ISO/IEC 27001: guía completa del SGSI, el Anexo A y la certificación

ISO/IEC 27001 es la norma internacional que fija los requisitos para establecer, implantar, mantener y mejorar de forma continua un sistema de gestión de la seguridad de la información (SGSI). Su edición vigente es la ISO/IEC 27001:2022, es voluntaria y sirve a organizaciones de cualquier tamaño y sector [1]. Se certifica con una auditoría de una entidad de certificación externa, no con una declaración propia [1].

Esta guía recorre la norma completa: qué es y qué no es, la estructura de las cláusulas 4 a 10, el Anexo A con sus 93 controles, qué cambió respecto a la edición de 2013 y la transición que terminó el 31 de octubre de 2025, la enmienda de 2024 sobre cambio climático, el ciclo de certificación, cómo se relaciona con el ENS, NIS2 y DORA, las fases de un proyecto y una lista de comprobación. Si buscas apoyo para implantarla, está la consultoría de GRC y cumplimiento.

Qué es ISO/IEC 27001 y qué la rodea

La ISO/IEC 27001:2022 es la tercera edición de la norma, publicada en octubre de 2022 por el comité ISO/IEC JTC 1/SC 27 (seguridad de la información, ciberseguridad y protección de la privacidad). Tiene 19 páginas, sustituye a la edición de 2013 (retirada, igual que sus correcciones de 2014 y 2015) y tiene una enmienda, la Amd 1:2024 [1]. La designación oficial es «ISO/IEC 27001» porque la publican conjuntamente ISO e IEC; ISO indica además que lo correcto es citarla con su referencia completa, por ejemplo «certificado según ISO/IEC 27001:2022» [1].

La norma se apoya en otras piezas que conviene distinguir:

El texto de ambas normas es de pago en la tienda de ISO y de UNE [1] [2]. Esta guía se apoya en las páginas oficiales de ISO, UNE, IAF y ENAC, y no reproduce el contenido protegido de la norma. Para auditar o certificar hace falta el texto completo.

A quién se aplica y qué no es

ISO/IEC 27001 es una norma voluntaria. ISO la describe como aplicable a empresas de cualquier tamaño y de todos los sectores [1], y la propia organización decide si quiere certificarse: algunas la implantan solo para aprovechar sus buenas prácticas, otras buscan además el certificado para dar confianza a sus clientes [1]. Según la ISO Survey 2022, citada en la página de ISO, se reportaron más de 70 000 certificados en 150 países [1]. Según un artículo firmado del SC 27 Journal, desde la edición de 2025 la ISO Survey compila sus datos directamente de IAF CertSearch, la base de datos mundial de certificados acreditados [8].

Conviene fijar tres límites desde el principio:

• No es una obligación legal por sí misma. Es una norma voluntaria [1]; otra cosa es que un cliente o una licitación la pida por contrato.
• No certifica un producto ni un servicio. Certifica un sistema de gestión, con un alcance concreto. ISO indica que, para usar un logotipo de certificación, hay que dirigirse a la entidad que emitió el certificado [1].
• No es un catálogo de controles que haya que cumplir entero. Es un sistema de gestión basado en riesgos; los controles se eligen según esos riesgos (véase el Anexo A, más abajo).

Los tres principios que protege un SGSI son la confidencialidad, la integridad y la disponibilidad de la información, mediante un proceso de gestión de riesgos [1].

Estructura de la norma: cláusulas 4 a 10

La norma sigue la estructura armonizada de las normas de sistemas de gestión de ISO. Las cláusulas con requisitos van de la 4 («Contexto de la organización») a la 10 («Mejora») [13], y el Anexo A es normativo [4].

Las referencias a 4.2 c), 6.3, 9.2, 9.3 y al orden de la cláusula 10 proceden de la lista de cambios de IAF MD 26 [4]. Solo los títulos de las cláusulas 4 y 10 están contrastados con la página de ISO; el resto de la tabla es un resumen. El contenido exacto de cada requisito está en el texto de la norma.

Información documentada que la norma exige

El SGSI se demuestra con información documentada: IAF MD 26 recoge que debe estar disponible como evidencia en las cláusulas 9.1, 9.2, 9.3 y 10.2 [4]. Además, la norma exige producir la Declaración de aplicabilidad (SoA) en la cláusula 6.1.3 d) [4]. La lista completa de la información documentada obligatoria está en el texto de la norma.

Riesgos, controles y Declaración de aplicabilidad

El corazón del SGSI es la cláusula 6.1. La secuencia es esta:

1. Apreciar el riesgo con un proceso que la propia organización define y que produce resultados coherentes y comparables (cláusula 6.1).
2. Elegir cómo tratar cada riesgo y determinar los controles necesarios, vengan del Anexo A, de otra fuente o de diseño propio (6.1.3).
3. Comparar esos controles con los del Anexo A para confirmar que no se ha omitido ninguno necesario (6.1.3 c).
4. Producir la Declaración de aplicabilidad y el plan de tratamiento del riesgo.

IAF lo resume así: comparar los controles necesarios con los del Anexo A permite confirmar que no se ha omitido ninguno por descuido y, si se descubre alguno, hay que actualizar el plan de tratamiento y aplicarlo [4]. Un artículo firmado del boletín del comité SC 27 de ISO lo expresa así: antiguamente se «seleccionaban» los controles del Anexo A; hoy se «determinan» a partir del tratamiento del riesgo y luego se «comparan» con el Anexo A, y los controles necesarios no tienen por qué ser los del Anexo A [7].

Anexo A de 2022: 93 controles en cuatro temas

El Anexo A reproduce los 93 controles de la ISO/IEC 27002:2022 con los mismos identificadores y nombres, agrupados en los mismos cuatro temas: organizativos, de personas, físicos y tecnológicos [7]. UNE da el reparto por tema de la 27002:2022: 37, 8, 14 y 34 controles [5].

Dos matices que se olvidan con frecuencia:

• Recomendación frente a requisito. En la ISO/IEC 27002 el texto de cada control está redactado como recomendación («la organización debería»); en el Anexo A de la 27001 se redacta como requisito («la organización debe») [7]. Aun así, el Anexo A funciona como lista de referencia con la que comparar, no como una lista de la que haya que cumplir cada punto.
• Atributos. La 27002:2022 añade a cada control atributos de ejemplo para reorganizarlos fuera de los cuatro temas: tipo de control (preventivo, detectivo, correctivo), propiedades de seguridad (confidencialidad, integridad, disponibilidad), conceptos de ciberseguridad (identificar, proteger, detectar, responder, recuperar), capacidades operativas y dominios de seguridad [7].

De la edición de 2013 a la de 2022

IAF resume los cambios principales de la 27001:2022 frente a la 27001:2013. Estos son los más relevantes [4]:

En la 27002, UNE destaca entre los controles nuevos los de inteligencia de amenazas, servicios en la nube, filtrado web y codificación segura; también se fusionaron controles existentes, como el inventario de activos y su propiedad, que ahora forman un único control [5]. UNE señala además un énfasis especial en la gestión de proveedores [5].

IAF considera que el impacto en las organizaciones con un SGSI ya implantado no tiene por qué ser significativo [4]. En la práctica, el trabajo se concentra en actualizar la SoA y el plan de tratamiento del riesgo y en demostrar que los controles nuevos o cambiados que se hayan elegido están implantados y son eficaces.

La transición: terminó el 31 de octubre de 2025

IAF MD 26 fijó un periodo de transición de tres años (36 meses) desde el mes de publicación de la edición de 2022. Estas son las fechas de su calendario [4]:

Según IAF MD 26, todas las certificaciones basadas en la ISO/IEC 27001:2013 caducan o se retiran al final del periodo de transición [4]. Hoy, por tanto, un certificado de la edición de 2013 ya no es válido. Un certificado que cite ISO/IEC 27001:2022 (o su adopción UNE-EN ISO/IEC 27001:2023) es el que hay que exigir.

La auditoría de transición, en el calendario de IAF, podía hacerse junto a una auditoría de seguimiento o de recertificación, o por separado, y no podía basarse solo en revisión documental, sobre todo para los controles tecnológicos [4].

Enmienda 1:2024: cambio climático

La ISO/IEC 27001:2022/Amd 1:2024 se publicó en febrero de 2024, ocupa una página y se titula «Climate action changes». Se aplica a la ISO/IEC 27001:2022 [3]. ISO publica el texto de la enmienda en su Online Browsing Platform. Esta guía no resume su contenido: léelo allí y pregunta a tu entidad de certificación cómo lo tiene en cuenta en las auditorías.

Cómo se certifica

Certificarse es voluntario y lo hace una entidad de certificación independiente, no ISO [1]. Contar con un certificado de una entidad acreditada añade confianza, porque un organismo de acreditación ha confirmado de forma independiente la competencia de esa entidad [1].

En España, el organismo de acreditación es ENAC. Según ENAC, solo las entidades de certificación acreditadas han demostrado competencia e imparcialidad, porque operan conforme a la norma UNE-EN ISO/IEC 17021-1; además, solicitar la acreditación es una decisión voluntaria de la entidad, de modo que si una entidad no está acreditada para un esquema es porque no lo ha solicitado o aún no ha superado la evaluación [9]. Para ISO/IEC 27001, las normas de acreditación aplicables son la ISO/IEC 17021-1 y la ISO/IEC 27006-1 [8]. Y el estado de un certificado acreditado se puede comprobar en IAF CertSearch, la base de datos mundial de certificaciones acreditadas [8].

El ciclo habitual tiene este aspecto:

Dos precisiones. La frecuencia de las auditorías de seguimiento y la duración del ciclo las concreta la oferta de la entidad de certificación: pregunta por ellas antes de contratar. Y un artículo del boletín del SC 27 advierte de que una certificación «barata y fácil» puede diluir su valor comercial, y de que la confianza la da una entidad reconocida y acreditada [8].

ISO 27001 frente a ENS, NIS2 y DORA

Son marcos distintos, con naturaleza jurídica distinta. Un SGSI bien hecho ordena parte del trabajo de los otros, pero ninguna certificación equivale a otra ni garantiza el cumplimiento de una ley.

Matices por cada marco:

• ENS. Las entidades de certificación del ENS están acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065, y también pueden certificar los órganos de auditoría técnica del sector público reconocidos por el CCN [14]. Es una vía distinta de la ISO/IEC 17021-1 con la que se certifica un SGSI, y no se sustituye una por otra. El catálogo del ENS tiene 73 medidas y el Anexo A, 93 controles, con estructuras distintas. Si tu organización presta servicios a la administración, la referencia es la guía del ENS.
• NIS2. El artículo 21 pide medidas técnicas, operativas y de organización «adecuadas y proporcionadas», tiene en cuenta «las normas europeas e internacionales pertinentes» y exige un enfoque de «todos los peligros» [10]. El artículo 25 pide a los Estados miembros que fomenten el uso de normas europeas e internacionales, sin imponer ni favorecer un tipo específico de tecnología [10]. Ninguno de los dos artículos designa una norma concreta; solo el considerando 79, no vinculante, cita la serie ISO/IEC 27000 como ejemplo de normas europeas o internacionales para la seguridad física y del entorno [10]. Un SGSI según ISO 27001 es una forma reconocida de ordenar esas medidas, pero hay que contrastarlas una a una con el artículo 21.2 y con la transposición nacional. Más detalle en la guía de NIS2 y en la solución de cumplimiento NIS2.
• DORA. Se aplica a las entidades financieras de su ámbito desde el 17 de enero de 2025 [11]. Un SGSI puede aportar procesos de riesgo, incidentes y proveedores, pero DORA exige sus propias piezas, como el registro de información de los acuerdos con terceros TIC. Se explica en la guía de DORA y en la solución de cumplimiento DORA.
• AI Act. Regula los sistemas de inteligencia artificial y no es una norma de gestión de la seguridad de la información; la guía del AI Act cubre sus obligaciones.

Fases de un proyecto de implantación

El tiempo depende del alcance, de la madurez previa y de los recursos disponibles, y ninguna norma fija un plazo estándar. Estas son las fases habituales, sin promesas de duración:

1. Alcance y contexto. Qué servicios, sistemas, sedes y personas entran, qué partes interesadas hay y qué requisitos tienen.
2. Liderazgo y política. Aprobación de la política por la dirección, roles y responsabilidades.
3. Apreciación de riesgos. Método, inventario de activos, riesgos y sus responsables.
4. Tratamiento y SoA. Decisiones de tratamiento, controles determinados, comparación con el Anexo A y Declaración de aplicabilidad.
5. Implantación. Controles, procedimientos, formación y concienciación, gestión de proveedores y de incidentes.
6. Medición y auditoría interna. Indicadores, auditoría interna y revisión por la dirección.
7. Auditoría de certificación. Etapas 1 y 2 con una entidad acreditada.
8. Mantenimiento. Seguimiento, mejora continua y recertificación.

Para validar técnicamente algunos controles (configuración, gestión de vulnerabilidades), la diferencia entre Red Team y pentest ayuda a elegir el ejercicio, y el servicio de pentesting y Red Team lo ejecuta. El Anexo A no impone una prueba de intrusión; es una decisión del tratamiento del riesgo.

Lista de comprobación

Errores habituales

• Usar el Anexo A como lista cerrada de obligaciones. El Anexo A es una referencia con la que comparar; los controles necesarios se determinan con el tratamiento del riesgo [7].
• Una SoA copiada de una plantilla. La SoA debe reflejar los riesgos y las decisiones de la organización.
• Un alcance elegido por comodidad. Un alcance recortado puede no cubrir el servicio que pide el cliente; el certificado solo vale para su alcance.
• Dar por buena una certificación de la edición de 2013. La transición terminó el 31 de octubre de 2025 [4].
• Descuidar los temas de personas y físicos. Son 8 y 14 controles del Anexo A, y quedan fuera de lo que cubre cualquier herramienta técnica por sí sola.
• Creer que con el certificado se acabó. La entidad audita el SGSI de forma periódica y hay recertificación al final del ciclo.
• Confundir ISO 27001 con ENS, NIS2 o DORA. Cada uno tiene su vía de conformidad; ninguna certificación sustituye a otra (véase arriba).
• Contratar a una entidad no acreditada. Es posible, pero ENAC subraya que solo las acreditadas han demostrado competencia e imparcialidad [9].
• Ignorar la Amd 1:2024. Es una enmienda publicada de la ISO/IEC 27001:2022 [3]: léela y pregunta a tu entidad de certificación cómo la tiene en cuenta.

ISO/IEC 27001 en Hodeitek

Hodeitek tiene certificado su sistema de gestión de la seguridad de la información según ISO/IEC 27001 por OCA Instituto de Certificación, entidad acreditada por ENAC (certificado nº 34/5700/26/10159, emitido el 12 de octubre de 2026). El alcance, resumido, cubre los sistemas de información que dan soporte al servicio SaaS HodeiShield, los servicios de pentesting, la consultoría en ciberseguridad y en sistemas y servicios TIC, la consultoría en IA aplicada a negocio y el diseño de automatizaciones de procesos, según la declaración de aplicabilidad vigente. Es una certificación del sistema de gestión, no de un producto, y no certifica a tu organización.

Para el seguimiento de los controles, HodeiShield ofrece un listado de los 93 controles del Anexo A con estado, responsable, fecha límite y evidencias, una puntuación de controles implementados sobre aplicables y el escaneo externo periódico de proveedores. No audita, no certifica, no genera la Declaración de aplicabilidad como documento y no cubre por sí sola los controles de personas ni los físicos; el caso de uso detalla qué hace la plataforma y qué no. Para un acompañamiento completo, el equipo de consultoría GRC prepara el SGSI y la documentación.

Esta guía es informativa y no sustituye al texto oficial de la norma ni a un auditor. Actualizada el 13 de noviembre de 2026.