Inventariamos
Qué certificas exactamente: un SGSI, no un ordenador
Una gestoría de doce personas decide un día que quiere el certificado ISO/IEC 27001 porque un cliente grande se lo ha pedido en un concurso. Lo primero que conviene tener claro es que no se certifica la oficina ni los equipos, sino un Sistema de Gestión de Seguridad de la Información (SGSI): la forma en que decides qué proteges, qué riesgos te preocupan, qué medidas aplicas, cómo compruebas que funcionan y cómo corriges lo que falla.
La norma tiene dos partes. Las cláusulas 4 a 10 describen el sistema de gestión (contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora) y son obligatorias. El Anexo A de la edición ISO/IEC 27001:2022 recoge 93 controles entre los que eliges los que te aplican, y la guía ISO/IEC 27002:2022 explica cómo implantarlos. Si tu certificado o el de tu proveedor seguía la edición de 2013, ya no vale: el periodo de transición terminó el 31 de octubre de 2025.
La parte técnica (inventario, copias, accesos, incidencias) suele ser la que más pesa en una pyme, pero sin la parte de gestión no hay certificado. Si te falta la base, empieza por la guía de inventario de activos para ISO 27001 y ENS.
Las fases del camino, con plazos orientativos
Los plazos dependen de cuánto tiempo pueda dedicar la persona responsable y de lo ordenada que esté la oficina de partida. Para una empresa de entre 10 y 30 puestos con un alcance acotado, lo habitual es contar con varios meses de trabajo hasta la auditoría de certificación, no con semanas. Pulsa cada fase para ver qué se hace y qué documento queda.
-
Meses 0 a 1Decisión, responsable y alcance
La dirección aprueba el proyecto y nombra a una persona responsable (en una pyme suele ser gerencia o administración, con apoyo externo). Se define el alcance: qué sedes, qué procesos y qué sistemas entran. Documento: acta de alcance.
-
Meses 1 a 3Inventario y análisis de riesgos
Se inventarían activos (equipos, servidores, cuentas de Microsoft 365, programas de gestión, papel con datos de clientes), se valoran amenazas y se calcula el riesgo de cada uno. Documentos: inventario de activos e informe de riesgos.
-
Meses 3 a 5Declaración de Aplicabilidad y plan de tratamiento
Con los riesgos delante, decides qué controles del Anexo A aplicas, cuáles no y por qué. Eso es la Declaración de Aplicabilidad. Se acompaña de un plan de tratamiento con responsables y fechas.
-
Meses 4 a 8Implantar y generar registros
Se ponen en marcha las medidas: copias comprobadas, doble factor, altas y bajas con registro, formación, gestión de incidencias. Importa tanto hacerlo como poder demostrarlo, así que cada medida deja un registro con fecha.
-
Meses 7 a 9Auditoría interna y revisión por la dirección
Alguien que no haya implantado el sistema lo revisa contra la norma, y la dirección se reúne para evaluar resultados, incidentes y recursos. Ambas cosas son obligatorias y se hacen antes de la auditoría externa. Documentos: informe de auditoría interna y acta de revisión.
-
Meses 9 a 12Auditoría de certificación, etapas 1 y 2
La realiza una entidad de certificación (en España, conviene que esté acreditada por ENAC). Primero revisa la documentación y después comprueba en la práctica que el sistema funciona. Más abajo tienes el detalle.
-
Años 1 a 3Vigilancia anual y renovación
El certificado dura tres años, con auditorías de seguimiento cada año. Al cumplirse el ciclo, auditoría de renovación. Si dejas de mantener el sistema, se suspende.
Los documentos que te van a pedir
No hace falta una biblioteca. La norma pide información documentada concreta, y el resto lo decides tú según el tamaño. Esto es lo mínimo razonable en una oficina pequeña:
| Documento | Para qué sirve | Ejemplo en una oficina |
|---|---|---|
| Alcance del SGSI | Delimita qué entra en la certificación | Sede de Salamanca, equipos PC-ADMIN y PC-FISCAL, servidor de ficheros y Microsoft 365 |
| Política de seguridad de la información | Compromiso firmado por la dirección | Dos páginas, revisadas una vez al año (guía de la política) |
| Metodología e informe de riesgos | Cómo valoras y qué resulta | Hoja con activos, amenazas, probabilidad e impacto |
| Declaración de Aplicabilidad | Lista de controles aplicados, excluidos y su motivo | Tabla con los 93 controles del Anexo A y una justificación breve por fila |
| Plan de tratamiento del riesgo | Qué se hará, quién y cuándo | «Activar doble factor a todas las cuentas antes de marzo» |
| Objetivos de seguridad | Metas medibles | Copia verificada cada mes, incidentes cerrados en 48 h |
| Informe de auditoría interna y acta de revisión | Evidencia de que el sistema se evalúa | Informe con no conformidades y acta firmada por gerencia |
Además de estos documentos, el auditor querrá registros: la lista de altas y bajas (controles 6.5 y 5.11), las pruebas de restauración de copias (8.13), los incidentes y cómo se cerraron (5.24 a 5.28) y los justificantes de formación (6.3). Un registro sirve si tiene fecha, responsable y resultado.
Una forma rápida de ver en qué punto estás es esta lista de comprobación, que puedes ir marcando:
La auditoría de certificación: dos etapas
Elige la entidad con calma: debe estar acreditada para la norma ISO/IEC 27001 por un organismo como ENAC, y conviene pedir presupuestos de varias, porque el tiempo de auditoría que proponen depende de tu plantilla y del alcance. Aquí no damos cifras porque cambian de una entidad a otra.
La etapa 1 es documental: el auditor revisa el alcance, la política, el análisis de riesgos, la Declaración de Aplicabilidad y comprueba que has hecho auditoría interna y revisión por la dirección. Termina con un informe que puede traer observaciones. La etapa 2 se hace unas semanas después, normalmente en la oficina: entrevista a personas, mira equipos y pide registros. Si te dice «enséñame las copias de la semana pasada» o «¿quién dio de baja a la persona que se fue en junio?», tienes que poder contestar en minutos.
Los hallazgos se clasifican en no conformidades (mayores o menores) y observaciones. Las menores se corrigen con un plan de acciones; una mayor puede retrasar el certificado hasta que se resuelva. Tras el cierre, la entidad decide y emite el certificado.
Una vez certificada, cada año viene una auditoría de seguimiento que revisa una parte del sistema, y al tercer año una recertificación completa. Por eso el SGSI debe formar parte de la rutina y no de un esfuerzo puntual. Si quieres ensayar antes, mira la guía de preparación de la auditoría.
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatusEjecútalo como administrador en cada portátil (por ejemplo PORT-GERENCIA-01) y guarda la salida con la fecha: es el tipo de evidencia pequeña que un auditor agradece.
Dónde se atascan las pymes
El fallo más común es copiar plantillas ajenas sin adaptarlas. El auditor lee tu política y te pregunta por una herramienta que no usáis, o por un comité de seguridad que no existe. Escribe lo que de verdad haces y haz lo que escribes.
El segundo es un alcance demasiado ambicioso. Si trabajas con una sola sede y un servicio concreto, empieza por ahí: puedes ampliar en las auditorías siguientes. El tercero, delegar todo en un consultor y que la dirección no aparezca. La revisión por la dirección es suya, y el auditor lo notará en la entrevista.
También ocurre que se descuida lo cotidiano: usuarios de exempleados activos, copias que nadie restaura, portátiles sin cifrar o licencias sin controlar (5.32). Con una buena política de copias y un control de licencias tienes media auditoría resuelta.
ISO 27001, ENS y otras normas: cuál te toca
Si vendes a administraciones públicas, el requisito suele ser el Esquema Nacional de Seguridad (Real Decreto 311/2022), con certificación de conformidad en categorías MEDIA y ALTA y autoevaluación posible en BÁSICA; ISO 27001 no lo sustituye, aunque comparte buena parte del trabajo. Mira la guía de ENS para proveedoras del sector público. La Directiva NIS2 es otro asunto: se aplica por tipo de sector y tamaño (consulta a quién afecta). Y el RGPD (art. 32) exige medidas adecuadas de seguridad con independencia de que tengas certificado.
La certificación no te exime de nada de lo anterior ni garantiza que no habrá incidentes: demuestra que gestionas el riesgo de forma ordenada y revisada por un tercero independiente.
Fuentes oficiales
Cómo lo hacemos en Inventariamos
No somos entidad certificadora ni auditamos: eso corresponde a una entidad acreditada. Lo que sí hacemos, según el alcance acordado, es preparar y mantener, desde nuestro servicio de ciberseguridad para pymes, las evidencias técnicas que el auditor va a pedir: el inventario vivo en la app Inventariamos, las copias con restauraciones anotadas, los accesos, las altas y bajas y el historial de incidencias. Si quieres saber qué parte de tu oficina está lista, cuéntanoslo desde Contacto.