“¿Tenés ISO 27001?” es una pregunta cada vez más frecuente en las ventas a grandes empresas de Latinoamérica. Esta guía te ayuda a responder otra pregunta anterior: si tu empresa realmente la necesita, en qué momento y por qué. Repasamos las señales que la vuelven necesaria, los sectores donde más se exige, el contexto regulatorio de la región y los casos en los que todavía puede esperar.
Resumen rápido
- ¿Es obligatoria? No por ley. La exigen los clientes, las licitaciones y los socios comerciales.
- ¿Quién la necesita? Cualquier organización a la que sus clientes le confían información que sería grave perder, exponer o no poder usar.
- Sectores donde más se pide: software y servicios de IT, finanzas, salud, telecomunicaciones, energía y minería, y proveedores del Estado.
- ¿Importa el tamaño? No. Una empresa de 15 personas puede certificar con un alcance proporcional a sus riesgos.
- ¿Cuándo empezar? Antes de que un cliente la exija con fecha. La preparación lleva meses.
¿Es obligatorio certificar ISO 27001?
No. ISO/IEC 27001 es una norma voluntaria y ninguna ley de Latinoamérica obliga a una empresa a certificarla. Sin embargo, eso no significa que sea opcional en la práctica.
La obligación suele llegar por contrato. Cuando una gran empresa o un organismo público incorpora un proveedor que va a acceder a sus datos o sistemas, evalúa su seguridad. Para muchos de ellos, el certificado ISO 27001 es la forma más simple de comprobarla: un tercero independiente ya la verificó. Por eso, la pregunta útil no es si la norma es obligatoria, sino cuánto le cuesta a tu empresa no tenerla: un contrato que no se firma, una licitación en la que no podés participar o un ciclo de venta que se extiende meses.
Siete señales de que tu empresa necesita ISO 27001
La necesidad casi nunca aparece en abstracto. Llega con un hecho concreto. Si reconocés alguno de estos, la certificación ya está en tu agenda.
- Un cliente la pide en el contrato o en el alta de proveedores. Es el motivo más frecuente. A veces es excluyente; otras, suma puntos frente a la competencia.
- Querés participar en licitaciones. Cada vez más pliegos públicos y privados la exigen o la puntúan, sobre todo en proyectos de tecnología y datos.
- Tus clientes están regulados. Bancos, aseguradoras, empresas de salud y de energía deben controlar a sus proveedores, y trasladan esa exigencia por contrato.
- Procesás datos sensibles de terceros. Datos personales, financieros, de salud o información estratégica de tus clientes.
- Accedés a sistemas o infraestructura de tus clientes. Es el caso típico de las software factories, los proveedores de servicios gestionados y los integradores.
- Vas a vender en otros países. Es una credencial reconocida en Europa, Latinoamérica y Asia, que evita explicar tu seguridad desde cero en cada mercado.
- Los cuestionarios de seguridad consumen horas de tu equipo. Cuando llegan todos los meses, certificar suele resultar más eficiente que seguir respondiéndolos uno por uno.
Qué sectores necesitan ISO 27001
Cualquier organización puede certificar, pero la presión no es igual en todas las industrias. Estos son los sectores donde más se exige en Latinoamérica y quién suele pedirla.
| Sector | Por qué se exige | Quién la pide |
|---|---|---|
| Software y SaaS | Alojan datos de sus clientes y se integran con sus sistemas | Clientes corporativos, sobre todo de banca, salud y gobierno |
| Software factories y servicios de IT | Acceden a código, entornos y datos productivos de terceros | Clientes internacionales, grandes empresas y organismos públicos |
| Banca, fintech y seguros | Los reguladores exigen gestionar el riesgo tecnológico y el de los proveedores | Reguladores, bancos socios, redes de pago y clientes corporativos |
| Energía, minería y utilities | Un incidente puede detener la operación o un servicio esencial | Áreas de seguridad y compliance de las operadoras y sus casas matrices |
| Salud | Manejan historias clínicas y datos de pacientes | Financiadores, redes de prestadores y clientes internacionales |
| Telecomunicaciones y data centers | Transportan y alojan información de terceros | Clientes corporativos y sector público |
| Proveedores del Estado | Los organismos públicos manejan datos de la ciudadanía | Pliegos de licitación y áreas de tecnología de los organismos |
| BPO y contact centers | Operan procesos de sus clientes con acceso a datos de usuarios finales | Clientes de banca, telecomunicaciones y retail |
| Consultoras y estudios profesionales | Manejan información financiera, legal y estratégica | Clientes corporativos en la evaluación de proveedores |
¿Tu sector no aparece? Hacete una pregunta: ¿tus clientes te confían información que sería grave perder, exponer o no poder usar? Si la respuesta es sí, tarde o temprano te van a pedir que demuestres cómo la protegés.
Qué exige la regulación en Latinoamérica
Las leyes de la región no piden la certificación, pero sí que las organizaciones apliquen medidas de seguridad adecuadas y puedan demostrarlas. Un sistema de gestión certificado es una de las formas más reconocidas de hacerlo.
| País | Marco de referencia | Qué pide |
|---|---|---|
| Argentina | Ley 25.326 y normativa del BCRA para entidades financieras | Medidas de seguridad sobre datos personales; gestión del riesgo tecnológico y de proveedores en el sistema financiero |
| Chile | Ley 21.663 Marco de Ciberseguridad y Ley 21.719 | Gestión de riesgos y reporte de incidentes en servicios esenciales; nuevo estándar de protección de datos |
| Brasil | LGPD (Ley 13.709) | Medidas técnicas y administrativas para proteger datos personales |
| México | LFPDPPP | Medidas de seguridad administrativas, técnicas y físicas |
| Colombia | Ley 1581 de 2012 | Seguridad en el tratamiento de datos personales |
| Perú | Ley 29733 | Medidas de seguridad y confidencialidad sobre los datos |
La regulación también llega en cascada: si tu cliente está regulado, te traslada sus obligaciones por contrato. Así, una norma pensada para bancos o servicios esenciales termina alcanzando a sus proveedores de software y servicios. Lo mismo ocurre con marcos europeos como GDPR, NIS2 o DORA cuando trabajás con empresas de Europa.
Referencia general. No constituye asesoramiento legal: consultá con tu equipo legal cómo aplica cada norma a tu actividad.
¿Una startup o una pyme necesita ISO 27001?
El tamaño no define la necesidad: la definen los clientes. Una empresa de 15 personas que le vende software a un banco puede necesitarla más que una de 500 que solo vende a consumidores finales.
La norma está pensada para adaptarse. El sistema de gestión se construye sobre los riesgos propios de cada organización, y el alcance puede limitarse al producto, servicio o proceso que evalúan los clientes. En una empresa chica, eso se traduce en menos documentos, menos controles aplicables y una auditoría más corta.
- Cuándo conviene certificar
Tenés oportunidades con grandes empresas o licitaciones en los próximos 12 meses, o ya perdiste un deal por requisitos de seguridad.
- Cuándo puede esperar
Tus clientes no la piden y aceptan un cuestionario de seguridad bien respondido. Usá ese tiempo para ordenar los fundamentos.
Cuándo todavía no necesitás certificar
Certificar implica tiempo, presupuesto y un compromiso de mantenimiento anual. Puede no ser el momento si:
- No tenés clientes corporativos ni del sector público en el horizonte cercano.
- Tus clientes están principalmente en Estados Unidos y piden SOC 2.
- Tu producto no procesa información de terceros ni se integra con sus sistemas.
Aun así, alinear tus prácticas con la norma tiene valor: ordena la seguridad, prepara las respuestas a los cuestionarios y deja buena parte del camino recorrido para cuando llegue el cliente que la pida.
¿ISO 27001 o SOC 2? Depende de dónde estén tus clientes
Las dos demuestran que la seguridad está gestionada y verificada por un tercero, pero pesan distinto según el mercado.
- ISO 27001
Es la referencia en Latinoamérica, Europa y Asia, y la que más aparece en licitaciones. La emite un organismo de certificación acreditado y tiene una vigencia de 3 años.
- SOC 2
Es la más pedida por clientes de Estados Unidos. Es un informe de auditoría emitido por una firma de contadores (CPA) y se renueva cada año.
- Las dos
Si vendés en ambos mercados. Comparten gran parte de los controles y de la evidencia, así que la segunda requiere mucho menos esfuerzo.
Quién se beneficia cuando una empresa certifica
- La empresa
Ciclos de venta más cortos, acceso a clientes más grandes y a licitaciones, y riesgos identificados antes de que se conviertan en incidentes.
- Sus clientes
Un proveedor verificado por un tercero, menos trabajo de evaluación y mayor confianza al compartir información sensible.
- El equipo
Roles claros, procesos documentados y menos dependencia de personas clave.
- Los inversores
Una due diligence más simple y una señal de madurez operativa.
Si tu empresa la necesita, por dónde empezar
- Definí el motivo y la fecha objetivo. Un cliente, una licitación o un mercado. El motivo marca la urgencia y ayuda a conseguir el apoyo de la dirección.
- Acotá el alcance. Empezá por lo que tus clientes evalúan. Un alcance preciso reduce tiempo y costo, y se puede ampliar después.
- Medí la distancia con la norma. Un análisis de brechas muestra qué ya tenés, qué falta y cuánto esfuerzo implica.
- Armá el equipo y elegí cómo trabajar. Un responsable, referentes de cada área y la combinación de equipo propio, consultores y herramientas.
- Reservá el organismo certificador con tiempo. Verificá que esté acreditado y que su certificado sea reconocido por tus clientes.
¿Cuánto cuesta certificar ISO 27001?
Costos obligatorios, caminos de implementación y escenarios con precios de Latinoamérica.