ISO 27001 para PYMEs: guía práctica para certificarse sin un proyecto eterno

Por Kike Gandia · Co-Fundador y CEO, OSCP

Cada vez más PYMEs se topan con la misma exigencia: un cliente enterprise pide ISO 27001 como condición contractual, o un pliego de licitación pública la exige directamente. La buena noticia es que ISO 27001 no exige la misma estructura documental para una empresa de 15 personas que para una corporación de 5.000: el estándar se adapta al tamaño y complejidad real de la organización. Esta guía explica qué implica certificarse siendo una PYME y cómo evitar que se convierta en un proyecto de dos años.

Por qué tu cliente te lo exige (y no es negociable)

ISO 27001 certifica que tienes un Sistema de Gestión de Seguridad de la Información (SGSI) implementado: políticas, análisis de riesgos, controles técnicos y organizativos, y un proceso de mejora continua. Cuando una empresa grande te subcontrata un servicio que toca sus datos, su propio departamento de compras o legal exige esta certificación como garantía de que no eres el eslabón débil de su cadena de suministro. No es un capricho: en muchos pliegos y contratos ya es una cláusula estándar.

Qué implica realmente para una PYME

El SGSI documenta lo que ya deberías estar haciendo: quién tiene acceso a qué, cómo se gestionan los incidentes, cómo se hacen las copias de seguridad, cómo se forma al personal. Para una PYME de 10-50 empleados, la Declaración de Aplicabilidad (qué controles del Anexo A aplican) suele ser mucho más corta que la de una gran empresa, precisamente porque hay menos superficie que cubrir.

Fases del proceso y tiempos realistas

Gap analysis inicial (2-3 semanas): qué tienes ya y qué falta. Diseño del SGSI y política de seguridad (4-6 semanas). Implementación de controles pendientes (variable, normalmente 2-4 meses según el punto de partida). Auditoría interna y revisión por dirección (2-3 semanas). Auditoría de certificación externa por un organismo acreditado. Para una PYME organizada, el proceso completo suele completarse en 4-6 meses, no en dos años.

El error más caro: sobredimensionar el SGSI

El error más frecuente en PYMEs es copiar la estructura documental de una gran empresa: procedimientos de 40 páginas para procesos que ejecuta una sola persona. Un SGSI proporcionado al tamaño real de la organización no solo se implementa más rápido, es el que de verdad se sigue en el día a día, que es lo que evalúa la auditoría de certificación.

La decisión que más dinero mueve: el alcance

Antes de hablar de controles hay que decidir qué se certifica. El alcance del SGSI no tiene que ser "la empresa entera": puede acotarse a un servicio concreto y a las personas, sistemas y ubicaciones que lo sostienen. Para una PYME de producto, un alcance del tipo "desarrollo, operación y soporte de la plataforma X, en las oficinas de Y y en la infraestructura cloud asociada" es perfectamente certificable y deja fuera áreas como administración o comercial, que no aportan nada a la garantía que busca el cliente. Esto importa porque los días de auditoría se calculan en función del número de personas dentro del alcance y de su complejidad: un alcance bien acotado reduce directamente el coste de la certificación y el volumen de evidencias que hay que mantener cada año. El límite es que el alcance debe tener sentido: no se puede excluir del perímetro un sistema del que el servicio certificado depende, porque el auditor lo detecta en la Etapa 1 y obliga a rehacerlo.

Los documentos que el auditor va a pedir sí o sí

Esta es la carpeta mínima que una PYME necesita tener antes de la auditoría de certificación, con quién debe aprobarla:

Documento	Para qué sirve	Quién lo aprueba
Alcance del SGSI	Delimita qué se certifica y qué queda fuera	Dirección
Política de seguridad de la información	Declaración de intenciones y compromiso de la dirección	Dirección
Metodología y resultado del análisis de riesgos	Justifica por qué se aplican unos controles y no otros	Responsable del SGSI
Declaración de Aplicabilidad (SoA)	Recorre los 93 controles del Anexo A uno a uno	Dirección
Plan de tratamiento de riesgos	Qué se hace con cada riesgo, con responsable y plazo	Dirección
Inventario de activos y de proveedores	Base del análisis de riesgos y del control de la cadena de suministro	Responsable del SGSI
Procedimiento de gestión de incidentes	Qué se hace, quién decide y a quién se notifica	Responsable del SGSI
Registros de formación y concienciación	Evidencia de que las personas conocen lo que firman	RR. HH. o dirección
Informe de auditoría interna y acta de revisión por dirección	Requisitos de las cláusulas 9.2 y 9.3	Dirección

Lo que diferencia un SGSI que pasa la auditoría de uno que no rara vez es la cantidad de documentos: es que las fechas de los registros demuestren que el sistema lleva meses funcionando, no que se generó todo la semana anterior.

FAQ

¿Cuánto cuesta certificarse en ISO 27001 siendo una PYME?

La consultoría de implementación suele oscilar entre 3.000 y 12.000 € según el punto de partida, más el coste de la auditoría de certificación externa (varía por organismo certificador y tamaño de la empresa).

¿Puedo usar el trabajo de ISO 27001 para cumplir también con NIS2 o ENS?

En gran parte sí. Los tres marcos comparten controles fundamentales (gestión de accesos, gestión de incidentes, continuidad de negocio), así que la implementación de uno reduce significativamente el esfuerzo para los otros.

¿La certificación caduca?

Sí, tiene vigencia de tres años con auditorías de seguimiento anuales para mantenerla activa.

¿Cuánto tiempo del equipo interno consume el proyecto?

Es la pregunta que más se subestima. La consultoría redacta y estructura, pero nadie externo puede responder por ti quién tiene acceso a qué, qué proveedores tratan tus datos o cómo se resolvió el último incidente. En una PYME, lo habitual es que haya una persona como interlocutor principal dedicando varias horas a la semana durante el proyecto, más participaciones puntuales de IT, RR. HH. y dirección. Si nadie internamente tiene esa disponibilidad, el proyecto no se acelera pagando más: se para.

¿Hace falta un pentest para certificarse en ISO 27001?

La norma no lo exige con ese nombre. Sí exige gestionar las vulnerabilidades técnicas (control 8.8 del Anexo A) y verificar la seguridad en el desarrollo (8.29), y en una empresa cuyo producto es una aplicación expuesta a internet, un pentest o un análisis de vulnerabilidades recurrente es la forma más directa de evidenciarlo. Si el alcance certificado no incluye desarrollo de software, un análisis de vulnerabilidades periódico suele bastar.

¿Podemos certificar solo una parte de la empresa?

Sí, y suele ser lo recomendable. El alcance puede limitarse a un servicio, un equipo y unas ubicaciones concretas, siempre que el perímetro sea coherente y no excluya sistemas de los que dependa el servicio certificado. El certificado indica explícitamente el alcance, así que conviene comprobar que la redacción cubre lo que tu cliente quiere ver: un certificado cuyo alcance no menciona el servicio que le vendes no le sirve.

¿Qué pasa si la auditoría detecta una no conformidad mayor?

No se emite el certificado hasta que se cierre. Se abre un plan de acción correctiva con responsable y plazo, y la entidad verifica la corrección —a veces documentalmente, a veces con una visita de seguimiento— antes de certificar. Es el motivo por el que la auditoría interna previa no es un trámite: es la oportunidad de encontrar eso mismo cuando aún no cuesta una fecha de entrega comprometida con un cliente.