Consultoría ISO 27001 para empresas

Del análisis de riesgos a la certificación

Implantamos el Sistema de Gestión de Seguridad de la Información conforme a la ISO/IEC 27001:2022 sobre tus procesos reales, y te acompañamos hasta la auditoría con una entidad certificadora acreditada.

¿Te piden la ISO 27001? Empieza por el alcance

La ISO 27001 no es obligatoria por ley, pero cada vez más clientes, licitaciones y cadenas de suministro la exigen a quien maneja su información. Lo primero es decidir qué procesos, sistemas y sedes entran en el SGSI: de ahí depende el esfuerzo, el plazo y el coste de la auditoría.

Revisamos tus activos

Sistemas, aplicaciones, datos, infraestructura y personas con acceso a información sensible.

Definimos el alcance del SGSI

Qué procesos, ubicaciones y servicios se certifican, y qué queda fuera y por qué.

Definimos el siguiente paso

Hoja de ruta hasta la auditoría, con hitos, responsables y fecha objetivo de certificación.

Diagnóstico ISO 27001

¿Qué te falta para certificar el SGSI?

Analizamos tu punto de partida frente a la ISO/IEC 27001:2022 y te decimos qué distancia hay hasta la auditoría.

¿Qué exige la ISO 27001:2022?

La norma comparte estructura de alto nivel con ISO 9001 y ISO 14001, lo que facilita integrarla con sistemas de gestión ya implantados. Estas son las cláusulas con más carga de trabajo.

Contexto y partes interesadas

Contexto interno y externo, requisitos de seguridad de clientes y reguladores, y alcance del SGSI.

Liderazgo y política de seguridad

Compromiso activo de la dirección, política de seguridad de la información y reparto de roles.

Evaluación y tratamiento de riesgos

Identificación de amenazas y vulnerabilidades sobre los activos, valoración del riesgo y plan de tratamiento. Es el núcleo técnico de la norma.

Declaración de Aplicabilidad (SoA)

Justifica qué controles del Anexo A aplican, cuáles se excluyen y por qué. Es el documento más revisado en la auditoría.

Competencia y concienciación

Toda la organización debe conocer la política y su papel en el sistema, no solo el equipo de TI.

Operación y gestión de incidentes

Implantar los controles del plan de tratamiento y operar el proceso de gestión de incidentes de seguridad.

Auditoría interna y revisión por la dirección

Indicadores de desempeño, auditorías internas periódicas y revisión del sistema con datos reales.

Mejora continua

Gestión de no conformidades, acciones correctivas y mejora sistemática del SGSI entre auditorías.

Consultoría e implantación ISO 27001 de principio a fin

Implantamos el SGSI adaptado a tus procesos, no una documentación genérica, y te acompañamos en las dos fases de la auditoría de certificación.

ESI Soluciones actúa como consultora e implantadora. El certificado lo emite una entidad de certificación acreditada; te ayudamos a comparar propuestas y a elegirla.

Diagnóstico y análisis GAP

Inventariamos los activos de información y medimos la distancia entre tu situación actual y la ISO/IEC 27001:2022.

Alcance y plan de trabajo

Fijamos qué procesos, sedes y sistemas entran en el SGSI, con hitos y responsables por fase.

Análisis de riesgos

Amenazas y vulnerabilidades por activo, valoración por impacto y probabilidad, y plan de tratamiento priorizado.

Declaración de Aplicabilidad

Seleccionamos los controles del Anexo A aplicables y documentamos la justificación de cada inclusión y exclusión.

Documentación del SGSI

Política de seguridad, procedimientos operativos, registros e instrucciones, redactados sobre tu forma real de trabajar.

Implantación de controles

Controles organizativos, de personas, físicos y tecnológicos: accesos, cifrado, copias, logs, proveedores y continuidad.

Formación y concienciación

Formamos a los responsables del SGSI y al personal con acceso a información sensible, con foco en phishing y buenas prácticas.

Auditoría interna

Simulamos la auditoría de certificación, detectamos desviaciones y cerramos acciones correctivas antes de la oficial.

Certificación y mantenimiento

Acompañamiento en la fase 1 documental y la fase 2 in situ, y plan anual para los seguimientos y la renovación.

¿A quién se le exige la ISO 27001?

La norma aplica a cualquier organización que gestione información sensible, con independencia de su tamaño o sector. En la práctica, la exigencia llega por dos vías.

Un cliente lo pide en el contrato o en el cuestionario de proveedores

Suma puntuación en licitaciones públicas y en concursos de grandes cuentas

Reducir el riesgo real de incidentes y limitar su impacto cuando ocurren

Reforzar las medidas del artículo 32 del RGPD con controles verificables

Exigencia heredada del grupo o de la cadena de suministro

Base para acreditar ENS, NIS2 u otros marcos con un mismo sistema

Software, SaaS y plataformas digitales

Servicios TI, hosting y servicios gestionados

Sanidad, HealthTech y servicios clínicos

Banca, seguros y fintech

Logística, transporte e industria conectada

Proveedores del sector público y consultoras

Si no sabes si te conviene certificar todo o empezar por un alcance acotado, lo vemos en el diagnóstico inicial.

Los 93 controles del Anexo A

La versión 2022 reorganiza los controles en cuatro temas e incorpora once nuevos, entre ellos inteligencia sobre amenazas, seguridad en la nube y continuidad de las TIC. No todos aplican a todos los casos: la Declaración de Aplicabilidad justifica cuáles sí.

Controles

Organizativos

Políticas, gestión de activos, control de acceso, proveedores, incidentes, continuidad y cumplimiento legal.

Controles

De personas

Selección de personal, formación en seguridad, proceso disciplinario y obligaciones al terminar la relación laboral.

Controles

Físicos

Perímetro y acceso físico, protección frente a amenazas ambientales y seguridad de equipos y soportes.

Controles

Tecnológicos

Identidades y accesos, criptografía, redes, vulnerabilidades, registro de eventos y seguridad en el desarrollo.

ISO 27001 y ENS: compatibles, no equivalentes

Muchos controles de los dos marcos son equivalentes, pero responden a lógicas distintas: la ISO 27001 es un sistema de gestión voluntario e internacional; el ENS es cumplimiento normativo exigido en España al sector público y a sus proveedores.

Cuando necesitas las dos, la implantación conjunta reduce el esfuerzo documental y el coste del proyecto.

	ISO 27001:2022	ENS · RD 311/2022
Ámbito	Internacional y voluntario	España, obligatorio en sector público y proveedores
Enfoque	Sistema de gestión con mejora continua	Cumplimiento normativo por categoría del sistema
Controles	93 controles del Anexo A	Medidas del Anexo II del RD 311/2022
Validez	3 años con seguimiento anual	2 años

¿Te piden la ISO 27001 y no sabes por dónde empezar?

Cuéntanos quién te la exige y para cuándo. Te decimos qué alcance tiene sentido certificar y qué plazo es realista en tu caso.

Nombre

Teléfono

Selecciona un área

Mensaje

He leído y acepto la Política de Privacidad.

Información básica sobre la protección de datos. Responsable: ESI Soluciones. Finalidad: Responder las consultas planteadas por el usuario, enviarle la información solicitada y, en su caso, enviarle información comercial sobre nuestros productos y servicios. Legitimación: Consentimiento del usuario. Destinatarios: Sólo se realizan cesiones si existe una obligación legal. Derechos: Acceder, rectificar y suprimir, así como otros derechos, como se indica en nuestra Política de Privacidad .

Preguntas Frecuentes

Preguntas frecuentes sobre la certificación ISO 27001

¿Qué es la ISO/IEC 27001:2022?

Es la versión vigente de la norma internacional de sistemas de gestión de seguridad de la información. Fija los requisitos para identificar riesgos, aplicar controles y proteger la confidencialidad, la integridad y la disponibilidad de la información. En España se adopta como UNE-EN ISO/IEC 27001:2023.

¿Qué cambia respecto a la versión 2013?

La versión 2022 reorganiza el Anexo A: pasa de 114 controles en 14 dominios a 93 controles en cuatro temas (organizativos, de personas, físicos y tecnológicos) e incorpora once controles nuevos, como inteligencia sobre amenazas, seguridad en la nube y continuidad de las TIC. El periodo de transición desde la versión 2013 ya finalizó.

¿Es obligatoria la ISO 27001?

No por ley general, pero muchas empresas y organismos la exigen a los proveedores que gestionan su información. Si trabajas con la Administración, además puede exigirse el ENS, que sí es de obligado cumplimiento.

¿Cuánto tiempo es válido el certificado?

Tres años, con auditorías de seguimiento anuales y una auditoría de renovación al tercer año. Mantener la certificación exige operar el SGSI de verdad: indicadores, auditorías internas, gestión de incidentes y revisión por la dirección.

¿La ISO 27001 cubre el RGPD?

Son marcos complementarios. Los controles técnicos y organizativos del SGSI refuerzan las medidas de seguridad que exige el artículo 32 del RGPD, pero no sustituyen al análisis de protección de datos ni al registro de actividades de tratamiento.