Certificación ISO 27001: proceso, auditorías, entidades acreditadas y coste
En España, la acreditación de las entidades de certificación la concede ENAC. Un certificado emitido bajo acreditación ENAC, o de otro organismo firmante de los acuerdos internacionales de reconocimiento, ofrece más garantías que uno sin acreditación.
El proceso de certificación paso a paso
- Elegir la entidad de certificación y pedir oferta con el alcance, el número de personas y las sedes.
- Auditoría de fase 1: revisión documental y de preparación.
- Auditoría de fase 2: comprobación de que el SGSI está implantado y es eficaz.
- Tratamiento de no conformidades: la organización presenta un plan de acciones correctivas.
- Decisión y emisión del certificado, con validez de tres años.
- Auditorías de seguimiento en el primer y segundo año.
- Auditoría de renovación antes de que venza el certificado.
Auditoría de fase 1
La fase 1 comprueba si la organización está preparada para la auditoría de certificación. El auditor revisa:
- El alcance del SGSI y su coherencia con el contexto y las partes interesadas.
- La documentación obligatoria: política, metodología de riesgos, informe de riesgos, plan de tratamiento y Declaración de Aplicabilidad.
- Que se han realizado la auditoría interna y la revisión por la dirección.
- La organización de la fase 2: sedes, personas, horarios.
El resultado es un informe con aspectos que pueden convertirse en no conformidades si no se corrigen antes de la fase 2.
Auditoría de fase 2
La fase 2 comprueba sobre el terreno que el SGSI funciona. El auditor entrevista a personas de distintas áreas, revisa registros y comprueba controles de la Declaración de Aplicabilidad.
Las no conformidades se clasifican como mayores o menores. Una no conformidad mayor impide emitir el certificado hasta que se corrija y se verifique la corrección. Las menores requieren un plan de acción aceptado por la entidad.
Seguimiento y renovación
| Año | Auditoría | Qué revisa |
|---|---|---|
| Año 1 | Certificación (fase 1 y fase 2) | Todo el SGSI |
| Año 2 | Primer seguimiento | Una parte del SGSI, más los requisitos clave cada año |
| Año 3 | Segundo seguimiento | El resto del SGSI |
| Antes del vencimiento | Renovación | Todo el SGSI y su evolución en el ciclo |
Los cambios de alcance, como una nueva sede o un nuevo servicio, deben comunicarse a la entidad, que puede requerir una auditoría adicional.
¿Cuántos días dura la auditoría?
El tiempo de auditoría lo calcula la entidad de certificación aplicando ISO/IEC 27006-1. La edición de 2024 lo basa en el número total de personas que trabajan dentro del alcance, incluidas las que no son plantilla, como autónomos, y después lo reparte entre sedes según su relevancia.
Referencia para la certificación inicial (fase 1 + fase 2), según la tabla que publica GRC Solutions a partir de ISO/IEC 27006:
| Personas en el alcance | Días de auditoría |
|---|---|
| 1 | 5 |
| 11 | 6 |
| 26 | 9 |
| 46 | 10 |
| 126 | 13 |
| 426 | 17 |
La misma fuente indica que la norma permite reducir el tiempo hasta el 70 % del recomendado cuando concurren determinados factores, y la entidad también puede aumentarlo según la complejidad.
¿Cuánto cuesta la certificación ISO 27001?
No hay precios oficiales. Cada entidad de certificación calcula su oferta según los días de auditoría y su tarifa diaria. A eso se suman el coste de implantación (consultoría o tiempo interno) y las auditorías de los años siguientes.
Rangos orientativos para el primer año en España publicados por Factorial en agosto de 2026. Son estimaciones de mercado de una empresa que también ofrece consultoría, sin fuente externa citada:
| Tamaño | Consultoría | Auditoría de certificación | Total primer año |
|---|---|---|---|
| 1 a 10 personas | 4.000–8.000 € | 2.000–4.000 € | 6.000–12.000 € |
| 10 a 25 personas | 7.000–15.000 € | 3.500–6.000 € | 10.500–21.000 € |
| 25 a 50 personas | 12.000–25.000 € | 5.000–9.000 € | 17.000–34.000 € |
| 50 a 100 personas | 20.000–40.000 € | 8.000–14.000 € | 28.000–54.000 € |
La misma fuente sitúa cada auditoría de seguimiento entre el 15 % y el 25 % del coste del primer año, y la renovación por encima de una auditoría de seguimiento.
Lo que más influye en el precio:
- Número de personas y sedes dentro del alcance.
- Complejidad de los procesos y de la infraestructura TIC.
- Madurez de partida: cuanto más esté implantado, menos consultoría.
- Integración con otras certificaciones, como ISO 9001 o ISO 22301, que puede reducir días de auditoría.
Errores frecuentes en la certificación
- Elegir una entidad sin acreditación reconocida, cuyo certificado algunos clientes y pliegos no aceptan.
- Llegar a la fase 1 sin auditoría interna ni revisión por la dirección.
- Definir un alcance que no cubre el servicio que piden los clientes.
- Tratar las no conformidades menores sin analizar su causa.
Preguntas frecuentes sobre la certificación
Tres años, con auditorías de seguimiento anuales y una auditoría de renovación antes del vencimiento.
Una entidad de certificación. ISO no certifica a organizaciones. En España conviene que la entidad esté acreditada por ENAC para ISO/IEC 27001.
Las menores se resuelven con un plan de acción aceptado por la entidad. Las mayores deben corregirse y verificarse antes de emitir el certificado.
Sí, en parte. ISO/IEC 27006-1:2024 da más flexibilidad para combinar actividades en remoto y presenciales; la entidad decide según el alcance y los riesgos.
