La ISO/IEC 27001 establece los requisitos para implantar, mantener y mejorar de forma continua un sistema de gestión de seguridad de la información (SGSI). No es una lista de comprobación de TI: abarca personas, procesos y tecnología en todo el alcance que definas, y sitúa el riesgo en el centro de cada decisión.
La certificación es voluntaria, pero ya es un requisito habitual en licitaciones, ventas a grandes empresas y homologaciones de proveedores. ISO no certifica organizaciones, y nosotros tampoco: lo hacen entidades de certificación independientes, preferiblemente acreditadas por un organismo nacional como ENAC en España o UKAS en el Reino Unido. Nuestro papel es llevarte hasta ahí con un sistema que funcione a diario.
A quién se aplica
Cualquier organización, de cualquier tamaño
La norma sirve a cualquier sector: desde startups hasta organismos públicos, cualquiera que maneje información que deba proteger.
Empresas tecnológicas y SaaS
Los clientes corporativos esperan cada vez más un certificado antes de compartir datos o firmar un contrato.
Proveedores bajo presión regulatoria
Los clientes sujetos a NIS2 o DORA necesitan garantías de sus proveedores, y un SGSI certificado es una respuesta ampliamente reconocida.
Organizaciones con varios marcos
Un SGSI da una columna vertebral única para las evidencias del ENS, NIS2, DORA o el RGPD, en lugar de proyectos paralelos.
Requisitos clave
Contexto y alcance
Entender el contexto interno y externo y las partes interesadas, y definir con precisión el alcance del SGSI. Desde la Modificación 1:2024, hay que valorar también si el cambio climático es una cuestión pertinente.
Liderazgo y política
La alta dirección debe comprometerse con el SGSI, aprobar una política de seguridad de la información y asignar funciones, responsabilidades y recursos.
Evaluación y tratamiento de riesgos
Un método repetible para identificar, analizar y valorar los riesgos, y un plan de tratamiento cuyos riesgos residuales aceptan sus propietarios.
Declaración de aplicabilidad
El Anexo A recoge 93 controles en cuatro temas: 37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos. Justificas cuáles aplican y por qué.
Evaluación del desempeño
Seguimiento y medición, un programa planificado de auditorías internas y revisiones periódicas por la dirección.
Mejora continua
Las no conformidades se corrigen, se atacan sus causas y el sistema mejora con el tiempo.
Cómo te ayudamos
Análisis de brechas y alcance
Revisamos tus prácticas actuales frente a la norma y te ayudamos a definir un alcance con sentido para tus clientes y realista de mantener.
Plan y metodología de riesgos
Metodología de riesgos, inventario de activos y riesgos, plan de tratamiento y borrador de la declaración de aplicabilidad, con un calendario realista.
Implantación
Políticas y procedimientos, concienciación y los controles técnicos que los sostienen: identidad y acceso, registro y monitorización, gestión de vulnerabilidades, copias de seguridad y desarrollo seguro.
Auditoría interna y preparación para la certificación
Auditoría interna y revisión por la dirección previas a la externa, acompañamiento en las fases 1 y 2 con la entidad de certificación que elijas y apoyo en las auditorías anuales de seguimiento.
Señales de que debes actuar
- Una licitación o un cliente corporativo te exige el certificado ISO 27001.
- Tu equipo dedica semanas a responder cuestionarios de seguridad uno a uno.
- Tu SGSI existe en papel, pero nadie hace las revisiones de riesgos ni las auditorías internas.
- Tus procesos siguen pensados para la edición de 2013 de la norma.
- Te afectan NIS2, DORA o el ENS y quieres un único marco para ordenar las evidencias.
Preguntas frecuentes
¿Cuánto se tarda en implantar la ISO 27001?
Depende del alcance, el tamaño y la madurez de partida. Tras el análisis de brechas te damos un calendario realista, incluido el tiempo que el SGSI debe funcionar y generar evidencias antes de la auditoría.
¿ZERYON emite el certificado?
No. Lo emiten entidades de certificación independientes, preferiblemente acreditadas. Nosotros preparamos a tu organización y te acompañamos en el proceso.
¿Hay que implantar los 93 controles del Anexo A?
No. Seleccionas los controles según tu evaluación de riesgos y justificas cada inclusión y exclusión en la declaración de aplicabilidad.
¿Cuánto dura la certificación?
La certificación acreditada suele seguir un ciclo de tres años, con auditorías de seguimiento en los años intermedios y una auditoría de renovación al final.
¿Qué cambió en la edición de 2022?
El Anexo A pasó de 114 controles a 93 en cuatro temas, con controles nuevos como inteligencia de amenazas, seguridad en servicios en la nube, enmascaramiento de datos y codificación segura. El periodo de transición de los certificados de 2013 terminó el 31 de octubre de 2025.
¿La ISO 27001 me hace cumplir NIS2 o el ENS?
No automáticamente. Comparte buena parte de su lógica y acelera ambos, pero cada uno tiene requisitos propios: plazos de notificación y deberes de la dirección en NIS2, categorización de sistemas y guías CCN-STIC en el ENS.