver el certificado y comprueba dos cosas: qué norma figura exactamente en el alcance y qué marca de acreditación lleva. Un logotipo en la web de la certificadora no dice contra qué norma te va a auditar ni con qué respaldo; el certificado, con su alcance literal, sí. Ten en cuenta, además, que desde el 1 de enero de 2026 el foro internacional de acreditación (IAF) y la cooperación de laboratorios (ILAC) dejaron de operar por separado: su función quedó integrada en la Global Accreditation Cooperation Incorporated. Las referencias a «documentos obligatorios del IAF» que circulan en material comercial son de la etapa anterior.

Comprueba contra qué edición te van a auditar

Como en cualquier revisión ISO, los certificados emitidos contra la edición antigua siguen siendo válidos durante un periodo de transición. Cuánto dura no consta publicado: el documento que fijaba esos plazos lo emitía el IAF, y el IAF dejó de operar el 1 de enero de 2026. Así que esa pregunta se le hace a tu entidad de certificación, por escrito y antes de contratar la auditoría. El movimiento sensato es el mismo que se recomendó en la transición de la ISO 27001:2022: aprovechar la siguiente auditoría de seguimiento en lugar de montar un proyecto aparte.

El reparto de responsabilidades: donde se cae la mayoría

Si estas normas tienen un tema central, es este. El modelo de responsabilidad compartida —el proveedor protege la infraestructura, tú proteges lo que pones encima— está bien explicado en la guía de seguridad en la nube para empresas, y no lo repito. Lo que aporta la 27017 es la exigencia de documentarlo control a control, no de enunciarlo.

Esa es la diferencia entre una empresa que ha entendido la norma y otra que ha comprado un sello. La primera tiene una tabla donde, para cada control relevante, consta quién lo ejecuta (proveedor, cliente o los dos), con qué evidencia se demuestra y cada cuánto se revisa. La segunda tiene una frase en una política diciendo que la responsabilidad es compartida.

Los puntos donde ese reparto se rompe con más frecuencia son siempre los mismos:

• Copias de seguridad. El proveedor replica su infraestructura; eso no es tu backup. Si borras un buzón o cifras tus propios ficheros con un ransomware, la replicación te devuelve el borrado replicado.
• Registro y trazabilidad. El proveedor guarda logs, pero muchas veces con retención corta en los planes básicos. Si tu política dice que conservas trazas doce meses y tu plan las guarda treinta días, tienes un incumplimiento contractual contigo mismo.
• Gestión de identidades. El proveedor te da las herramientas; los permisos los otorgas tú. Aquí no hay ambigüedad posible, y sin embargo es el origen habitual de los incidentes.
• Salida del servicio. Qué te llevas, en qué formato, en cuánto tiempo y qué garantía tienes de que lo que quedó allí se destruye. Se negocia al firmar, no al romper.
• Subencargados. Tu proveedor usa a otros. Necesitas saber quiénes, dónde están y cómo se te avisa si cambian.

Cómo usarlas si eres cliente, no proveedor

La mayoría de las empresas españolas que llegan a estas normas no van a certificarse: van a comprar nube. Para ellas, la 27017 y la 27018 valen sobre todo como herramienta de compra, que es una forma perfectamente legítima de usarlas.

Traducido a lo concreto:

1. Pide el certificado, no el logotipo. Un logotipo en una web de proveedor no dice nada. El certificado sí: identifica a la entidad emisora, la fecha de validez, el alcance exacto (qué servicios y qué centros) y la marca de acreditación. Comprueba que el servicio que vas a contratar está dentro de ese alcance; es habitual que un proveedor tenga certificado un servicio y no el que te está vendiendo.
2. Pide el reparto de responsabilidades por escrito. Los grandes hiperescalares lo publican. Los proveedores medianos, a veces no lo tienen redactado, y ese silencio ya es información.
3. Contrasta lo que dice el certificado con lo que dice el contrato. El certificado acredita prácticas; las obligaciones exigibles están en el contrato y en el acuerdo de encargo de tratamiento. Si el contrato permite lo que la norma desaconseja, manda el contrato.
4. Guarda todo eso como evidencia. Si tienes o vas a tener un SGSI, la evaluación de tu proveedor cloud es evidencia del control de servicios externalizados. El trabajo lo haces una vez y te sirve dos veces.

Cómo encajan con el RGPD, la ISO 27701 y el ENS

Con la protección de datos

La 27018 y el reglamento europeo de protección de datos se solapan en materia, pero no son intercambiables. La norma técnica orienta cómo se protegen los datos personales en la nube; la obligación jurídica nace del reglamento y se articula en el contrato de encargo de tratamiento que responsable y encargado deben firmar. Un certificado ISO es un elemento de prueba de diligencia, útil para demostrar que elegiste un encargado con garantías suficientes, pero no equivale a las certificaciones formales previstas en el propio reglamento, que requieren un esquema aprobado por la autoridad de control competente. Quien te venda un certificado ISO como «certificación RGPD» está estirando el argumento más de lo que da de sí.

Con la ISO 27701

Si lo tuyo es la privacidad de forma sistemática y no solo en el tramo cloud, la norma que buscas es la ISO 27701, que sí define un sistema de gestión y que desde su edición de 2025 puede certificarse de forma independiente. La relación entre ambas es de escala: la 27018 aporta controles para un escenario; la 27701, el marco de gobierno completo.

Con el ENS

Si trabajas para el sector público español, la seguridad de tus servicios en la nube se juzga con otro rasero: el del Esquema Nacional de Seguridad y su guía específica, explicada en ENS en la nube y la CCN-STIC 823. Los dos marcos comparten filosofía y no comparten procedimiento, así que tener uno no te da el otro, aunque el trabajo de fondo se aprovecha en buena medida. Tampoco coinciden en quién certifica: la conformidad con el ENS la emiten entidades acreditadas para ese esquema, con su propio alcance de acreditación, que hay que comprobar igual que el de la ISO. Si estás decidiendo por dónde empezar, la herramienta ISO 27001 o ENS plantea las preguntas que determinan la respuesta en unos minutos.

Todo esto vive dentro del mismo mapa: el de las certificaciones ISO y cómo se combinan sin duplicar esfuerzo.

Cuánto cuesta y cuánto tarda añadirlas

No publico tarifas, y desconfía de quien las publique sin conocer tu alcance. Lo que sí puede decirse es de qué depende el coste, que es lo que te permite pedir presupuestos comparables.

El gasto se reparte en tres partidas. La auditoría de certificación es la más previsible: al auditarse en la misma visita que la ISO 27001, la extensión se traduce en jornadas adicionales de auditor, normalmente pocas, no en un proceso paralelo. La consultoría o el trabajo interno de adaptación depende de cuántos servicios cloud tengas y de si ya documentaste el reparto de responsabilidades. Y hay un coste que casi nadie presupuesta: la compra de las normas, que no son gratuitas y se adquieren por norma y por edición.

En cuanto al plazo, si el SGSI está vivo y el inventario de servicios cloud está al día, el trabajo de adaptación es más de ordenar que de construir. Si el inventario no existe —el caso habitual—, el cuello de botella es levantarlo, no la norma.

Errores frecuentes

• Creer que sustituyen a la ISO 27001. No hay extensión sin sistema de gestión debajo.
• Implantar la 27018 sin ser encargado del tratamiento. Si tratas datos personales como responsable y no por cuenta de terceros, esa norma no está escrita para tu caso.
• Aceptar el certificado del proveedor como si cubriera tu parte. Cubre la suya. Las malas configuraciones siguen siendo tuyas.
• No mirar el alcance. Un certificado con un alcance que no incluye el servicio contratado no acredita ese servicio.
• Trabajar contra una edición retirada. Con la 27018 en edición de 2025 y la 27017:2015 retirada en julio de 2026, es fácil arrastrar plantillas y declaraciones de aplicabilidad que citan ediciones que ya no están vigentes.

Preguntas frecuentes

Fuentes

• ISO/IEC 27017:2026 — Information security, cybersecurity and privacy protection. Information security controls based on ISO/IEC 27002 for cloud services. Segunda edición, publicada en julio de 2026 y alineada con la ISO/IEC 27002:2022; sustituye a la primera edición de 2015, retirada en julio de 2026 (la ficha de catálogo indica «cancels and replaces the first edition»; el día exacto de la retirada no consta en ninguna fuente accesible). Ficha de catálogo de ISO (referencia 82878, cuyo título indexado ya reza «27017:2026») y ficha del proyecto FprEN correspondiente en el catálogo de normalización europea. Consultado el 1 de agosto de 2026.
• ISO/IEC 27018:2025 — Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors. Tercera edición, publicada el 26 de agosto de 2025; sustituye a la edición de 2019, se alinea con ISO/IEC 27002:2022 e incorpora un anexo B de orientación ampliada de implantación. Ficha de catálogo de ISO (referencia 88150), ficha de la IEC y reseña del blog de ANSI. Consultado el 1 de agosto de 2026.
• Descripción funcional del contenido de la ISO/IEC 27017 (orientación adicional sobre controles de la ISO/IEC 27002 y siete controles propios de nube) a partir de los resúmenes públicos de ISO y de la documentación de conformidad de Microsoft. Los textos de las normas no son públicos.
• Reglamento (UE) 2016/679, de protección de datos (referencia del BOE al DOUE: DOUE-L-2016-80807).
• Estado de la acreditación internacional: integración de IAF e ILAC en la Global Accreditation Cooperation Incorporated con cese de operaciones de ambos el 1 de enero de 2026; en España, ENAC como organismo nacional de acreditación. Verificado el 31 de julio de 2026.