ISO 27001
La norma por la que sus clientes no dejan de preguntar.
Datos de ejemplo
Ninguna ley obliga a una empresa de software a certificarse en ISO 27001; lo hacen la renovación de un cliente, una licitación o un banco sujeto a DORA, y la primera cifra que conviene conocer es lo que supone la auditoría para una empresa de su tamaño.
Para 25 personas, la auditoría de certificación son 7 días de auditor según el anexo C de ISO/IEC 27006-1:2024: de 8400 € a 14.000 € para la auditoría inicial y de 14.000 € a 23.300 € para el ciclo de tres años, a las tarifas diarias de los organismos acreditados en Europa, solo honorarios de auditoría.
Abrir la calculadora de costes con esta plantillaDe un vistazo
El ciclo de certificación de tres años
- Auditoría de etapa 1
- Auditoría de etapa 27 días de auditor, etapas 1 y 2
- Certificado
- Seguimiento, año 1unos 2,3 días de auditor
- Seguimiento, año 2unos 2,3 días de auditor
- Recertificación, año 3
Días de auditor para 25 personas en el alcance, ISO/IEC 27006-1:2024 Annex C; un seguimiento es cerca de un tercio de la auditoría inicial.
- CalculadoraLo que cuesta realmente certificarseLas entidades de certificación no publican sus precios, pero los días de auditoría los fija la ISO/IEC 27006. Puede calcular su propia cifra.
- GuíaISO 27001 para una empresa de 10 personasSe hace con este tamaño. La norma pide lo mismo a 10 personas que a una empresa mayor; la auditoría es más corta.
- GuíaQué incluye el software ISO 27001, y qué paga aparte al auditorEl precio del software compra el sistema de gestión. El certificado lo emite una entidad de certificación acreditada, que usted contrata y paga.
- GuíaSoftware ISO 27001 sin permanencia anualStandardOS se factura mes a mes. No hay permanencia ni preaviso, y usted cancela desde la app.
- GuíaSoftware de cumplimiento sin llamada comercialEl precio está en la página, la prueba no pide tarjeta, y usted compra y cancela desde la app. Nadie tiene que llamarle.
- Generador de documentosRedactar el alcanceEl apartado 4.3 a partir de doce respuestas: la frase que llevará el certificado, los límites, las interfaces y dependencias, las exclusiones con su justificación, y las cuestiones consideradas.
- Generador de documentosRedactar la política de seguridad de la informaciónEl apartado 5.2 a partir de diez respuestas: el propósito, por qué la seguridad importa a esta empresa, los compromisos, los objetivos, quién es responsable, las políticas temáticas que dependen de ella, y cómo se comunica y se revisa.
- Generador de documentosRedactar el registro de riesgos y el plan de tratamientoCinco respuestas eligen los riesgos de partida, cada uno puntuado y tratado con los controles del anexo A; el registro y el plan redactados como los lee el auditor, y la declaración de aplicabilidad se deriva.
- Generador de documentosRedactar el programa de auditoría internaEl apartado 9.2 a partir de cinco respuestas: los criterios, cuántas auditorías al año y qué cubre cada una, quién audita y cómo se mantiene la independencia, los métodos, el calendario del año sobre las secciones de la norma y los temas del anexo A, y cómo se informa de los resultados.
- Generador de documentosRedactar el acta de la revisión por la direcciónEl apartado 9.3 como orden del día: las siete entradas en el orden del apartado con lo que se dijo de cada una, las cuatro tendencias de desempeño con sus cifras, las decisiones, las acciones con responsable y fecha, y el acta que lee un auditor.
- Generador de documentosRedactar un registro de acción correctivaEl apartado 10.2 para un hallazgo: la no conformidad, la corrección y sus consecuencias, la causa, si existe en otro lugar, la acción con responsable y fecha, la comprobación de la eficacia y el cambio en el sistema, como el registro que lee un auditor.
- Generador de documentosRedactar el plan de respuesta a incidentesLos controles del anexo A sobre incidentes a partir de unas pocas respuestas: quién dirige, cómo se notifica un evento, los tres niveles de gravedad, los pasos de la respuesta, los relojes del RGPD, NIS2 y CRA que se aplican, la evidencia que conservar, la revisión posterior, los ejercicios.
- Generador de documentosRedactar la política de uso aceptableLas normas que firma cada persona, a partir de unas pocas respuestas: cuentas y contraseñas, dispositivos y dispositivos personales, trabajo remoto, manejo de la información, servicios aprobados y herramientas de IA, comunicación, uso personal, supervisión, notificación, salida, incumplimientos, aceptación.
- Generador de documentosRedactar la política de control de accesoQuién accede a qué y cómo se concede, protege, revisa y retira el acceso, a partir de unas pocas respuestas: una identidad por persona, autenticación multifactor, roles, cuentas privilegiadas, terceros, la revisión de accesos, salidas, registro, excepciones.
- Generador de documentosRedactar la política de seguridad de proveedoresCómo la empresa elige, contrata, vigila y deja a sus proveedores y servicios en la nube, a partir de unas pocas respuestas: los proveedores críticos, qué se comprueba antes de firmar, las seis cláusulas contractuales, dónde pueden estar los datos, la revisión, la salida.
- Generador de documentosRedactar el plan de continuidad de negocioQué hace la empresa cuando el producto, los datos, la oficina o un proveedor desaparecen, a partir de unas pocas respuestas: los servicios cubiertos, las horas para restablecer, la pérdida de datos tolerada, quién declara una interrupción, cómo se mantiene la seguridad mientras tanto, la recuperación, el ejercicio.
- Generador de documentosRedactar la declaración de aplicabilidadLos 93 controles del anexo A con un estado cada uno, una justificación para cada exclusión, y la declaración redactada como la lee el auditor, para copiar o descargar.
- GuíaLos 93 controles del Anexo AUna línea clara por control, agrupados según los cuatro temas de la edición de 2022.
- GuíaQué cubrimos, capítulo por capítuloCada capítulo del 4 al 10, dónde viven sus registros dentro del producto, y dónde están los límites de cualquier software.
- ArtículoCuántos días de auditoría, según la plantillaLa aritmética del anexo B de la ISO/IEC 27006 que fija el coste de la auditoría antes de que nadie le pase un presupuesto.
- ArtículoISO 27001 o SOC 2 en Europa3405 licitaciones europeas citan la ISO 27001, 104 citan SOC 2. La consulta es pública; ejecútela usted mismo.
- ArtículoDónde los compradores públicos citan la ISO 27001, por paísLos compradores públicos de España citaron la ISO 27001 en 58 licitaciones en el último año, el 0,08 % de todo lo que publicaron. Alemania y Polonia concentran siete de cada diez menciones en Europa; España cita antes el ENS.
- ArtículoLa declaración de alcance, la línea que un comprador lee primeroPor qué un certificado que nombra la sede central no cubre un producto SaaS, qué exige la cláusula 4.3, las ocho condiciones que aplica un cliente financiero bajo DORA, y tres declaraciones de alcance para una empresa de software que pasan.
- ArtículoLa declaración de aplicabilidad, leída para una empresa de softwareLas cuatro columnas del apartado 6.1.3 d), las exclusiones que un auditor acepta y las que nunca acepta, y cómo la declaración sigue al plan de tratamiento de riesgos.
- ArtículoLa evaluación de riesgos, leída para una empresa de softwareLo que pide el apartado 6.1.2, un método de cinco puntos con umbral de aceptación, los riesgos de partida de una empresa de software, y por qué el plan de tratamiento va antes que la declaración.
- ArtículoLa política de seguridad de la información, leída para una empresa de softwareLo que pide y no pide el apartado 5.2, las nueve secciones de una política de dos páginas, objetivos que un auditor puede medir, y los errores que señala la primera auditoría.
- ArtículoLa revisión por la dirección, leída como orden del díaLas siete entradas del apartado 9.3 en orden, las cuatro tendencias con cifras, las dos salidas, lo que debe mostrar el acta, y los errores que convierten una reunión en un hallazgo.
- ArtículoEl registro de acción correctiva, leído como secuenciaLo que pide el apartado 10.2 tras una no conformidad, las siete secciones de un registro que un auditor acepta, por qué corrección no es acción correctiva, y los errores que reabren un hallazgo cerrado.
- ArtículoISO/IEC 27701:2025, la norma de privacidad sobre 27001La edición independiente leída fila a fila: los 70 requisitos que un sistema ISO 27001 en funcionamiento cubre a medias, los 33 solo de privacidad, y los artículos del RGPD que cada control evidencia.
- Comprobación gratuitaDORA para un proveedor de software: las cláusulas contractuales que le enviará su cliente bancarioNueve cláusulas en todo contrato de servicios de TIC y seis más para una función esencial o importante, leídas en el artículo 30; el registro de información en el que figura; y para qué cláusulas un sistema ISO 27001 ya produce la evidencia.
Cada plantilla gratuita en una página
Lo que cuesta, y cómo llegar
- ArtículoCoste de la certificación ISO 27001 para una empresa, según la plantillaLos días de auditor salen de la tabla del Anexo C de ISO/IEC 27006-1:2024, así que el coste de la certificación sigue más a la plantilla que al sector.
- ArtículoCoste de implantación de ISO 27001: la cifra a tres años, no la primera facturaLa certificación funciona en un ciclo de tres años con auditorías de seguimiento cada año.
- ArtículoCertificación ISO 27001 más barata: cómo comparar presupuestos sin comprar un certificado sin valorLos presupuestos de los organismos de certificación varían, pero los días de auditor que hay detrás los fija el Anexo C de ISO/IEC 27006-1:2024.
- ArtículoLa forma más barata de obtener ISO 27001, y la parte que no puede abaratarLa mayor parte de un presupuesto ISO 27001 son días de auditor, y esos los fija una tabla publicada y no una negociación.
- ArtículoLista de verificación de cumplimiento ISO 27001, por cláusulaUna lista de verificación que sigue la propia estructura de la norma: las cláusulas 4 a 10 y lo que cada una le pide poder demostrar, más lo que añade el Anexo A.
- ArtículoMejor software de cumplimiento ISO 27001: qué preguntar antes de comparar funcionesEl número de integraciones es fácil de comparar y rara vez decide una auditoría.
- ArtículoISO 27001 sin consultor: lo que asume, en el orden en que lo asumeCada año hay empresas que se certifican sin consultor.
- ArtículoCómo obtener la certificación ISO 27001 para una empresa, en el orden en que ocurre de verdadEl camino desde nada hasta un certificado, qué ocurre en la fase 1 y la fase 2, y los registros que un auditor pide en cada punto.
- ArtículoCómo responder un cuestionario de seguridad desde su SGSI ISO 27001: 30 temas de preguntas mapeados a los controles del Anexo A que los respondenCasi todos los cuestionarios de seguridad que recibe una empresa europea preguntan por los mismos 30 temas.
El sistema ISO 27001 y sus pruebas, en un solo lugar
El anexo A como declaración de aplicabilidad, con las políticas, los riesgos y las auditorías que la prueban, en un solo espacio de trabajo.
O hecho con usted: Análisis de brechas ISO 27001, 1200 €, 10 días laborables
Lo que le pide
93 controles en 4 temas
Organizativo
37- A.5.1 Políticas de seguridad escritas, aprobadas y al día
- A.5.2 Quién responde de qué en seguridad
- A.5.3 Repartir las tareas delicadas entre varias personas
y 34 más
Personas
8- A.6.1 Comprobaciones previas a la contratación
- A.6.2 Deberes de seguridad en las condiciones de empleo
- A.6.3 Formar a las personas para trabajar con seguridad
y 5 más
Físico
14- A.7.1 Definir el límite físico que protege
- A.7.2 Controlar quién cruza la puerta
- A.7.3 Asegurar las propias salas
y 11 más
Tecnológico
34- A.8.1 Asegurar portátiles, teléfonos y equipos de escritorio
- A.8.2 Restringir el acceso de administración
- A.8.3 Limitar lo que cada persona puede abrir
y 31 más
Véase también:Cómo encontrar una entidad de certificación acreditadaLo que cuesta el software de cumplimientoPara consultores: cada cliente en una cuentaArtículosHerramientas gratuitas