El día después de recibir el certificado, muchas organizaciones bajan el ritmo. Doce meses más tarde llega la primera auditoría de seguimiento y aparecen los problemas: riesgos sin revisar, accesos de personas que ya no están, capacitaciones vencidas. Esta guía propone una forma ordenada de evitarlo: un calendario anual, responsables claros, indicadores para medir el sistema y una lista de lo que hay que revisar cuando la empresa cambia.
Resumen rápido
- El ciclo: certificación en el año 0, auditorías de seguimiento en los años 1 y 2, y recertificación en el año 3.
- Las frecuencias: la norma pide hacer las cosas a intervalos planificados; la organización los define y el auditor verifica que los cumpla.
- Lo que no puede faltar cada año: revisión de riesgos, auditoría interna, revisión por la dirección y seguimiento de las acciones correctivas.
- Medir: objetivos de seguridad e indicadores que muestren si el sistema funciona.
- Cuando la empresa cambia: un producto nuevo, una sede o un proveedor crítico obligan a revisar alcance, riesgos y controles.
Qué exige el ciclo de certificación
El certificado dura 3 años. Durante ese período, el organismo certificador vuelve al menos una vez por año:
| Momento | Auditoría externa | Qué revisa |
|---|---|---|
| Año 1 | Primer seguimiento, dentro de los 12 meses de la certificación | Una parte del sistema, los cambios y las no conformidades pendientes |
| Año 2 | Segundo seguimiento | Otra parte del sistema, con el mismo enfoque |
| Año 3 | Recertificación, antes del vencimiento | El sistema completo, para renovar por otros 3 años |
Qué pasa en cada una de esas visitas está explicado en la guía de auditorías de ISO 27001. Esta guía se concentra en lo que la organización tiene que hacer entre una y otra.
Un calendario anual de mantenimiento
Una forma práctica de sostener el sistema es convertir los requisitos en un calendario con fechas y responsables. Este es un ejemplo para una empresa chica; las frecuencias son orientativas y cada organización define las suyas:
| Frecuencia | Actividad | Referencia en la norma |
|---|---|---|
| Continua | Gestión de incidentes, altas y bajas de usuarios, cambios en sistemas, registro de evidencia | Anexo A 5.24 a 5.27, 5.18, 8.32 |
| Trimestral | Revisión de accesos con privilegios, vulnerabilidades técnicas e indicadores del SGSI | Anexo A 5.18, 8.2, 8.8; cláusula 9.1 |
| Semestral | Prueba de restauración de copias de seguridad y revisión de proveedores críticos | Anexo A 8.13, 5.19 a 5.22 |
| Anual | Evaluación de riesgos completa y actualización de la Declaración de Aplicabilidad | Cláusulas 6.1.2, 6.1.3 y 8.2 |
| Anual | Revisión de políticas y capacitación de todo el personal | Anexo A 5.1, 6.3 |
| Anual | Prueba del plan de respuesta a incidentes y de continuidad | Anexo A 5.24, 5.29, 5.30 |
| Anual | Auditoría interna y revisión por la dirección, antes de la auditoría externa | Cláusulas 9.2 y 9.3 |
Ejemplo orientativo. ISO 27001 no fija estas frecuencias: pide definirlas en función de los riesgos y cumplirlas. Lo que el auditor revisa es que el calendario exista y que se respete.
Conviene ubicar la auditoría interna y la revisión por la dirección uno o dos meses antes de cada auditoría de seguimiento, para tener tiempo de corregir lo que aparezca.
Quién se ocupa de qué
El mantenimiento falla cuando todo depende de una sola persona. Repartir las actividades evita que el SGSI se frene cuando alguien está de vacaciones o deja la empresa:
| Responsable | Actividades de mantenimiento |
|---|---|
| Dirección | Revisión por la dirección, aprobación de riesgos y recursos, seguimiento de objetivos |
| Responsable del SGSI | Calendario, evaluación de riesgos, Declaración de Aplicabilidad, relación con el auditor |
| IT o ingeniería | Accesos, vulnerabilidades, copias de seguridad, cambios en sistemas |
| RRHH | Ingresos y salidas, capacitación, acuerdos de confidencialidad |
| Compras o administración | Alta y revisión de proveedores, contratos con cláusulas de seguridad |
Cómo medir si el sistema sigue funcionando
La norma pide fijar objetivos de seguridad de la información (cláusula 6.2) y decidir qué se mide, cómo y cuándo (cláusula 9.1). Los indicadores no tienen que ser muchos: alcanza con pocos, que se revisen de verdad. Algunos ejemplos:
- Bajas a tiempo
Porcentaje de accesos revocados dentro del plazo definido cuando alguien deja la empresa.
- Capacitación al día
Porcentaje del personal que completó la concientización del período.
- Vulnerabilidades críticas
Tiempo promedio para corregirlas desde que se detectan.
- Copias de seguridad
Pruebas de restauración realizadas con éxito sobre las planificadas.
- Incidentes
Cantidad, gravedad y tiempo de respuesta.
- Acciones correctivas
Porcentaje cerradas dentro del plazo comprometido.
Los resultados se presentan en la revisión por la dirección, que decide qué mejorar. Ese circuito, medir, revisar y corregir, es lo que la norma llama mejora continua (cláusula 10).
Qué revisar cuando la empresa cambia
Un SGSI que no acompaña los cambios de la organización deja de representarla. La norma pide planificar los cambios en el sistema (cláusula 6.3) y repetir la evaluación de riesgos cuando hay cambios significativos:
| Cambio | Qué revisar |
|---|---|
| Un producto o servicio nuevo | Alcance, riesgos, Declaración de Aplicabilidad; avisar al organismo si cambia el alcance certificado |
| Una sede u oficina nueva | Alcance, controles físicos y días de auditoría |
| Un proveedor crítico nuevo | Evaluación del proveedor, contrato y riesgos asociados |
| Crecimiento fuerte del equipo | Accesos, capacitación, ingresos y días de auditoría |
| Cambio de infraestructura o de nube | Riesgos, configuraciones, copias de seguridad y continuidad |
| Un incidente grave | Causa, acciones correctivas y riesgos relacionados |
| Fusión o adquisición | Alcance completo y conversación anticipada con el organismo certificador |
Cuando cambia la norma
ISO revisa sus normas periódicamente, y los cambios también hay que incorporarlos. Dos ejemplos recientes:
- La versión 2022: reemplazó a la de 2013 y reorganizó el Anexo A en 93 controles. Las organizaciones certificadas tuvieron hasta octubre de 2025 para hacer la transición.
- La enmienda de 2024: agregó la consideración del cambio climático en el análisis del contexto de la organización (cláusula 4). No exige controles nuevos, pero sí que la organización evalúe si es un tema relevante para ella.
El organismo certificador suele informar los cambios y los plazos de transición. Lo importante es incorporarlos en la siguiente revisión del sistema, y no a último momento antes de una auditoría.
Señales de que el SGSI se está deteriorando
- El registro de riesgos no cambió en un año
En una empresa que sí cambió, es la señal más clara.
- Las capacitaciones vencieron
Personas nuevas que nunca la hicieron o registros desactualizados.
- Hay accesos de personas que ya no están
Uno de los hallazgos más comunes en las auditorías de seguimiento.
- Las acciones correctivas siguen abiertas
Hallazgos de la auditoría anterior sin resolver ni justificar.
- La evidencia se junta la semana anterior
Muestra que el sistema solo funciona cuando hay auditoría.
- Nadie sabe quién es el responsable
El SGSI quedó sin dueño después de un cambio de equipo.
Cómo ayuda Certenza a sostener el SGSI
El mantenimiento de ISO 27001 es, sobre todo, constancia: que las revisiones se hagan cuando corresponde y que quede registro. Certenza ayuda a que esa constancia no dependa de la memoria de una sola persona:
- Evidencia que no se corta después de certificar
Las integraciones siguen reuniendo registros durante los 3 años del ciclo, así cada seguimiento encuentra el sistema documentado.
- Cada control con responsable, aunque cambie el equipo
Si alguien deja la empresa, sus controles quedan visibles para reasignarlos, en lugar de perderse en una planilla.
- Un Trust Center que refleja el estado actual
Los clientes ven información de seguridad vigente, no la que se preparó para la primera auditoría.
La revisión por la dirección y la auditoría interna siguen siendo responsabilidad de la organización, y las auditorías externas las hace un organismo acreditado que se contrata por separado.
¿Se acerca tu auditoría de seguimiento?
Te mostramos cómo llegar con el SGSI al día.