ISO 27001 para pymes: coste, certificación y relación con NIS2 | Guía práctica
ISO 27001 para pymes:
la guía completa, sin rodeos
ISO 27001 ya no es solo cosa de multinacionales. Cada vez más pymes reciben cuestionarios de seguridad y pliegos que la exigen sin avisar. Esta guía explica cuánto cuesta implantarla, si hace falta certificarse y qué parte de NIS2 ya cubre.
ISO 27001 ha dejado de ser una casilla técnica que solo revisa el departamento de IT. Es cada vez más una condición de negocio: determina si puedes responder a un cuestionario de seguridad, si mantienes un contrato con un cliente grande y si tu empresa entra en la cadena de suministro de quien ya te exige garantías por escrito.
El error más frecuente entre directivos de pymes es pensar que ISO 27001 “es cosa de multinacionales” o que implica un desembolso que no pueden asumir. En la práctica, se puede implantar el sistema de gestión sin pasar por la certificación externa, y buena parte de ese trabajo sirve directamente para cumplir con las obligaciones de la NIS2.
Qué es ISO 27001 y qué NO es
ISO 27001 es la norma internacional que define cómo construir un Sistema de Gestión de Seguridad de la Información (SGSI): identificar riesgos reales, aplicar controles concretos, medir si funcionan y mejorarlos de forma continua. No es un antivirus ni un archivo de políticas que nadie lee — es un método de gestión que obliga a ordenar cómo protege su información la empresa.
Existe la percepción de que ISO 27001 es cosa de multinacionales o de departamentos de IT con presupuesto ilimitado. En la práctica es al revés: cuanto más pequeña es la estructura, más rápido se puede implantar, porque hay menos sistemas que inventariar y menos capas de aprobación. El obstáculo no suele ser el tamaño de la empresa. Es no saber por dónde empezar ni cuánto va a costar — que es justo lo que responde el resto de esta guía.
Cuánto cuesta implantar ISO 27001 en una pyme
El coste varía según el tamaño de la empresa y su madurez de seguridad de partida, pero el mercado español maneja rangos concretos y consistentes entre varias consultoras del sector: entre 8.000 € y 40.000 € para la consultoría de implantación, y entre 5.000 € y 15.000 € adicionales si además se opta por la auditoría de certificación externa.
Desglose por partidas
Esto es lo que suele incluir cada tramo del presupuesto:
| Partida | Rango orientativo | Qué incluye |
|---|---|---|
| Consultoría de implantación | 8.000 € – 40.000 € | Análisis de riesgos, políticas y procedimientos, documentación del SGSI, formación básica del equipo |
| Auditoría de certificación (entidad acreditada) | 5.000 € – 15.000 € | Auditoría externa en dos fases, emisión y mantenimiento del certificado |
| Software de gestión del SGSI | Desde 60 €/mes | Gestión documental, seguimiento de controles, evidencias para auditoría |
Qué mueve el precio hacia arriba o hacia abajo
Tres factores mueven estos rangos hacia arriba o hacia abajo: el alcance del SGSI (toda la empresa o solo un departamento o servicio concreto), la madurez de seguridad previa (si ya hay políticas, inventario de activos o gestión de accesos, se parte con ventaja) y el tamaño del equipo a formar.
Una aclaración que suele generar confusión: implantar el SGSI y certificarse son dos gastos distintos, y no siempre hace falta pagar los dos. Eso se explica en el siguiente apartado.
Implantar el SGSI vs. certificarse: la diferencia que nadie te explica
Implantar ISO 27001 significa aplicar sus controles y construir el SGSI puertas adentro. Certificarse significa, además, pagar a una entidad acreditada externa para que audite ese SGSI y confirme por escrito que cumple la norma. Se puede tener lo primero sin lo segundo — y para muchas pymes, empezar así es exactamente lo que tiene sentido.
La pregunta que de verdad hay que responder no es "¿me conviene ISO 27001?". Es "¿mis clientes o los pliegos a los que aspiro van a pedirme el certificado, o les basta con ver que tengo los controles aplicados?". La respuesta decide si el desembolso de la auditoría de certificación merece la pena ahora o puede esperar a una segunda fase.
Qué cubre ISO 27001 del artículo 21 de NIS2 (y qué no)
El artículo 21.2 de la Directiva NIS2 (UE 2022/2555) fija diez categorías mínimas de medidas de gestión de riesgos: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, criptografía, control de accesos, entre otras. Un SGSI conforme a ISO 27001 cubre de forma directa la mayoría de esas medidas.
Dicho de otro modo: si ya tienes ISO 27001 implantada, no partes de cero con NIS2. Los análisis de riesgo, las políticas de control de accesos, la gestión de proveedores y el plan de continuidad que exige el artículo 21 son, en gran medida, el mismo trabajo que ya habrás cubierto.
Lo que ISO 27001 no te da hecho
ISO 27001 no sustituye la notificación de incidentes en 24/72 horas que exige la directiva (24 h de alerta temprana, 72 h de notificación formal), ni las obligaciones de gobernanza del artículo 20 sobre formación y responsabilidad del órgano de dirección. Son procedimientos y obligaciones propios de NIS2 que hay que montar aparte.
Qué te obliga a cambiar de verdad
Más allá de la documentación, ISO 27001 obliga a tomar decisiones concretas en cuatro áreas que la mayoría de pymes no revisa hasta que sufre un incidente:
Se nota en el peor momento
Dos empresas del mismo sector sufren un ransomware el mismo día:
| Empresa A (sin ISO 27001) | Empresa B (con ISO 27001) | |
|---|---|---|
| Inventario de sistemas | No actualizado | Al día |
| Backups | Existen, nunca probados | Verificados y restaurables |
| Plan de recuperación | No existe | Definido y priorizado |
| Resultado | Una semana de inactividad, ~50.000 € en pérdidas, posible sanción por brecha | Recuperación en 6 horas, sin impacto legal ni pérdida de clientes |
ISO 27001 no elimina el ataque. Cambia radicalmente lo que pasa después.
Para qué pymes es prioritario empezar ya
No todas las empresas necesitan resolver esto este trimestre, pero hay perfiles donde esperar sale caro:
Si tu empresa encaja en más de uno de estos puntos, el momento de evaluar el alcance no es dentro de seis meses. Es ahora, antes de que el cuestionario de seguridad llegue con una fecha límite ya puesta.
Preguntas frecuentes sobre ISO 27001 para pymes
tu empresa? Agenda una llamada de 15 minutos sin coste. Revisamos qué alcance tiene sentido para tu SGSI, qué controles ya tienes cubiertos y cuáles faltan.
Previous Post
Next Post