ISO 27001 en España: la guía para pymes (2026)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué es la ISO 27001 y a quién le conviene certificarse?

La ISO 27001 es la norma internacional certificable de seguridad de la información: define los requisitos de un SGSI —un sistema de gestión— para analizar riesgos, elegir controles y mejorarlos de forma continua. En España se certifica contra la UNE-EN ISO/IEC 27001:2023, por organismos acreditados por ENAC. Si tu certificado sigue siendo de la versión 2013, ya no vale: perdió la condición de acreditado el 31 de octubre de 2025, y desde entonces solo cuentan los certificados contra la versión 2022. Es voluntaria: la piden clientes y pliegos.

Ahora la pregunta que de verdad te ronda: ¿te conviene a ti? Casi nadie se certifica por convicción. Te conviene si vendes —o quieres vender— a grandes empresas o a la Administración, porque ahí la ISO 27001 se ha convertido en un requisito de entrada. Esta guía está pensada para ese caso, el español, y por eso filtra el ruido del contenido escrito para otros mercados: aquí certifican entidades acreditadas por ENAC, la referencia es la norma UNE y los presupuestos van en euros.

La ISO 27001 no es un proyecto de TI: es un sistema de gestión

El primer malentendido caro es pensar que certificarse consiste en comprar herramientas y endurecer servidores. No lo es. Lo que la norma certifica es un SGSI, y un SGSI —en palabras del INCIBE— es «un conjunto de procesos para organizar la gestión de la seguridad de la información». Un sistema de gestión, no un producto ni un software.

Lo que el auditor mira, y no admite excusas, son las cláusulas 4 a 10 de la ISO/IEC 27001:2022: contexto de la organización, liderazgo de la dirección, planificación a partir de un análisis de riesgos, apoyo, operación, evaluación del desempeño y mejora. Nada de eso lo resuelve el departamento técnico por su cuenta: es trabajo de gestión, con documentos aprobados por la dirección.

El propio catálogo de controles de la norma ISO 27001 lo confirma. De los 93 controles de su Anexo A, solo 34 son tecnológicos; los otros 59 —el 63 %— son organizativos, de personas o físicos: políticas, formación, contratos, control de acceso físico, gestión de proveedores. Comprar un antivirus nuevo no te acerca al certificado; redactar tu política de seguridad, tu apreciación de riesgos y tu Declaración de Aplicabilidad —el documento que justifica qué controles de los 93 aplicas, cuáles no y por qué—, sí.

En España, la ISO 27001 no te la pide ninguna ley: te la pide tu cliente

Aquí está el matiz que casi ningún artículo cuenta claro: en España no existe ninguna ley que te obligue a certificarte en ISO 27001. Es voluntaria. La presión llega por el bolsillo, no por el BOE, y por dos vías muy concretas.

Los pliegos de contratación pública. La Ley 9/2017 de Contratos del Sector Público permite al órgano de contratación exigir, en los contratos sujetos a una regulación armonizada, certificados de organismos independientes que acrediten el cumplimiento de normas de garantía de la calidad (art. 93) y valorar como solvencia técnica las medidas que la empresa emplea para garantizar la calidad (art. 90.1.b y 90.1.c). La ley no nombra la ISO 27001 —habla de «normas» en general—, pero es la puerta por la que un pliego TIC acaba pidiendo una certificación de seguridad de la información. Si te presentas a concursos públicos, tarde o temprano te la cruzas.

La cadena de suministro de las grandes empresas. La Directiva (UE) 2022/2555 (NIS2) obliga a las entidades esenciales e importantes a gestionar la seguridad de su cadena de suministro (art. 21.2.d). ¿La traducción práctica? Esas corporaciones trasladan el requisito hacia abajo, a sus proveedores. Además, la propia directiva permite exigir certificaciones de esquemas europeos (art. 24) y fomenta el uso de normas internacionales como la ISO 27001 sin imponerlas (art. 25). Resultado: si eres proveedor de una empresa sujeta a NIS2, es probable que la certificación aparezca en tu próxima renovación de contrato.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Cómo funciona la certificación ISO 27001 (y qué no puedes esperar)

Certificar no lo hace cualquiera. Lo emite un organismo de certificación acreditado —en España, por ENAC— tras una auditoría en dos fases. La fase 1 revisa que tienes el sistema montado y documentado: el alcance, la política y la apreciación de riesgos redactados, la Declaración de Aplicabilidad cerrada, y la auditoría interna y la revisión por la dirección ya hechas. La fase 2 comprueba sobre el terreno que todo eso funciona de verdad. El certificado vale tres años, con una auditoría de seguimiento al menos anual y una recertificación al cerrar el ciclo.

Un detalle que ahorra sustos: se certifica el SGSI dentro del alcance que tú declaras (cláusula 4.3), no «tu empresa entera» —salvo que el alcance lo cubra—. Acotar bien ese alcance es tu principal palanca de coste.

Y una señal de alarma para cuando busques quién te ayuda: nadie puede «implantarte la ISO y garantizarte el certificado» a la vez. La norma ISO/IEC 17021-1 prohíbe (cláusula 5.2) que la entidad que te certifica te haya prestado la consultoría de implantación, con una regla de dos años de por medio. La consultora implanta; una entidad independiente acreditada certifica. Si alguien te vende las dos cosas en el mismo paquete «con certificado garantizado», ese certificado no valdría como acreditado.

¿Cuánto tarda y cuánto cuesta? Como orientación de mercado —no hay tarifa oficial—, una pyme de 50 a 200 empleados suele emplear entre 6 y 12 meses y moverse en una horquilla de 25.000 a 55.000 € el primer año, según su punto de partida y su alcance. El desglose fino, con las partidas que sí puedes recortar, está en cuánto cuesta certificarse. Y si quieres el itinerario de trabajo completo, tienes la guía de cómo implantarla paso a paso.

La ISO 27001 abre puertas, pero no es un salvoconducto para NIS2 ni el ENS

Tenerla ayuda muchísimo, pero conviene decirlo claro para que no te vendan humo: estar certificado en ISO 27001 no equivale a cumplir NIS2 ni el ENS.

Con NIS2 el solapamiento es grande —ENISA publica un mapeo oficial que cruza las medidas del artículo 21.2 con los controles de la norma—, así que reutilizas buena parte del trabajo. Pero la directiva añade obligaciones que ningún control del Anexo A cubre por sí solo: los plazos de notificación de incidentes (art. 23), la aprobación y formación del órgano de dirección (art. 20) y el registro de entidades (art. 27).

Con el ENS pasa algo parecido. El Real Decreto 311/2022 impone medidas concretas según la categoría del sistema (Anexo II), no una selección libre por riesgo, y canaliza la notificación de incidentes por su propia vía. La certificación ISO sirve como evidencia parcial, no como sustituto. La comparación completa, marco a marco, la tienes en ISO 27001 frente a NIS2 y ENS.

Por dónde empezar

No empieces comprando software ni descargando plantillas de los 93 controles. Empieza por una pregunta comercial: ¿qué cliente o qué concurso te va a pedir la ISO 27001, y para cuándo? Con esa fecha en la mano, delimita el alcance mínimo del SGSI que cubre ese servicio y ordena los documentos de gestión —política, apreciación de riesgos y Declaración de Aplicabilidad—. Ese es el grueso del trabajo, y no lo hace el informático: lo lideras tú.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.