Seguridad de la información
Certificación acreditada por ENAC
La norma ISO/IEC 27001 especifica los requisitos que se deben cumplir para garantizar la seguridad, la confidencialidad y la integridad de la información de una organización. Esto lo logra mediante un análisis de riesgos y posteriormente una mitigación de los mismos. Puede ser utilizado por cualquier organización independientemente de su actividad, sector o tamaño.
Al certificarse en ISO/IEC 27001 su organización demuestra que mantiene un compromiso con la seguridad de la información en su organización. Esto hace que sobresalga de su competencia y dé seguridad a sus clientes de que los procesos de la organización cumplen con la norma internacional.
Al cumplir la norma ISO/IEC 27001 estará garantizando la seguridad de la información que maneja su organización. De esta manera, evitará amenazas tales como pérdidas financieras, fallos en los servicios esenciales de su negocio o pérdida de reputación y confianza de sus clientes.
Seguir la norma implica cumplir con la legislación de su país en materia de seguridad de la información, de modo que garantiza que su organización opera de acuerdo a la ley.
Certificarse con la norma ISO/IEC 27001 facilita el acceso a mercados clave, ya que muchas organizaciones en el sector público y grandes empresas exigen que sus proveedores demuestren conformidad con dicha norma.
Cualquier organización que trate información que deba proteger, sea cual sea su tamaño o sector: empresas tecnológicas y de servicios en la nube, despachos profesionales, entidades financieras, centros sanitarios, industria o administraciones públicas. La norma se adapta a los riesgos y a la complejidad de cada organización.
No, la certificación es voluntaria. Sin embargo, muchos clientes, grandes empresas y administraciones la exigen a sus proveedores, sobre todo cuando les confían datos o servicios críticos. En España, los proveedores del sector público pueden estar obligados además a certificarse en el Esquema Nacional de Seguridad.
Ninguna en cuanto a requisitos: es la misma norma. Las siglas indican qué organismo la ha publicado:
Los requisitos son idénticos; la versión UNE solo añade los prólogos nacional y europeo. El año puede variar según la fecha de adopción: la versión vigente es la ISO/IEC 27001:2022, que en España se publicó como UNE-EN ISO/IEC 27001:2023. Por eso los certificados que IGC emite bajo acreditación de ENAC hacen referencia a la UNE-EN ISO/IEC 27001 y equivalen a una certificación ISO/IEC 27001, con el mismo reconocimiento internacional.
Es el conjunto de políticas, procesos, responsabilidades y controles con el que una organización protege la confidencialidad, la integridad y la disponibilidad de su información. Su base es la gestión de riesgos: la organización identifica qué información y qué activos debe proteger, evalúa las amenazas a las que están expuestos y decide cómo tratarlas, revisando periódicamente que las medidas son eficaces.
Los requisitos del sistema de gestión están en los capítulos 4 a 10, comunes a otras normas de sistemas de gestión: contexto de la organización, liderazgo, planificación (incluidas la evaluación y el tratamiento de riesgos), apoyo, operación, evaluación del desempeño y mejora.
Además, el Anexo A recoge 93 controles de seguridad agrupados en cuatro temas:
Desde 2024, la modificación ISO/IEC 27001:2022/Amd 1:2024 pide también determinar si el cambio climático es una cuestión pertinente para la organización.
No. Los controles se seleccionan a partir de la evaluación de riesgos. La organización debe elaborar una Declaración de Aplicabilidad en la que indica qué controles aplica, por qué los ha incluido o excluido y en qué estado de implantación se encuentran. La exclusión de un control debe estar justificada.
ISO/IEC 27001 establece los requisitos del SGSI y es la norma que se certifica. ISO/IEC 27002 es una guía de buenas prácticas que explica cómo implantar cada uno de los controles del Anexo A. No es certificable, pero es muy útil durante la implantación.
Ambos persiguen proteger la información, pero tienen una naturaleza distinta. ISO/IEC 27001 es una norma internacional voluntaria. El ENS es una normativa española, regulada por el Real Decreto 311/2022, que se aplica a las entidades del sector público y a sus proveedores de servicios y soluciones. Muchas medidas son comunes, por lo que una organización con un SGSI implantado tiene buena parte del trabajo hecho para el ENS, y viceversa. IGC ofrece la certificación de ambos esquemas.
Ayuda, pero no equivale a cumplirlos. Un SGSI certificado es una forma reconocida de demostrar que la organización aplica medidas técnicas y organizativas de seguridad adecuadas, algo que exigen tanto el Reglamento General de Protección de Datos (RGPD) como la Directiva (UE) 2022/2555, conocida como NIS2. Sin embargo, ambas normas incluyen obligaciones que van más allá de ISO/IEC 27001, por lo que la certificación no acredita por sí sola su cumplimiento.
Sí. La organización define el alcance del SGSI: puede abarcar toda la organización o solo determinados servicios, procesos o centros, siempre que sus límites y relaciones con el resto queden bien definidos. El alcance certificado figura en el certificado, por lo que conviene que responda a lo que sus clientes necesitan comprobar.
No. El periodo de transición a la versión de 2022 terminó el 31 de octubre de 2025 y, desde esa fecha, los certificados emitidos conforme a la versión anterior han dejado de ser válidos. Si su certificado no se actualizó a tiempo, es necesario realizar una certificación inicial conforme a la versión vigente. Puede consultar los detalles en nuestro comunicado sobre la transición.
Sí. ISO/IEC 27001 comparte una estructura común con otras normas de sistemas de gestión, como ISO 9001 o ISO/IEC 20000-1. Esto permite gestionarlas como un sistema integrado, con documentación, auditorías internas y revisiones por la dirección comunes. Cuando una organización certifica varias normas, las auditorías pueden realizarse de forma combinada, lo que suele reducir el tiempo total de auditoría.
Puede consultar el detalle completo en nuestra página sobre el proceso de certificación.
En parte o incluso en su totalidad, según el caso. La norma ISO/IEC 27006-1:2024, que establece cómo deben auditar las entidades de certificación de ISO/IEC 27001, regula las auditorías en remoto. IGC analiza en cada caso los riesgos de auditar a distancia y decide qué actividades pueden realizarse así. El alcance de la auditoría en remoto se indica en el informe de auditoría. En organizaciones con pocos o ningún emplazamiento físico relevante, el informe y el certificado indican que sus actividades se realizan en remoto.
Depende del tamaño de la organización, del alcance del SGSI y de la madurez de sus controles. Para poder certificarse, el sistema debe llevar implantado al menos tres meses. Una vez realizada la auditoría de Etapa 1, la Etapa 2 debe completarse en un plazo máximo de seis meses.
No hay un precio único. El coste depende principalmente del número de jornadas de auditoría, que se calcula según los criterios de la norma ISO/IEC 27006-1 en función del número de personas incluidas en el alcance, el número de centros y la complejidad de los sistemas de información. Además de la auditoría inicial, conviene tener en cuenta las auditorías de seguimiento anuales y la auditoría de renovación. Puede solicitar un presupuesto a través de nuestro formulario de solicitud.
Una no conformidad es el incumplimiento de un requisito de la norma o del propio sistema de gestión. Se clasifican en mayores, cuando afectan a la capacidad del sistema para lograr los resultados previstos, y menores.
Tras la auditoría de Etapa 2, la organización dispone de un máximo de 30 días hábiles para presentar a IGC un plan de acciones correctivas, con el análisis de las causas y las acciones propuestas. En el caso de las no conformidades mayores, además, debe aportar evidencias de su implantación. Si las correcciones no pueden verificarse en los seis meses siguientes a la Etapa 2, será necesario repetir esa auditoría.
Si no está de acuerdo con una no conformidad o con una decisión de certificación, puede presentar una apelación siguiendo nuestro proceso de apelaciones.
No es obligatorio. Muchas organizaciones implantan el sistema con su propio personal y otras prefieren apoyarse en consultores independientes. Lo que una entidad de certificación como IGC no puede hacer es asesorarle en la implantación del sistema que después va a certificar, ya que comprometería su imparcialidad. En nuestra página Preparar la certificación encontrará los pasos recomendados.
El certificado es válido durante tres años. En ese periodo se realizan auditorías de seguimiento anuales para confirmar que el sistema se mantiene y sigue mejorando. Al final del ciclo se realiza la auditoría de renovación: le recomendamos solicitarla con unos cuatro meses de antelación, ya que todo el proceso, auditoría y decisión de la Comisión de Certificación incluidas, debe completarse antes de la fecha de vencimiento.
ENAC (Entidad Nacional de Acreditación) es el organismo que evalúa en España la competencia técnica de las entidades de certificación. Que la certificación ISO/IEC 27001 de IGC esté acreditada por ENAC significa que nuestro proceso de certificación ha sido evaluado conforme a las normas internacionales ISO/IEC 17021-1 e ISO/IEC 27006-1. Gracias a los acuerdos de reconocimiento multilateral (MLA) de IAF, los certificados acreditados son reconocidos internacionalmente.
Sí, siempre que el certificado esté cubierto por la acreditación de un firmante del acuerdo de reconocimiento multilateral (MLA) de IAF. IGC solicita a la entidad anterior la documentación necesaria (copia del certificado, último informe de auditoría y estado de las no conformidades) y realiza una revisión previa a la transferencia. Una vez transferido, se mantiene el calendario de auditorías de seguimiento y renovación. Durante la transferencia no es posible ampliar ni reducir el alcance del certificado. Los certificados que no cumplan esta condición se tratan como una certificación nueva.
Sí. Una vez certificada, la organización puede utilizar la marca de certificación de IGC en su documentación, su web y su material comercial, de acuerdo con las Reglas de Uso de la Marca que forman parte de la oferta de certificación. La marca no debe colocarse sobre el producto ni sobre su embalaje, ni utilizarse de forma que dé a entender que se ha certificado el producto: lo que se certifica es el sistema de gestión. Si el certificado se suspende, debe retirarse toda la publicidad que haga referencia a la certificación.
Solicite su certificación y nuestro equipo se pondrá en contacto con usted.
