ISO 27001 para pymes: guía práctica y errores más comunes

¿Puede certificarse en ISO 27001 una pyme?

La respuesta es sí, absolutamente. Y de hecho, el número de pymes españolas certificadas en ISO 27001 ha crecido de forma sostenida en los últimos cinco años. El malentendido de que ISO 27001 es solo para grandes corporaciones tiene su origen en la percepción —errónea— de que implementar 93 controles de seguridad requiere un departamento de IT enorme y un presupuesto millonario.

La realidad es distinta. La ISO 27001 es un estándar escalable: el nivel de complejidad de la implementación no depende del tamaño de la empresa, sino del alcance del Sistema de Gestión de Seguridad de la Información (SGSI) que se defina. Una pyme de 15 empleados puede perfectamente certificar su servicio de desarrollo de software o su plataforma SaaS bajo ISO 27001 con un alcance bien acotado.

Lo que sí es cierto es que una pyme necesita más ayuda externa que una gran empresa para implementar ISO 27001 de manera eficiente. El conocimiento especializado en gestión de seguridad de la información no suele existir internamente en empresas pequeñas, y construirlo desde cero es prohibitivamente caro. La alternativa inteligente es apoyarse en una consultora especializada.

Ventajas de la ISO 27001 para pymes

Las pymes que obtienen la ISO 27001 reportan sistemáticamente las siguientes ventajas:

• Acceso a nuevos clientes: clientes grandes (banca, aseguradoras, farmacéuticas, grandes corporaciones) y clientes internacionales exigen ISO 27001 a sus proveedores de servicios tecnológicos. El certificado abre puertas que antes estaban cerradas.
• Ventaja en licitaciones: aunque el ENS es el requisito formal para contratos públicos en España, la ISO 27001 es valorada positivamente en muchos pliegos y puede otorgar puntuación adicional.
• Reducción de riesgo real: el proceso de implementación obliga a identificar y gestionar los riesgos de seguridad de la información de forma sistemática. Muchas pymes descubren durante el proceso vulnerabilidades que desconocían y que podrían haber causado incidentes graves.
• Confianza de clientes actuales: tener ISO 27001 reduce la presión de los clientes actuales para realizar auditorías de seguridad internas o exigir cuestionarios de seguridad extensos.
• Mejora de procesos internos: la implementación de ISO 27001 fuerza a formalizar y documentar procesos que en una pyme suelen estar implícitos o en la cabeza de una sola persona. Esto reduce la dependencia de personas concretas y mejora la resiliencia operativa.
• Preparación para el crecimiento: una pyme con ISO 27001 está mejor preparada para crecer: puede incorporar nuevos clientes, empleados y sistemas sin que la seguridad sea un freno.

Alcance del SGSI: clave para que sea viable en pymes

El alcance del SGSI es la decisión más importante de todo el proceso de certificación ISO 27001. Define qué parte de la organización, qué servicios, qué sistemas de información y qué activos quedan dentro del ámbito de la certificación.

Para una pyme, la tentación es incluir "todo" en el alcance para parecer más completos. Es un error estratégico. Un alcance demasiado amplio multiplica el número de controles a implementar, los sistemas a proteger, las personas a formar y las evidencias a generar para la auditoría. Puede triplicar el coste y el plazo de certificación.

La estrategia correcta para una pyme es definir un alcance acotado y bien justificado en torno a los servicios o activos de mayor valor y mayor exposición a riesgos. Por ejemplo:

• Una empresa de desarrollo de software puede certificar exclusivamente su servicio de desarrollo y entrega de software, excluyendo actividades administrativas o de RRHH.
• Una empresa de consultoría IT puede certificar la prestación de servicios gestionados a clientes, excluyendo su propio backoffice.
• Un proveedor SaaS puede certificar la plataforma cloud que ofrece a clientes, con los sistemas y procesos que la soportan.

El alcance debe quedar documentado en la Declaración de Alcance del SGSI, que es uno de los documentos obligatorios de la norma y será examinado por el auditor. Debe ser coherente, justificado y no dejar fuera actividades que claramente forman parte del servicio certificado.

Los 93 controles de ISO 27001 en lenguaje sencillo

La versión 2022 de ISO 27001 reorganizó su catálogo de controles en 93 controles distribuidos en 4 grandes temas (en la versión 2013 eran 114 controles en 14 dominios). Esta reorganización simplificó la estructura y la alineó mejor con los marcos de ciberseguridad modernos.

Los 4 temas son:

• Controles organizativos (37 controles): políticas, roles, responsabilidades, seguridad en RRHH, gestión de activos, clasificación de información, gestión de proveedores, gestión de incidentes, planes de continuidad, cumplimiento legal.
• Controles de personas (8 controles): selección de personal, condiciones de empleo, formación en seguridad, disciplina, telework, acuerdos de confidencialidad.
• Controles físicos (14 controles): perímetros de seguridad física, control de acceso físico, protección de equipos, seguridad en el escritorio, protección de medios de almacenamiento.
• Controles tecnológicos (34 controles): autenticación, control de acceso, cifrado, gestión de vulnerabilidades, protección frente a malware, monitorización, seguridad de redes, gestión de cambios, backup, logs de auditoría.

No todos los controles son aplicables a todas las organizaciones. La norma exige elaborar una Declaración de Aplicabilidad (Statement of Applicability) que justifique para cada control si se aplica o no, y en caso negativo, la justificación de su exclusión. Para una pyme con alcance acotado, es habitual que entre el 15 y el 25% de los controles sean excluibles de forma justificada.

Cuánto cuesta la ISO 27001 para una pyme

El coste total de certificarse en ISO 27001 tiene tres componentes principales:

1. Coste de consultoría: los honorarios de la consultora que acompaña el proceso de implementación. Para una pyme de 10-50 empleados con alcance acotado, este coste suele estar entre 8.000 y 25.000 euros dependiendo del estado de partida de los controles existentes, la complejidad del alcance y el nivel de implicación requerido del equipo interno.

2. Coste de auditoría: los honorarios de la entidad de certificación acreditada que realiza la auditoría de certificación. Para pymes, suele estar entre 3.000 y 8.000 euros. El coste depende del tamaño del alcance y el número de días de auditoría necesarios.

3. Costes de implementación técnica: inversiones en herramientas, licencias o infraestructura necesarias para implementar ciertos controles técnicos (soluciones EDR, gestión de contraseñas, MFA, SIEM ligero, cifrado). Para una pyme, estas inversiones suelen estar entre 2.000 y 8.000 euros anuales, aunque muchos controles pueden implementarse con herramientas ya existentes o soluciones open source.

En total, una pyme puede esperar un coste de primera certificación de entre 15.000 y 40.000 euros, con una banda de variación amplia según el punto de partida. El coste de las auditorías de seguimiento anuales (año 2 y 3) es significativamente menor.

Un factor importante: si la pyme también necesita o ya tiene el ENS, el coste combinado ENS + ISO 27001 mediante el enfoque de certificaciones en cascada es entre un 35-45% menor que hacer los dos proyectos de forma independiente.

Cuánto tiempo lleva certificarse: el proceso paso a paso

El proceso estándar de certificación ISO 27001 para una pyme con alcance acotado tiene las siguientes fases:

1. Análisis GAP (1-2 semanas): evaluación del estado actual frente a los requisitos de la norma. Identifica brechas y estima el esfuerzo de implementación.
2. Definición del alcance y política de seguridad (1-2 semanas): documentación del alcance del SGSI y elaboración de la Política de Seguridad de la Información aprobada por dirección.
3. Análisis de riesgos y Plan de Tratamiento (3-4 semanas): identificación de activos, valoración de amenazas y vulnerabilidades, cálculo del riesgo y definición de controles de tratamiento. Elaboración del PTR.
4. Declaración de Aplicabilidad (1-2 semanas): documentación justificada de aplicabilidad/exclusión de los 93 controles.
5. Implementación de controles (4-8 semanas): desarrollo de procedimientos, implementación de controles técnicos, formación al personal, evidencias.
6. Auditoría interna (1 semana): revisión interna exhaustiva antes de la auditoría de certificación.
7. Revisión por la dirección (1 sesión): reunión formal de revisión del SGSI requerida por la norma.
8. Auditoría de certificación (Fase 1 + Fase 2, 2-4 semanas): la entidad de certificación realiza primero una revisión documental (Fase 1) y posteriormente una auditoría in situ (Fase 2).
9. Certificación: emisión del certificado ISO 27001 con vigencia de 3 años (sujeto a auditorías anuales de seguimiento).

El proceso completo para una pyme con alcance acotado tarda típicamente entre 3 y 5 meses con una consultora eficiente.

Errores más comunes al implantar ISO 27001 en pymes

Estos son los errores que vemos repetidamente en proyectos ISO 27001 en pymes que llegan a nosotros tras haber fracasado con otro enfoque:

ISO 27001 y ENS: el pack más demandado

Para las pymes tecnológicas españolas, la combinación ISO 27001 + ENS es la estrategia de certificación más inteligente. Las razones son claras:

• El ENS es obligatorio para contratos públicos y no puede sustituirse por ISO 27001.
• La ISO 27001 abre puertas en el sector privado nacional e internacional.
• Ambas certificaciones comparten el 65% de requisitos, lo que hace que certificarse en las dos de forma conjunta o secuencial sea mucho más eficiente que hacerlo por separado.
• Tener ambas certifca une postura de seguridad completa que diferencia a la empresa frente a competidores con solo una o ninguna.

Avson GRC ha diseñado específicamente el Pack ENS + ISO 27001 para aprovechar esta sinergia. En un único proyecto coordinado, la empresa obtiene ambas certificaciones en un plazo total de 5-6 meses y a un coste total inferior al de hacerlas por separado con distintas consultoras.

Preguntas frecuentes