"¿Para cuándo podemos tener el certificado?" suele ser la primera pregunta cuando un cliente lo exige. La respuesta depende menos de la norma que de la organización: su tamaño, lo que ya tiene implementado y cuánto tiempo puede dedicarle el equipo. Esta guía muestra los plazos habituales, un cronograma de ejemplo y qué decisiones acortan o alargan el camino.
Resumen rápido
- Plazo total habitual: entre 6 y 12 meses para una empresa chica que empieza de cero; de 9 a 14 meses o más en organizaciones medianas o con varias sedes.
- Preparación: es la etapa más larga, alrededor de tres cuartas partes del tiempo total.
- Auditoría externa: entre 5 y 10 días de auditor para empresas de hasta 65 personas, repartidos en dos etapas separadas por algunas semanas.
- Lo que más alarga el plazo: un alcance demasiado amplio, la falta de un responsable con tiempo asignado y la evidencia que se junta a último momento.
- Después del certificado: ciclos de 3 años con una auditoría de seguimiento por año.
Cuánto tarda según el tamaño y el punto de partida
El plazo cambia mucho según la cantidad de personas, procesos y sistemas que entran en el alcance, y según cuánto de lo que pide la norma ya existe en la organización:
| Perfil de la empresa | Preparación | Auditoría y certificado | Total habitual |
|---|---|---|---|
| Chica, con controles de seguridad ya implementados | 2 a 4 meses | 1 a 2 meses | 3 a 6 meses |
| Chica, empezando de cero | 3 a 9 meses | 1 a 3 meses | 6 a 12 meses |
| Mediana o con varias sedes | 8 a 12 meses o más | 2 a 3 meses | 9 a 14 meses o más |
Plazos de referencia, consistentes con los que publican consultoras de la región para implementaciones acompañadas: de 4 a 6 meses para microempresas, de 6 a 9 para pequeñas y de 9 a 14 para medianas (GRC360).
"Chica" se refiere aquí a organizaciones de hasta unas 50 personas dentro del alcance. Lo que define la fila no es solo el tamaño, sino cuánto de lo que exige la norma ya está en funcionamiento: control de accesos, copias de seguridad, gestión de incidentes, inventario de activos.
Un cronograma de ejemplo: 8 meses para una empresa de 20 personas
Así puede verse el camino de una empresa de software de 20 personas, sin certificaciones previas, con una persona dedicada parcialmente al proyecto:
| Mes | Qué se hace |
|---|---|
| Mes 1 | Compromiso de la dirección, responsable del SGSI, plan del proyecto y definición del alcance |
| Meses 2 y 3 | Inventario de activos, evaluación de riesgos y análisis de brechas |
| Meses 3 a 5 | Implementación de controles, redacción de políticas, Declaración de Aplicabilidad y capacitación |
| Meses 5 y 6 | El sistema opera y genera registros; se contrata al organismo certificador |
| Mes 6 | Auditoría interna, corrección de hallazgos y revisión por la dirección |
| Mes 7 | Etapa 1: revisión de la documentación |
| Mes 8 | Etapa 2: auditoría de certificación y decisión del organismo |
Ejemplo ilustrativo. Las etapas se superponen y el orden puede variar según la organización.
El paso a paso completo de cada etapa está en la guía del proceso de certificación ISO 27001.
Cuánto dura la auditoría de certificación
La auditoría de certificación ISO 27001 ocupa entre 5 y 10 días de trabajo del auditor en organizaciones de hasta 65 personas, según la tabla de ISO/IEC 27006, pero se reparte en varias semanas: contratación y planificación, Etapa 1, un intervalo para resolver pendientes, Etapa 2 y la decisión del organismo. Así se organiza:
- Contratación y planificación. Pedir cotizaciones, elegir el organismo y acordar fechas puede llevar de 2 a 6 semanas, según la agenda de los auditores. Conviene empezar este paso mientras se termina la implementación.
- Etapa 1. El auditor revisa la documentación y confirma que la organización está lista. En empresas chicas suele resolverse en uno o dos días.
- Tiempo entre etapas. Suelen pasar algunas semanas, para que la organización resuelva los puntos que dejó la Etapa 1.
- Etapa 2. El auditor verifica con evidencia y entrevistas que los controles funcionan. Es la parte más larga de la auditoría.
- Decisión y emisión. El organismo revisa el informe y decide la certificación. Si hay no conformidades mayores, primero hay que corregirlas, lo que puede sumar semanas.
La cantidad total de días de auditoría depende de las personas dentro del alcance, según la tabla de la norma ISO/IEC 27006:
| Personas en el alcance | Días de auditoría (Etapa 1 + Etapa 2) |
|---|---|
| 1 a 10 | 5 |
| 11 a 15 | 6 |
| 16 a 25 | 7 |
| 26 a 45 | 8,5 |
| 46 a 65 | 10 |
Valores de referencia de la tabla de tiempos de auditoría de ISO/IEC 27006 para la certificación inicial. El organismo puede ajustarlos según la complejidad del alcance, pero la reducción no puede superar el 30%. El efecto de estos días en el precio está explicado en la guía de costos.
Por qué no se puede certificar al día siguiente de implementar
ISO 27001 no certifica documentos: certifica un sistema que funciona. Por eso, antes de la auditoría externa, el organismo certificador espera ver el ciclo completo en marcha, con al menos una auditoría interna y una revisión por la dirección terminadas, y registros que muestren que los controles se aplican de forma sostenida.
La norma no fija un tiempo mínimo de operación. En la práctica, muchas organizaciones dejan funcionar el sistema entre uno y tres meses antes de la Etapa 2, para acumular evidencia suficiente: accesos revisados, copias de seguridad probadas, capacitaciones registradas, incidentes gestionados.
Generar registros desde el primer mes, aunque el sistema todavía no esté completo, evita tener que esperar al final para acumular evidencia.
Qué factores alargan o acortan el plazo
- El alcance
Cada sede, producto o proceso adicional suma riesgos, controles y días de auditoría.
- El punto de partida
Una empresa con prácticas de seguridad maduras tiene menos brechas para cerrar.
- El tiempo del equipo
Un responsable sin horas asignadas es la causa más común de proyectos que se estiran.
- El apoyo de la dirección
Las decisiones sobre riesgos, recursos y políticas se traban si la dirección no participa.
- La forma de recolectar evidencia
Juntarla a mano y al final consume semanas; recolectarla de forma continua las ahorra.
- La agenda del organismo
En algunos países y épocas del año, conseguir fecha de auditoría lleva más de un mes.
Cómo acortar el plazo sin saltear pasos
- Acotar el alcance al servicio que piden los clientes. Se puede ampliar después, en una auditoría posterior.
- Asignar un responsable con tiempo real. Unas horas fijas por semana rinden más que dedicación esporádica.
- Reservar la auditoría con anticipación. Contratar al organismo mientras se termina la implementación evita semanas de espera.
- Partir de plantillas y adaptarlas. Las políticas deben reflejar lo que la empresa hace, pero no hace falta escribirlas desde cero.
- Automatizar la evidencia. Conectar las herramientas que ya se usan para que los registros se recolecten automáticamente.
- Hacer una auditoría interna exigente. Cada desvío que se corrige antes es una no conformidad menos en la Etapa 2.
Después del certificado: el calendario de los 3 años
El certificado dura 3 años, pero exige trabajo durante todo el ciclo:
| Momento | Qué ocurre |
|---|---|
| Año 0 | Auditoría de certificación (Etapas 1 y 2) y emisión del certificado |
| Año 1 | Primera auditoría de seguimiento, dentro de los 12 meses posteriores a la certificación |
| Año 2 | Segunda auditoría de seguimiento |
| Año 3 | Auditoría de recertificación, antes del vencimiento, que inicia un nuevo ciclo |
Las auditorías de seguimiento son más cortas que la inicial. Si en alguna aparecen no conformidades mayores que no se resuelven a tiempo, el organismo puede suspender el certificado. Entre auditorías, la organización sigue revisando riesgos y haciendo auditorías internas y revisiones por la dirección a los intervalos planificados que ella misma define.
Cómo ayuda Certenza a ganar tiempo
La mayor parte del plazo se va en la preparación, y ahí es donde una plataforma de cumplimiento tiene más impacto: convierte los requisitos en tareas con responsables, ayuda a redactar las políticas, guía la evaluación de riesgos y recolecta la evidencia desde las herramientas que la organización conecta. Eso reduce el trabajo manual y evita acumular registros a último momento.
- La norma convertida en tareas
Los requisitos de ISO 27001 y los controles del Anexo A aparecen como controles claros, con responsables y estado, para saber siempre qué falta.
- Políticas redactadas con ayuda de IA
Certenza ayuda a redactar las políticas a partir de cómo trabaja la empresa, en vez de escribirlas desde cero o copiar plantillas genéricas sin adaptarlas.
- Evidencia que se recolecta automáticamente
Al conectar las herramientas que la empresa ya usa, la evidencia se reúne de forma continua y no a último momento antes de la auditoría.
La plataforma no acorta los tiempos de la auditoría, que dependen del organismo certificador acreditado que se contrata por separado, pero ayuda a llegar a ella con la documentación y la evidencia listas.
¿Querés saber cuánto te llevaría a vos?
Te ayudamos a estimar el plazo según tu tamaño, tu alcance y lo que ya tenés implementado.