Lo que cuesta realmente una certificación ISO 27001

Ninguna entidad de certificación acreditada publica sus precios. AENOR, Bureau Veritas, DNV, DQS, TÜV, BSI, Intertek, SGS, LRQA y Dekra solo ofrecen presupuesto a petición, así que no puede presupuestar antes de que empiecen las llamadas comerciales. Aun así, el importe sigue siendo días de auditor × tarifa diaria, y los días salen de la tabla de tiempos de auditoría del Anexo B de la ISO/IEC 27006, a la que el organismo de acreditación obliga al certificador; puede calcular su propia cifra antes de que nadie le pase un presupuesto.

Cada cifra de arriba es días de auditor × tarifa diaria. Los días vienen de la ISO/IEC 27006, que los fija por número de personas; la horquilla de 1200 € a 2000 € es la de las fuentes profesionales publicadas para entidades acreditadas en Europa, y ninguna entidad de certificación publica la suya. El cálculo está en esta página precisamente para que pueda rehacerlo con una tarifa que le hayan ofrecido en lugar de con la nuestra. Si una entidad le presupuesta muy fuera de estas horquillas, pregúntele cuántos días de auditor ha previsto y qué edición de la ISO/IEC 27006 ha aplicado.

De cuatro a siete meses es realista para una pequeña empresa de software con herramientas. El suelo está en torno a tres meses y es un suelo duro, por una razón que merece entenderse: la fase 2 muestrea sus registros. El capítulo 9.2 exige una auditoría interna y el 9.3 una revisión por la dirección, y un auditor no puede muestrear una revisión por la dirección que no ha ocurrido. Ningún software puede comprimir eso. Lo que el software sí puede eliminar son los dos a seis meses de construir políticas, registro de riesgos y la Declaración de Aplicabilidad que normalmente van antes.

Nada impide que una empresa se llame entidad de certificación y venda certificados. Un certificado no acreditado tiene el mismo aspecto, cuesta aproximadamente entre un 40 y un 50 % menos, y en las compras de grandes clientes se rechaza con regularidad. Entonces paga otra vez los honorarios acreditados completos, porque un certificado no acreditado por lo general no se puede transferir. Cada país de la UE tiene un único organismo nacional de acreditación, designado conforme al Reglamento (CE) 765/2008; en España es ENAC. Compruebe a su certificador en ese registro, o internacionalmente a través de IAF, antes de firmar nada.

Cómo encontrar una entidad de certificación acreditada y comprobarla usted mismo

• hasta 10 personas → 5 días de auditor
• 16–25 personas → 7 días de auditor
• 46–65 personas → 10 días de auditor
• 86–125 personas → 12 días de auditor

Reproducidos como ejemplos calculados y no como la tabla en sí, porque la ISO/IEC 27006 está protegida por derechos de autor y no vamos a republicarla. Compruébelos con su propio ejemplar.