En una frase. La integración de ISO 27001 y RGPD permite cubrir el artículo 32 con un Sistema de Gestión de Seguridad de la Información auditado externamente, reduce primas de ciberseguro hasta un 25% y es valorada como atenuante por la AEPD ante incidentes.
Puntos clave
- ISO/IEC 27001:2022 es la versión vigente desde octubre 2022. Período de transición hasta 31 octubre 2025.
- ISO/IEC 27701 amplía la 27001 con controles específicos de privacidad alineados con RGPD.
- La certificación 27001 + 27701 cubre aproximadamente el 85% de los requisitos técnico-organizativos del RGPD.
- Coste medio de certificación para pyme: 15.000-40.000 EUR el primer año.
- 1.500+ empresas certificadas ISO 27001 en España en 2025 (AENOR, Bureau Veritas, SGS, BSI).
1. Qué es ISO 27001 y por qué importa al RGPD
ISO/IEC 27001 es el estándar internacional para Sistemas de Gestión de Seguridad de la Información (SGSI) publicado por la Organización Internacional de Normalización. Define el marco de gobernanza, análisis de riesgos, controles, monitorización y mejora continua de la seguridad. El RGPD exige en el artículo 32 medidas técnicas y organizativas apropiadas; ISO 27001 ofrece el método para identificarlas, implementarlas y auditarlas con un estándar reconocido internacionalmente.
La AEPD ha valorado expresamente la certificación 27001 como atenuante en resoluciones sancionadoras. El propio art. 83.2.f RGPD y las directrices del Comité Europeo de Protección de Datos sobre imposición de multas reconocen la adhesión a mecanismos de certificación como factor a favor del responsable en la graduación de la sanción.
2. Estructura de ISO 27001:2022
La versión 2022 reorganiza los controles en cuatro grupos:
| Grupo | Controles | Foco |
|---|---|---|
| Organizativos | 37 | Políticas, roles, terceros |
| Personas | 8 | Concienciación, formación, disciplinario |
| Físicos | 14 | Instalaciones, equipos, soportes |
| Tecnológicos | 34 | Acceso, criptografía, redes, desarrollo |
Total: 93 controles (Anexo A) frente a los 114 de la versión 2013. La simplificación facilita el mantenimiento del SGSI.
3. ISO 27701: la extensión de privacidad
ISO/IEC 27701 (2019) extiende ISO 27001 e ISO 27002 con controles específicos para gestión de la información sobre privacidad (PIMS). Incluye:
- Controles aplicables al responsable del tratamiento.
- Controles aplicables al encargado del tratamiento.
- Mapeo directo con artículos del RGPD (anexo D).
La certificación 27701 es un complemento, no sustituye 27001. La organización debe certificarse primero en 27001 y luego ampliar el alcance a 27701.
4. Mapeo entre ISO 27001 y RGPD
| Requisito RGPD | Control ISO 27001 |
|---|---|
| Art. 24 — responsabilidad | A.5.1 Políticas |
| Art. 25 — privacidad desde el diseño | A.8.27 Arquitectura segura |
| Art. 28 — encargados | A.5.19, A.5.20, A.5.21, A.5.22 |
| Art. 30 — registro actividades | A.5.12 Clasificación |
| Art. 32 — seguridad | Anexo A completo |
| Art. 33-34 — brechas | A.5.24, A.5.25, A.5.26, A.5.27 |
| Art. 35 — EIPD | A.5.34 Privacidad |
| Art. 37 — DPO | A.5.31 Roles |
5. Pasos para la certificación
- Diagnóstico inicial (gap analysis): 2-4 semanas.
- Definición del alcance: qué procesos, sedes y servicios.
- Análisis de riesgos: metodología propia o MAGERIT.
- Declaración de Aplicabilidad (SoA): justificación control a control.
- Implantación de controles: 4-9 meses según madurez previa.
- Auditoría interna: 1-2 semanas.
- Revisión por dirección: 1-2 semanas.
- Auditoría de certificación (etapa 1 + etapa 2): 2-4 semanas.
- Certificado: válido tres años con auditoría de seguimiento anual.
6. Costes reales en España
| Tamaño empresa | Consultoría | Auditoría | Total año 1 |
|---|---|---|---|
| 10-50 empleados | 8.000-15.000 EUR | 4.000-7.000 EUR | 15.000-25.000 EUR |
| 50-250 empleados | 15.000-30.000 EUR | 8.000-15.000 EUR | 25.000-50.000 EUR |
| 250-1000 empleados | 30.000-60.000 EUR | 15.000-30.000 EUR | 50.000-100.000 EUR |
| 1000+ empleados | 60.000+ EUR | 30.000+ EUR | 100.000+ EUR |
Los años siguientes el coste se reduce al 30-40% (mantenimiento y auditoría de seguimiento).
7. Entidades de certificación acreditadas
Las principales en España, acreditadas por ENAC:
- AENOR (líder del mercado nacional).
- Bureau Veritas.
- SGS.
- BSI.
- DNV.
- TÜV Rheinland.
- LRQA.
La elección debe basarse en reconocimiento del sector cliente, no en precio. Algunos sectores (banca, AAPP) exigen entidades concretas.
8. Ventajas operativas y comerciales
- Atenuante ante sanción AEPD (factor del art. 83.2.f RGPD).
- Reducción de primas de ciberseguro (entre 10% y 25%).
- Requisito habitual en RFP de grandes cuentas y sector público.
- Mejora del rating en cuestionarios de seguridad de clientes.
- Facilita cumplimiento ENS, NIS2, DORA para entidades financieras y TISAX.
- Reducción del 30-50% en tiempo de respuesta a auditorías de cliente.
9. Integración con ENS y NIS2
10. Errores comunes en proyectos ISO 27001
- Definir un alcance excesivamente amplio que multiplica esfuerzo sin valor.
- Implantar controles sin análisis de riesgos previo.
- Confundir documentación con cumplimiento real.
- No involucrar a IT y negocio en igual medida.
- No capacitar al personal en el SGSI.
- Tratar la auditoría de seguimiento anual como trámite.
- No integrar el SGSI con el resto de cumplimiento (RGPD, ENS, calidad).
11. Tendencias 2026: ISO 27001 + IA
ISO/IEC 42001 (gestión de IA) y futuros estándares específicos para sistemas de IA generativa empiezan a integrarse con 27001. Empresas que entrenan modelos con datos personales encuentran en la combinación 27001 + 27701 + 42001 un marco coherente para cumplir RGPD, AI Act y futura regulación.
12. Hoja de ruta recomendada
Año 1: ISO 27001 con alcance restringido al servicio principal. Año 2: ampliar alcance e incorporar 27701 para reforzar cumplimiento RGPD. Año 3: integrar ENS si se trabaja con sector público y, si aplica, ISO 42001 para IA.
Esta progresión permite distribuir esfuerzo y coste mientras se construye una capacidad real de seguridad de la información alineada con el checklist RGPD operativo.
13. Certificación como prueba, no como escudo absoluto
Conviene fijar una expectativa realista: la certificación ISO 27001 no inmuniza frente a una sanción. Lo que hace es desplazar la carga argumentativa. Ante una brecha, la organización certificada puede demostrar que había implantado y auditado controles razonables en el momento del incidente, lo que la AEPD pondera como atenuante en la graduación del art. 83.2 RGPD. Pero si la brecha revela que los controles existían solo sobre el papel —una Declaración de Aplicabilidad desactualizada, un análisis de riesgos genérico, ausencia de revisiones reales— la certificación se vuelve en contra: prueba que la organización sabía qué debía hacer y no lo hizo. El valor probatorio depende de la efectividad real, no del logotipo en la web corporativa.
14. Cómo evitar la “certificación de escaparate”
FAQ
¿La ISO 27001 sustituye al RGPD?
No. ISO 27001 es estándar voluntario de seguridad. El RGPD es ley aplicable obligatoria. La certificación reduce riesgo pero no exime de cumplir el RGPD íntegramente.
¿Cuánto se tarda en certificarse?
Entre 6 y 12 meses para una pyme con madurez media. Organizaciones que parten de cero pueden necesitar 12-18 meses.
¿La certificación es reconocida en la UE?
Sí. ISO 27001 es estándar internacional reconocido en toda la UE y mundialmente. Los acuerdos de reconocimiento mutuo de IAF garantizan validez transfronteriza.
¿Necesito ISO 27001 si tengo ENS?
No estrictamente, pero son complementarias. ISO 27001 es reconocida internacionalmente; ENS es específica para el contexto español del sector público. Muchas empresas certifican ambas.
¿La AEPD reduce la sanción si tengo ISO 27001?
Sí. La certificación 27001 ha sido considerada atenuante en numerosas resoluciones, especialmente cuando demuestra controles efectivos al momento del incidente. La reducción típica es entre 10% y 30% del importe propuesto.