Para muchas empresas de Latinoamérica, es la credencial que piden los clientes corporativos, las licitaciones y los socios internacionales antes de compartir información. Esta guía explica qué demuestra la certificación, qué exige la norma y cómo es el camino para obtenerla.
Resumen rápido
- Qué es: la verificación independiente de que una organización cuenta con un sistema de gestión de seguridad de la información (SGSI) que cumple con ISO/IEC 27001:2022.
- Quién la emite: un organismo certificador acreditado, nunca la propia empresa ni la consultora o plataforma que la ayudó a prepararse.
- Cómo se obtiene: con una auditoría externa en dos etapas, después de implementar el sistema.
- Cuánto dura: 3 años, con auditorías de seguimiento cada año.
- Cuánto tarda: en una empresa chica, la preparación suele llevar entre 3 y 9 meses.
Qué es ISO 27001 y qué demuestra la certificación
ISO/IEC 27001 es la norma internacional que define los requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de seguridad de la información (SGSI): el conjunto de políticas, procesos, responsabilidades y controles con los que una organización protege su información.
La norma no indica qué herramientas usar ni impone una lista cerrada de medidas. Pide algo más exigente: que la organización identifique sus propios riesgos, decida cómo tratarlos y demuestre que sus controles funcionan de manera sostenida en el tiempo.
La certificación es la prueba de que eso ocurre. Un organismo certificador acreditado audita el sistema y, si cumple los requisitos, emite un certificado reconocido internacionalmente.
La versión vigente es ISO/IEC 27001:2022. La transición desde la versión 2013 terminó en octubre de 2025, por lo que los certificados válidos hoy corresponden a la edición 2022.
Cumplir con ISO 27001 no es lo mismo que estar certificado
Una organización puede cumplir con ISO 27001, es decir, aplicar sus requisitos y controles, sin estar certificada. La diferencia está en quién lo confirma:
| Cumplimiento | Certificación | |
|---|---|---|
| Quién lo confirma | La propia organización | Un organismo certificador acreditado e independiente |
| Qué se obtiene | Una declaración propia | Un certificado con vigencia de 3 años |
| Cómo lo ve un cliente | Una afirmación que debe verificar por su cuenta | Un respaldo verificado por un tercero |
| Cuándo alcanza | Para ordenar la seguridad internamente | Cuando un cliente, una licitación o un regulador pide el certificado |
Muchas organizaciones empiezan por alinearse con la norma y, cuando un cliente lo exige, avanzan hacia la certificación. En la práctica, los compradores corporativos suelen pedir el certificado y no aceptan una declaración propia.
Beneficios de la certificación ISO 27001
- Ventas con menos fricción
El certificado responde de antemano gran parte de los cuestionarios y revisiones de seguridad que exigen los clientes grandes.
- Acceso a clientes más grandes y licitaciones
Muchas empresas y organismos públicos la piden como condición para contratar proveedores que manejan sus datos.
- Reconocimiento internacional
Es una norma conocida en todo el mundo, lo que facilita vender a clientes de otros países.
- Riesgos bajo control
Obliga a identificar qué puede afectar a la información y a tratarlo antes de que se convierta en un incidente.
- Procesos más ordenados
Roles, políticas y procedimientos claros reducen la improvisación y la dependencia de personas clave.
- Base para otros estándares
Gran parte del trabajo se reutiliza para SOC 2, ISO 27701 o ISO 42001.
Quién necesita la certificación ISO 27001 y cuándo conviene obtenerla
La certificación ISO 27001 no es obligatoria por ley, pero se vuelve prácticamente necesaria cuando un cliente o una licitación la exige, cuando la empresa maneja información sensible de terceros, cuando los cuestionarios de seguridad se acumulan o cuando quiere vender fuera de su país. Estas son las situaciones más comunes:
- Un cliente o una licitación la exige. Es el motivo más frecuente: un contrato que no se puede firmar sin el certificado.
- La empresa maneja información sensible de terceros. Por ejemplo, datos personales, financieros o de salud de los clientes de sus clientes.
- Los cuestionarios de seguridad se acumulan. Cuando el equipo dedica cada vez más horas a responder revisiones de seguridad, el certificado simplifica ese trabajo.
- La empresa quiere vender fuera de su país. Es una de las credenciales de seguridad más reconocidas a nivel internacional.
ISO 27001 y las leyes de protección de datos en Latinoamérica
Las leyes de protección de datos de la región, como la Ley 25.326 en Argentina, la Ley 21.719 en Chile, la LFPDPPP en México, la Ley 1581 en Colombia o la LGPD en Brasil, no exigen la certificación ISO 27001. Sin embargo, todas piden aplicar medidas de seguridad adecuadas para proteger los datos personales, y un SGSI certificado es una forma reconocida de demostrarlo.
Cómo está organizada la norma
ISO/IEC 27001 combina dos partes: las cláusulas 4 a 10, que definen los requisitos del sistema de gestión y se auditan todas, y los 93 controles del Anexo A, que se aplican según los riesgos de cada organización. Ambas persiguen tres principios de la seguridad de la información:
- Confidencialidad
Que la información solo la vean quienes están autorizados.
- Integridad
Que la información sea exacta y no se altere sin control.
- Disponibilidad
Que la información esté accesible cuando se la necesita.
Las cláusulas 4 a 10: el sistema de gestión
Las cláusulas 0 a 3 son introductorias (introducción, alcance, referencias y términos). Los requisitos que se auditan están en las cláusulas 4 a 10:
| Cláusula | Tema | Qué pide, en pocas palabras |
|---|---|---|
| 4 | Contexto | Entender la organización y sus partes interesadas, y definir el alcance del SGSI |
| 5 | Liderazgo | Compromiso de la dirección, política de seguridad y roles asignados |
| 6 | Planificación | Evaluar y tratar los riesgos, fijar objetivos y planificar los cambios |
| 7 | Soporte | Recursos, competencias, concientización, comunicación y documentación |
| 8 | Operación | Poner en práctica los planes y el tratamiento de riesgos |
| 9 | Evaluación del desempeño | Medir, hacer auditorías internas y revisiones por la dirección |
| 10 | Mejora | Corregir las no conformidades y mejorar de forma continua |
Descripción resumida con palabras propias. El texto oficial de la norma se adquiere a ISO o al organismo de normalización de cada país.
El Anexo A: los controles
El Anexo A reúne 93 controles organizados en cuatro grupos:
| Grupo | Controles | Ejemplos de temas |
|---|---|---|
| Organizacionales | 37 | Políticas, gestión de proveedores, respuesta a incidentes |
| De personas | 8 | Concientización, condiciones de contratación |
| Físicos | 14 | Seguridad de oficinas y equipos |
| Tecnológicos | 34 | Control de accesos, copias de seguridad, cifrado |
| Total | 93 |
No todos los controles aplican a todas las organizaciones. Cada empresa justifica cuáles usa y por qué en la Declaración de Aplicabilidad, uno de los documentos que más revisa el auditor.
Cómo se obtiene la certificación ISO 27001
La certificación ISO 27001 se obtiene en tres etapas: preparar el sistema de gestión (alcance, evaluación de riesgos, Declaración de Aplicabilidad, controles, auditoría interna y revisión por la dirección), superar la auditoría de certificación que un organismo acreditado realiza en dos etapas, y mantener el certificado, que dura 3 años, con una auditoría de seguimiento anual y una recertificación al final del ciclo.
1. Preparar el sistema de gestión
La organización define el alcance, evalúa sus riesgos, completa la Declaración de Aplicabilidad, implementa los controles y las políticas, capacita al personal y realiza la auditoría interna y la revisión por la dirección. Es la etapa más larga y la que más esfuerzo demanda.
2. Superar la auditoría de certificación
Un organismo certificador acreditado audita el sistema en dos etapas:
- Etapa 1
Revisa la documentación y confirma que la organización está preparada para la auditoría completa.
- Etapa 2
Verifica, con evidencia y entrevistas, que los controles funcionan en la práctica.
Si el auditor encuentra desvíos, la organización debe corregirlos antes de recibir el certificado.
3. Mantener la certificación
El certificado dura 3 años. Durante ese período, el organismo realiza una auditoría de seguimiento anual y, al final del ciclo, una recertificación completa. Mantener la evidencia al día durante todo el año evita que cada auditoría se convierta en un proyecto nuevo.
Cuánto tarda la certificación ISO 27001
Preparar la certificación ISO 27001 lleva habitualmente entre 3 y 6 meses en una empresa chica con controles ya implementados, entre 6 y 9 meses si los controles son parciales y entre 9 y 14 meses en empresas medianas, grandes o con varias sedes. El plazo depende del punto de partida, del alcance y del tiempo que el equipo pueda dedicarle:
| Situación de la empresa | Plazo habitual de preparación |
|---|---|
| Empresa chica con controles de seguridad ya implementados | 3 a 6 meses |
| Empresa chica o mediana con controles parciales | 6 a 9 meses |
| Empresa mediana o grande, o con varias sedes | 9 a 14 meses |
A eso se suma la auditoría de certificación, que se realiza en dos etapas con algunas semanas de diferencia entre ambas.
Cuánto cuesta la certificación ISO 27001
El costo combina la auditoría del organismo certificador, la implementación (con una consultora, una plataforma o recursos propios), la auditoría interna, la capacitación del personal y el mantenimiento del certificado. Para una empresa chica en Latinoamérica, los costos obligatorios del primer año arrancan en unos USD 4.300, más la implementación.
¿Cuánto cuesta certificar ISO 27001 en 2026?
Costos obligatorios, caminos de implementación y escenarios con precios de Latinoamérica.
Cómo elegir un organismo certificador
- Que esté acreditado. Solo un organismo acreditado emite un certificado válido. En Latinoamérica, la acreditación la otorgan entidades como el OAA en Argentina, el INN en Chile, la EMA en México, el ONAC en Colombia o el INACAL en Perú.
- Que su acreditación sea reconocida internacionalmente. Conviene que el organismo de acreditación sea firmante del acuerdo de reconocimiento del IAF (Foro Internacional de Acreditación), para que el certificado tenga validez en otros países.
- Que el certificado se pueda verificar. Los certificados acreditados pueden consultarse en registros públicos, como IAF CertSearch.
- Que tenga experiencia en el sector. Un auditor que conoce el tipo de empresa (software, fintech, salud) entiende mejor sus riesgos.
- Que pueda acompañar todo el ciclo. Cambiar de organismo a mitad del ciclo de 3 años suma trabajo y costos.
Existen entidades que ofrecen "certificados" rápidos sin acreditación. No tienen validez ante clientes ni licitaciones.
ISO 27001, SOC 2 e ISO 27002: en qué se diferencian
| ISO 27001 | SOC 2 | ISO 27002 | |
|---|---|---|---|
| Qué es | Norma certificable de sistemas de gestión | Informe de auditoría basado en criterios del AICPA | Guía de buenas prácticas para implementar los controles |
| Qué se obtiene | Un certificado de un organismo acreditado | Un informe emitido por una firma de contadores (CPA) | Nada: no es certificable |
| Alcance | Todo el sistema de gestión de la seguridad | Los criterios que la empresa elige auditar | Orientación sobre cómo aplicar cada control |
| Dónde pesa más | En todo el mundo, sobre todo en Europa y Latinoamérica | En Estados Unidos | Como complemento de ISO 27001 |
Una parte importante de los controles y de la evidencia se comparte entre ISO 27001 y SOC 2, por lo que muchas empresas que obtienen una suman la otra con menos esfuerzo.
Cómo ayuda una plataforma de cumplimiento
Una plataforma de cumplimiento organiza el trabajo de preparación: convierte los requisitos en controles con responsables, ayuda a redactar las políticas, recolecta la evidencia desde las herramientas que la organización conecta y mantiene el estado de cumplimiento actualizado entre auditorías.
Usar una plataforma reduce las horas de consultoría y de preparación, y permite reutilizar el trabajo cuando se suman otros estándares. La auditoría y el certificado, en cambio, siempre los emite un organismo acreditado que se contrata por separado.