El proceso de certificación ISO/IEC 27001 consiste en evaluar si una organización ha establecido, implantado y mantiene un Sistema de Gestión de la Seguridad de la Información, SGSI, adecuado a sus riesgos, actividades y alcance, de conformidad con los requisitos de la norma UNE-EN ISO/IEC 27001:2023 (equivalente a ISO/IEC 27001:2022)
La certificación ISO/IEC 27001 realizada por ACERTA permite evaluar de manera independiente si una organización dispone de un Sistema de Gestión de la Seguridad de la Información, SGSI, diseñado para identificar, analizar y tratar los riesgos que pueden afectar a la confidencialidad, integridad y disponibilidad de la información.
La norma UNE-EN ISO/IEC 27001:2023, equivalente a ISO/IEC 27001:2022, es aplicable a organizaciones de cualquier tamaño y sector. Su enfoque integra personas, procesos y tecnología, y permite gestionar la seguridad de la información de forma sistemática, proporcional a los riesgos y orientada a la mejora continua.
El proceso de certificación se estructura en varias fases: revisión de la solicitud y del alcance, planificación de la auditoría, auditoría inicial en Etapa 1 y Etapa 2, tratamiento de las no conformidades, revisión independiente y toma de decisión. Cuando el resultado es favorable, se emite el certificado y comienza un ciclo de certificación de tres años, con auditorías periódicas de seguimiento y una auditoría de renovación antes de su vencimiento.
Este proceso permite evaluar la eficacia del SGSI, comprobar la gestión de los riesgos de seguridad de la información, verificar la implantación de los controles seleccionados e identificar incumplimientos y oportunidades de mejora. La certificación proporciona confianza a clientes, administraciones, socios y otras partes interesadas, y puede ayudar a responder a requisitos contractuales, procesos de homologación de proveedores y licitaciones.
ISO/IEC 27001 también puede servir como base para organizar y aportar evidencias frente a otros marcos de seguridad y obligaciones regulatorias, como el Esquema Nacional de Seguridad, la Directiva NIS2, el Reglamento DORA o los requisitos de protección de datos. No obstante, la certificación ISO/IEC 27001 no sustituye las evaluaciones, certificaciones o comprobaciones específicas que puedan exigir dichos marcos. NIS2 establece obligaciones propias sobre gestión de riesgos, supervisión y notificación de incidentes, mientras que DORA incorpora requisitos específicos de resiliencia operativa digital para el sector financiero.
ISO/IEC 27001 es una norma internacional que establece los requisitos para implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información, SGSI.
Su aplicación permite identificar y gestionar los riesgos que pueden afectar a la confidencialidad, integridad y disponibilidad de la información, mediante medidas organizativas, humanas, físicas y tecnológicas.
La certificación ayuda a demostrar ante clientes, socios y otras partes interesadas que la organización gestiona la seguridad de la información de forma sistemática y que su SGSI ha sido evaluado por una entidad independiente.
La calificación concreta de las actividades debe realizarse conforme a la normativa aplicable y a las características de cada proyecto.
Puede certificarse cualquier organización, con independencia de su tamaño, sector o nivel de complejidad. La norma es aplicable tanto a grandes organizaciones como a pymes, microempresas, proveedores tecnológicos y profesionales que gestionen información relevante dentro de un alcance claramente definido.
Con carácter general, la certificación es voluntaria. No obstante, puede convertirse en un requisito comercial o contractual cuando la exijan un cliente, una licitación, una empresa matriz, un socio de negocio o un proceso de homologación de proveedores.
Se certifica el Sistema de Gestión de la Seguridad de la Información incluido dentro del alcance definido por la organización.
El alcance puede cubrir toda la organización o limitarse a determinados servicios, procesos, actividades, ubicaciones o unidades. Sus límites deben ser claros, coherentes y no pueden excluir elementos esenciales para la adecuada gestión de los riesgos.
ISO/IEC 27001 no certifica de manera aislada un producto, una aplicación, una plataforma tecnológica o un servicio cloud, aunque estos elementos pueden formar parte del SGSI evaluado.
No necesariamente. La organización debe seleccionar los controles necesarios en función de sus riesgos, requisitos legales, compromisos contractuales y necesidades de las partes interesadas.
La selección se recoge en la Declaración de Aplicabilidad, donde se identifican los controles considerados necesarios, su estado de implantación y la justificación de las exclusiones. Además, la organización debe comprobar que no ha omitido ningún control relevante del Anexo A.
Por tanto, la certificación no consiste en aplicar automáticamente una lista cerrada de medidas, sino en demostrar que los riesgos se han identificado y tratado de forma adecuada.
El proceso comienza con la revisión de la solicitud, el alcance y las características de la organización. A partir de esta información se determina el tiempo de auditoría y se planifica la evaluación.
La auditoría inicial se realiza en dos etapas:
Tras la resolución de las posibles no conformidades, el expediente se somete a una revisión independiente y se adopta la decisión sobre la certificación.
La organización deberá analizar sus causas, realizar las correcciones necesarias, definir acciones correctivas y presentar evidencias de su implantación dentro del plazo establecido.
La detección de no conformidades no implica automáticamente la denegación del certificado. Sin embargo, las no conformidades que impidan confirmar la conformidad o eficacia del SGSI deberán quedar satisfactoriamente resueltas antes de adoptar una decisión favorable.
Dependiendo de su naturaleza, la verificación podrá realizarse mediante revisión documental o requerir comprobaciones adicionales
El ciclo de certificación tiene una duración de tres años. Después de la auditoría inicial se realizan auditorías periódicas de seguimiento y, antes de finalizar el ciclo, una auditoría de renovación.
El tiempo necesario para obtener la certificación depende del alcance, el tamaño y la complejidad de la organización, el número de ubicaciones, las tecnologías utilizadas, la externalización de servicios y el grado de madurez previo del SGSI.
La organización debe disponer, antes de la auditoría inicial, de un sistema implantado y de evidencias suficientes de su funcionamiento, incluyendo la evaluación de riesgos, la Declaración de Aplicabilidad, la auditoría interna y la revisión por la dirección.
Sí. ISO/IEC 27001 puede integrarse con normas como ISO 9001, ISO 14001, ISO 20000-1 o ISO 22301, compartiendo procesos relativos al contexto, liderazgo, objetivos, competencias, auditoría interna, revisión por la dirección y mejora continua.
También puede facilitar la organización de controles y evidencias relacionados con el Esquema Nacional de Seguridad, NIS2, DORA y los requisitos de protección de datos.
No obstante, la certificación ISO/IEC 27001 no sustituye el cumplimiento ni las evaluaciones específicas exigidas por estos marcos. Cada uno mantiene su propio ámbito de aplicación, requisitos y mecanismos de supervisión o certificación.
Nuestro equipo puede analizar tu caso y orientarte sobre los requisitos, la documentación necesaria y los pasos para iniciar el proceso con ACERTA. Contáctanos sin compromiso y en menos de 24 horas te responderemos.
Para cualquier consulta, comentario o sugerencia, no dudes en ponerte en contacto con nosotros.
