Consultoría ISO 27001: implantación y certificación del SGSI

Entre cuatro y cinco meses hasta la auditoría de certificación en una organización mediana con un alcance bien definido. El plazo depende del alcance del SGSI, de la complejidad tecnológica y de la madurez previa en seguridad.

• Diagnóstico (semanas 1 a 3): análisis de brecha frente a los requisitos de la norma y los 93 controles del Anexo A, y definición del alcance.
• Riesgos y documentación (semanas 4 a 10): análisis de riesgos con MAGERIT o ISO/IEC 27005, políticas, procedimientos y Declaración de Aplicabilidad.
• Auditoría interna y revisión por la dirección (semanas 11 a 14): verificación completa y cierre de desviaciones.
• Auditoría de certificación (semanas 15 a 20): etapa 1 documental y etapa 2 in situ con una entidad acreditada por ENAC.

Si la necesita para una licitación con fecha cerrada, planificamos hacia atrás desde esa fecha y reservamos con antelación la auditoría con la certificadora.

El coste tiene dos partes independientes: los honorarios de consultoría y la tarifa de la entidad de certificación acreditada por ENAC. Los honorarios dependen del alcance del SGSI, del número de personas y sedes, de la infraestructura (en la nube, local o híbrida) y de si ya cumple con el ENS u otra norma.

La tarifa de la certificadora depende de las jornadas de auditoría, que se calculan según ISO/IEC 27006-1:2024 en función del tamaño y la complejidad de la organización; cada certificadora fija su precio. Le damos un presupuesto cerrado tras el diagnóstico inicial y le ayudamos a comparar ofertas de varias certificadoras acreditadas.

La mayor parte del trabajo documental lo asumimos nosotros. La dedicación de su personal se concentra en validar decisiones y aportar información:

• Dirección: entre 4 y 6 horas en todo el proyecto (arranque, aprobación de la política y revisión por la dirección).
• Responsables de TI y sistemas: entre 1,5 y 3 horas semanales para el inventario de activos y la configuración de controles.
• Recursos humanos, jurídico y operaciones: entre 2 y 4 horas en total.
• Plantilla: entre 30 y 45 minutos por persona de formación en concienciación.

Integramos el SGSI en las herramientas que ya utiliza (Microsoft 365, Google Workspace, Jira o su gestor de incidencias).

La edición 2022, adoptada en España como UNE-EN ISO/IEC 27001:2023, reorganizó el Anexo A en línea con ISO/IEC 27002:2022: pasó de 14 dominios y 114 controles a 4 grupos y 93 controles.

• Organizacionales (A.5): 37 controles.
• De personas (A.6): 8 controles.
• Físicos (A.7): 14 controles.
• Tecnológicos (A.8): 34 controles.

Incorpora 11 controles nuevos: inteligencia de amenazas (5.7), seguridad en servicios en la nube (5.23), preparación de las TIC para la continuidad (5.30), monitorización de la seguridad física (7.4), gestión de la configuración (8.9), eliminación de información (8.10), enmascaramiento de datos (8.11), prevención de fuga de datos (8.12), actividades de monitorización (8.16), filtrado web (8.23) y codificación segura (8.28). Como el resto, se aplican o se excluyen con justificación en la Declaración de Aplicabilidad.

En 2024 se publicó la modificación ISO/IEC 27001:2022/Amd 1:2024 (UNE-EN ISO/IEC 27001:2023/A1:2024), que obliga a considerar el cambio climático en el contexto y las partes interesadas (apartados 4.1 y 4.2). La transición desde la versión 2013 terminó el 31 de octubre de 2025.

ISO/IEC 27001 aporta el sistema de gestión y el ENS, regulado por el Real Decreto 311/2022, añade medidas específicas para el sector público. Muchas medidas del Anexo II del ENS tienen correspondencia con controles del Anexo A, y el CCN publica tablas de equivalencia.

• Riesgos: un único análisis con MAGERIT y PILAR sirve para el apartado 6.1.2 de ISO 27001 y el artículo 14 del ENS.
• Documentación: una sola política, procedimientos comunes y un único repositorio de evidencias.
• NIS2: las obligaciones de gobernanza, gestión de riesgos y notificación de incidentes de la Directiva (UE) 2022/2555 encajan en los capítulos 5, 6, 9 y 10 de ISO 27001. La ley española de transposición sigue en tramitación.

La misma entidad de certificación acreditada por ENAC puede auditar ISO 27001 y ENS de forma coordinada, con menos duplicidades y menos dedicación de su personal.

Porque solo un certificado emitido por una entidad acreditada tiene reconocimiento en contratación pública y ante clientes corporativos. ENAC es el único organismo nacional de acreditación en España, designado conforme al Reglamento (CE) 765/2008. ENAC no certifica empresas: evalúa la competencia y la imparcialidad de las entidades de certificación conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1:2024.

Gracias a los acuerdos de reconocimiento de IAF, un certificado acreditado por ENAC es válido en los países firmantes, y los pliegos deben aceptar certificados equivalentes acreditados en otros Estados miembros. Ramírez&Cobos trabaja con entidades acreditadas (AENOR, SGS, Bureau Veritas, TÜV, Applus+, DNV u otras) y le ayuda a elegir la que mejor encaje.

Le acompañamos en la auditoría para que el equipo auditor tenga toda la información que necesita, sin interferir en su independencia.

• Interlocución técnica: explicamos el diseño del SGSI, el análisis de riesgos y las exclusiones de la Declaración de Aplicabilidad.
• Evidencias: ayudamos a localizar y presentar registros, configuraciones e informes cuando el auditor los solicita.
• Hallazgos: si se detectan no conformidades, elaboramos el análisis de causa y el plan de acciones correctivas que pide la certificadora.
• Ciclo de certificación: seguimos a su lado en las auditorías de seguimiento de los años 1 y 2 y en la renovación del año 3.

La decisión de certificar corresponde siempre a la entidad de certificación, con plena independencia.