Si vende en Europa, ISO 27001: en los 365 días hasta el 12 de septiembre de 2026 aparece en 3.405 anuncios de licitación en TED, el portal de contratación de la propia UE, frente a 104 de SOC 2, unas 33 veces más, y mes a mes la proporción nunca bajó de 18 a uno.
Si vende sobre todo a empresas estadounidenses, la respuesta va al revés, porque SOC 2 es la forma que espera su departamento de compras. El recuento es de menciones y no de requisitos firmes, la API de búsqueda de TED es pública, y la consulta está abajo para que pueda repetirla.
Esta pregunta se puede responder con evidencia que no es nuestra.
La medición
TED es el portal de contratación de la propia Unión Europea. Toda licitación pública por encima de los umbrales de la UE se publica ahí, y su API de búsqueda está abierta a cualquiera, sin clave y sin cuenta. Así que "qué pide realmente la contratación europea" es una pregunta con respuesta comprobable y no una opinión.
Contando todas las grafías de ambos términos en los 365 días hasta el 12 de septiembre de 2026:
| Término | Anuncios que lo mencionan |
|---|---|
| ISO 27001 | 3.405 |
| SOC 2 | 104 |
| NIS2 | 599 |
| ISO 42001 | 17 |
ISO 27001 aparece aproximadamente 33 veces más que SOC 2. La primera instantánea, tomada el 11 de agosto de 2026, decía 3.408 frente a 104: el recuento se mueve unas pocas unidades al mes y la proporción no se mueve en absoluto.
Mes a mes
La misma consulta mes natural a mes natural, para los doce meses completos de septiembre de 2025 a agosto de 2026: ISO 27001 se nombra en entre 242 y 343 anuncios al mes, SOC 2 en entre 4 y 19. El mes más ajustado fue junio de 2026, 343 frente a 19, 18 a uno; el más amplio, agosto de 2026, 242 frente a 4, 60 a uno. No hay ningún mes en que la respuesta cambie. La serie completa con un gráfico, los países compradores y un CSV están en la página de investigación (en inglés).
Lo que esa cifra es y lo que no es
Es un recuento de menciones, no de requisitos firmes. Un anuncio que nombra ISO 27001 en una lista de cualificaciones deseables cuenta igual que uno que la convierte en condición. La proporción compara lo comparable, así que la comparación se sostiene aunque la cifra absoluta exagere cuántas licitaciones la exigen de verdad.
También es solo contratación pública. Las compras de empresas privadas no están en TED, y el cuestionario de proveedores de un gran fabricante alemán no se convierte en un anuncio de licitación. Lo que la contratación pública le da es la única franja de las compras europeas en la que los requisitos se publican en lugar de inferirse, lo que la convierte en la mejor aproximación disponible y no en una perfecta.
La versión honesta de la respuesta
Si vende en Europa, ISO 27001 no es una decisión ajustada. Es la certificación que nombran los compradores europeos, y la diferencia no es marginal.
Si vende sobre todo a empresas estadounidenses, el argumento va al revés. SOC 2 es la forma que espera la contratación americana, su formato de informe es el que sus equipos de seguridad están entrenados para leer, y un certificado ISO a menudo provocará un cuestionario adicional en lugar de sustituirlo.
Si vende a ambos, la cuestión del orden importa más que la elección. ISO 27001 construye un sistema de gestión; SOC 2 atestigua controles durante un periodo. El sistema ISO es lo que produce evidencia de forma continua, así que las empresas que lo construyen primero suelen encontrar un SOC 2 posterior más barato que al revés.
Ejecútela usted mismo
La API es api.ted.europa.eu/v3/notices/search, acepta una cadena de consulta experta y no necesita credenciales. Ponga paginationMode en ITERATION y cuente los anuncios que coinciden con cada término; la consulta exacta y el script están en la página de investigación. Nuestra instantánea está fechada; si sus cifras difieren de las nuestras, las suyas son las más recientes.
Nada de esto es una afirmación que tenga que aceptar de un proveedor, y ese es el punto.
Dónde en Europa
La misma consulta desglosada por país comprador: qué países de la UE nombran ISO 27001 en las licitaciones públicas. Alemania y Polonia suman siete de cada diez menciones, y Francia, España e Italia nombran en su lugar sus esquemas nacionales.
Tomada la decisión: lo que cuesta la certificación ISO 27001, por plantilla, y cómo se compara StandardOS (en inglés) con las plataformas que venden SOC 2.