[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:coste-de-implantacion-iso-27001":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","coste-de-implantacion-iso-27001","Coste de implantación de ISO 27001: la cifra a tres años, no la primera factura","La certificación funciona en un ciclo de tres años con auditorías de seguimiento cada año. Presupuestar solo la primera auditoría es la forma más común de que el total sorprenda.","2026-08-20",{"who":10,"when":11,"do":12},"Una empresa que calcula el coste de ISO 27001 para su presupuesto: la certificación sigue un ciclo de tres años, certificación inicial el primer año, auditorías de seguimiento el segundo y el tercero y recertificación después, y el tiempo interno para construir y operar el sistema suele ser una partida mayor que la tarifa de auditoría.","En el momento de fijar el presupuesto, antes de reservar la primera auditoría, y de nuevo cada año del ciclo, porque un presupuesto que solo cuenta la primera auditoría se encuentra con la factura de seguimiento un año después.","Tome los días de auditor para su plantilla de ISO\u002FIEC 27006 anexo B, valórelos a unos 1.200 a 1.800 EUR por día, añada una auditoría de seguimiento de alrededor de un tercio de eso en el segundo y tercer año y una recertificación de alrededor de dos tercios, y sume después las horas de su propia gente, la cifra que la mayoría de las estimaciones omite.","\nEl coste de implantar ISO 27001 es una cifra a tres años, no una primera factura: para una empresa de 46 a 65 personas, la certificación inicial son unos 10 días de auditor, de 12.000 a 18.000 EUR a 1.200 a 1.800 EUR por día, después auditorías de seguimiento en los años dos y tres de aproximadamente un tercio de eso cada una y una recertificación de aproximadamente dos tercios, más el tiempo interno para construir y mantener el sistema, que suele ser la partida mayor. La mayoría de las estimaciones citan la primera auditoría y se detienen ahí.\n\n## El ciclo\n\n**Año 0, certificación inicial.** Fase 1 y fase 2, valoradas en días de auditor a partir de la tabla del Anexo B de ISO\u002FIEC 27006. Una empresa de 46 a 65 personas está en torno a los 10 días; a 1.200 a 1.800 EUR por día, son de 12.000 a 18.000 EUR.\n\n**Años 1 y 2, seguimiento.** Aproximadamente un tercio del tiempo de auditoría inicial cada año. El certificado se retira si se los salta.\n\n**Año 3, recertificación.** Aproximadamente dos tercios del tiempo inicial, y el ciclo vuelve a empezar.\n\nAsí que el gasto en auditoría a lo largo de tres años es sustancialmente mayor de lo que sugiere la primera factura. [La página de costes](\u002Fiso-27001\u002Fcost) lo suma para su plantilla.\n\n## El coste interno, que suele ser mayor\n\nLos días de auditor son la cifra visible. La invisible es el tiempo que dedica su propia gente, y se divide en dos.\n\n**Construir el sistema.** Contexto, alcance, evaluación de riesgos, declaración de aplicabilidad sobre los 93 controles del Anexo A, políticas, un programa de auditoría interna, una revisión por la dirección. Esto se concentra al principio y es finito.\n\n**Mantenerlo en marcha.** Esta es la parte que se repite, y es donde las implantaciones se vuelven caras sin hacer ruido. La evidencia tiene que existir para el periodo por el que pregunta el auditor. Una organización que la recoge sobre la marcha gasta un poco de forma continua; una que no lo hace gasta un bloque concentrado antes de cada auditoría, cada año, para siempre.\n\n## Lo que realmente lo reduce\n\nAcote el alcance con honestidad. Esté listo en la fase 1. Y guarde los registros a medida que ocurren las cosas en lugar de reunirlos después, porque reunirlos es la mitad cara y se repite cada año.\n\nEl software es una partida pequeña frente a todo lo anterior. Lo que importa es si le deja registros fechados y completos el día en que un auditor los pide. [Nuestra cobertura cláusula por cláusula](\u002Fiso-27001\u002Fcoverage) expone lo que guardamos y lo que no.\n",1789383981146]