Implantar ISO 27001 paso a paso: plazos reales para pymes

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Cómo se implanta ISO 27001 y cuánto se tarda de verdad?

Implantar ISO 27001 es recorrer siete pasos que la propia norma encadena: alcance, política y roles, apreciación de riesgos, tratamiento y SoA, implantación de controles, auditoría interna y revisión por la dirección y, solo entonces, la certificación en dos fases. En una pyme de 50–200 empleados, entre 6 y 12 meses hasta el certificado.

Ese orden no es un gusto de consultor: lo impone la estructura de cláusulas 4 a 10 de ISO/IEC 27001:2022, obligatorias en su totalidad. Lo único que puedes dejar fuera, con justificación, son controles del Anexo A; el esqueleto de gestión —del alcance a la mejora continua— va entero, sí o sí.

Los siete pasos para implantar ISO 27001, uno a uno

El itinerario para implementar ISO 27001 es siempre el mismo; lo que cambia es dónde tropieza cada empresa. Estos son los pasos con la trampa concreta de cada uno.

1. Alcance (cláusula 4.3). Aquí se decide el presupuesto. Un alcance de «toda la empresa» multiplica controles, evidencias y horas de auditoría; uno bien acotado —una sede, un servicio, un equipo— hace el proyecto abordable. No es casualidad que la guía de plan director de INCIBE para pymes arranque por lo mismo: acotar qué procesos, departamentos o sistemas son el objetivo antes de tocar nada.

2. Política y roles (cláusulas 5.2 y 5.3). La política de seguridad es documento obligatorio, pero sin un nombre y apellidos detrás de cada activo es papel muerto. Asigna responsables reales; el auditor pregunta por personas, no por organigramas.

3. Apreciación de riesgos (cláusula 6.1.2). El corazón del sistema. Identificas activos, amenazas y consecuencias, y valoras cada riesgo. Todo lo que viene después —qué controles pones y cuáles no— sale de aquí.

4. Tratamiento y SoA (cláusula 6.1.3). Los controles no se eligen de una lista: se determinan desde cómo decides tratar cada riesgo (6.1.3.b-c) y se justifican, incluidos y excluidos, en la SoA (la Declaración de Aplicabilidad) —el documento clave de todo el expediente— (6.1.3.d). Es el contraste con los 93 controles del Anexo A lo que evita que se te olvide algo relevante, no un checklist que rellenas entero.

5. Implantación y operación (cláusulas 7 y 8). Pones los controles a funcionar: recursos, competencia, concienciación (cláusula 7) y control operacional (cláusula 8). Aquí es donde el proyecto deja de ser papel y empieza a generar registros. Y aquí, como verás, está el cuello de botella.

6. Auditoría interna y revisión por la dirección (cláusulas 9.2 y 9.3). No es opcional ni un trámite final: tienen que estar hechas antes de presentarte a certificación. Muchas pymes las descubren tarde y pierden semanas.

7. Certificación en dos fases (ISO/IEC 17021-1, 9.3). La fase 1 revisa que estás preparado —alcance, SoA, riesgos, auditoría interna y revisión por la dirección hechas—; la fase 2 audita implantación y eficacia. La certifica una entidad acreditada independiente, nunca tu consultora.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Plazos reales por fase: dónde se va el tiempo de verdad

La pregunta de todo gerente es cuánto tardo. La respuesta honesta reparte los 6–12 meses así (estimación de mercado, no un plazo que fije la norma):

Fíjate en la tercera fila, porque es la que casi nadie te cuenta. El cuello de botella de un proyecto ISO 27001 no es escribir documentos: es que los controles operen el tiempo suficiente para generar registros. Una política la redactas en una tarde; tres meses de registros de operación no se redactan, se acumulan.

El motivo es normativo. La certificación sigue el orden de ISO/IEC 17021-1, cláusula 9.3: la fase 2 no audita tu documentación, audita implantación y eficacia. Y la eficacia no se enseña con un procedimiento firmado, se enseña con histórico: revisiones de accesos ejecutadas, backups probados, incidentes gestionados, acciones correctivas cerradas. De los registros que exige la norma —seguimiento y medición (9.1), auditoría interna (9.2), revisión por la dirección (9.3), no conformidades (10.2)—, la mayoría solo existen si el sistema ha estado funcionando. Es estructuralmente imposible llegar a fase 2 con el papel recién impreso.

De ahí ese tramo de rodaje de 2–3 meses que las ofertas de «certifícate en 8 semanas» omiten: comprimen la redacción, que sí se puede acelerar, pero el rodaje no se acorta sin presentarte a fase 2 sin evidencias. No es una manía de los auditores ISO; es la dirección de todo el ecosistema. La propia guía técnica de ENISA para NIS2 articula el cumplimiento por requisito de seguridad y, para cada uno, propone ejemplos de evidencia en lugar de la mera existencia de documentos. Esos requisitos son los que concretan las medidas del artículo 21.2 de la Directiva (UE) 2022/2555.

La consecuencia práctica cambia cómo se planifica: los controles con periodicidad —revisión de accesos, pruebas de restauración, métricas— deben arrancar cuanto antes, en paralelo a la documentación que falte, no «cuando todo esté escrito». Solapando el rodaje con el tramo final de la implantación te acercas al extremo bajo de la horquilla; la secuencia ingenua «documentar todo → implantar → auditar» te lleva al extremo alto. Igual que el calendario, el coste se reparte por fases: el detalle lo tienes en el presupuesto por fases.

Errores que alargan tu proyecto ISO 27001

Cuatro trampas concentran casi todos los retrasos y sobrecostes:

• Dejar el rodaje para el final. Es el error caro que acabas de ver: si los controles empiezan a operar solo cuando la documentación está terminada, sumas su rodaje al final en lugar de solaparlo. Arráncalos en paralelo.
• Creerse el «certificado en 8 semanas». Ninguna cláusula fija meses, pero los registros de operación exigen tiempo real. Una oferta que promete certificado en dos meses o audita un sistema sin evidencias, o no cuenta el rodaje.
• Contratar «implantación + certificado garantizado» a la misma empresa. Es incompatible con la acreditación: ISO/IEC 17021-1, cláusula 5.2.7, prohíbe que quien te implanta o audita por dentro te certifique después (con una regla de separación de dos años). Quien te promete ambas cosas no te va a certificar de verdad.
• Pensar que sin consultora no se puede. Ninguna cláusula de ISO 27001 exige consultores: la norma pide competencia y recursos (cláusula 7), no proveedores externos. Externalizar el análisis de riesgos o la auditoría interna compensa si no hay experiencia previa; el resto es trabajo interno que nadie te va a hacer.

Por dónde empezar esta semana: no descargues una plantilla de los 93 controles para ir tachando. Delimita primero un alcance pequeño y defendible, y pon a operar cuanto antes los controles que generan registros con el tiempo. Ese rodaje temprano es lo que decide si tu proyecto ISO 27001 dura seis meses o doce.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.