Certificación ISO/IEC 27001:2022

Qué es ISO/IEC 27001

ISO/IEC 27001 es la norma internacional que especifica los requisitos para establecer, implantar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI). El SGSI es un enfoque sistemático basado en la gestión de riesgos que abarca personas, procesos y tecnología para preservar la confidencialidad, integridad y disponibilidad de la información.

La edición vigente, ISO/IEC 27001:2022, organiza los controles de referencia del Anexo A en cuatro temas (organizativos, de personas, físicos y tecnológicos) y se apoya en el catálogo de controles de ISO/IEC 27002. La certificación acredita que su organización ha identificado sus riesgos, ha aplicado los controles adecuados —documentados en la Declaración de Aplicabilidad (SoA)— y opera el sistema de forma eficaz.

Beneficios de certificarse

• Confianza comercial: el certificado es la respuesta más directa a los cuestionarios de seguridad de clientes corporativos y a las licitaciones que exigen ISO/IEC 27001.
• Gestión sistemática del riesgo: identifique y trate las amenazas antes de que se conviertan en incidentes.
• Cumplimiento normativo: el SGSI facilita la demostración de diligencia debida frente a RGPD, NIS2, DORA y cláusulas contractuales de seguridad.
• Ventaja competitiva: diferencie su propuesta en procesos de venta B2B y acelere los cierres comerciales.
• Mejora continua: el ciclo de auditorías (certificación, vigilancia, recertificación) mantiene el sistema vivo y actualizado.

¿Quién la necesita?

La norma es aplicable a cualquier organización, pero resulta especialmente relevante para:

• Empresas de software y SaaS que gestionan datos de clientes.
• Proveedores de servicios TI, cloud, consultoras tecnológicas y MSP.
• Fintech, insurtech y servicios financieros sometidos a requisitos de terceros y reguladores.
• Organizaciones sanitarias, despachos profesionales y cualquier empresa que procese información sensible.
• Compañías cuyos clientes o licitaciones solicitan el certificado como requisito de contratación.

Cómo es el proceso de certificación

BorealCert realiza el ciclo completo de certificación de forma remota, conforme a las técnicas de auditoría de ISO 19011 y a las directrices de IAF sobre auditoría remota:

Etapa	Contenido	Duración típica
Solicitud y cotización	Definición del alcance del SGSI, tamaño de la organización y precio cerrado.	1 día laborable
Fase 1 — documental	Revisión remota del alcance, políticas, evaluación de riesgos, SoA y preparación.	1–2 días de auditoría
Fase 2 — implementación	Auditoría por videollamada: entrevistas, evidencias de controles y funcionamiento del SGSI.	2–5 días según tamaño
Decisión y emisión	Revisión independiente por el comité de certificación y emisión del certificado.	Hasta 10 días laborables
Vigilancia	Auditorías anuales de seguimiento para mantener la certificación.	Anual
Recertificación	Nueva auditoría completa antes de la expiración para renovar el ciclo.	Cada 3 años

Preguntas frecuentes sobre ISO/IEC 27001

¿Cuánto tarda una PYME en certificarse?

Si el SGSI ya está implantado, el proceso de certificación suele completarse en 4–8 semanas. Si parte de cero, el plazo depende de la implementación; la auditoría Fase 1 puede realizarse cuando la documentación básica esté lista.

¿La auditoría remota tiene la misma validez que una presencial?

Sí. Las técnicas de auditoría remota están reconocidas por las directrices internacionales de auditoría (IAF MD 4 e ISO 19011) y el certificado resultante es idéntico. Evaluamos la elegibilidad de cada organización para asegurar que la modalidad remota permite alcanzar los objetivos de la auditoría.

¿Qué diferencia hay entre ISO/IEC 27001:2013 y la edición 2022?

La edición 2022 actualiza el Anexo A (93 controles agrupados en 4 temas, frente a los 114 controles en 14 dominios de 2013) e incorpora controles nuevos como inteligencia de amenazas, seguridad en cloud o gestión de fugas de información. Los certificados 2013 debían transicionar a 2022 antes de octubre de 2025; BorealCert emite exclusivamente certificados ISO/IEC 27001:2022.

¿Qué documentación mínima necesito?

Política y objetivos de seguridad, alcance del SGSI, metodología y resultados de la evaluación y tratamiento de riesgos, Declaración de Aplicabilidad, evidencias de operación de los controles (registros, revisiones, auditorías internas y revisión por la dirección).

¿Cuánto cuesta la certificación?

El precio depende del número de personas dentro del alcance, la complejidad tecnológica y el número de sedes lógicas. Las PYMES suelen recibir cotizaciones cerradas; solicite la suya sin compromiso a través del formulario de contacto.

¿Cómo pueden mis clientes verificar el certificado?

Todos los certificados emitidos por BorealCert figuran en nuestro registro público verify.borealcert.com, consultable por número de certificado en cualquier momento.