¿Cuántos controles tiene ISO 27001?

ISO 27001:2022 tiene 93 controles en el Anexo A, organizados en 4 categorías: controles organizativos (37), controles de personas (8), controles físicos (14) y controles tecnológicos (34). No todos los controles son obligatorios para todas las organizaciones: la norma exige seleccionar los controles aplicables en función del análisis de riesgos y documentar las razones para excluir los que no aplican en la Declaración de Aplicabilidad (SoA).

¿Qué auditores certifican ISO 27001 en España?

En España, la certificación ISO 27001 es emitida por entidades de certificación acreditadas por ENAC (Entidad Nacional de Acreditación) bajo el esquema ISO/IEC 17021. Las principales entidades de certificación que operan en España incluyen AENOR, Bureau Veritas, TÜV Rheinland, SGS, Lloyd's Register, BSI y DNV. La elección de la entidad certificadora no afecta al valor del certificado, pero puede influir en el reconocimiento internacional y en el coste.

¿ISO 27001 tiene que renovarse?

El certificado ISO 27001 tiene una vigencia de 3 años. Durante ese período, la entidad de certificación realiza auditorías de seguimiento anuales (generalmente más cortas que la auditoría de certificación inicial) para verificar que el SGSI sigue siendo conforme y efectivo. Al tercer año, se realiza una auditoría de renovación completa para obtener un nuevo certificado por otros 3 años.

¿Cuánto tiempo lleva la auditoría de certificación ISO 27001?

La duración de la auditoría de certificación depende del tamaño de la organización y el alcance del SGSI. Para una pyme de 20-50 empleados con alcance limitado, la auditoría de Fase 2 (auditoría principal) suele durar 1-2 días. Para organizaciones medianas (50-200 empleados), puede durar 3-4 días. Para grandes organizaciones con múltiples ubicaciones, puede extenderse varias semanas. Previamente, la Fase 1 (revisión documental) suele durar medio día o un día completo.

¿ISO 27001 es obligatoria en España?

ISO 27001 es una norma voluntaria a nivel general. Sin embargo, puede ser de obligado cumplimiento contractual en numerosos contextos: algunos pliegos de licitación pública la exigen, muchos contratos con grandes empresas la requieren como condición de entrada en la cadena de suministro, y sectores como banca, seguros o salud la consideran requisito de facto. En el contexto de NIS2 y DORA, la certificación ISO 27001 se reconoce como evidencia de cumplimiento de obligaciones de gestión de riesgos.