Qué incluye el costo de certificar ISO 27001
Cuando una empresa pide "el precio de la ISO 27001" normalmente está mezclando tres cuentas distintas. Conviene separarlas:
- Consultoría e implementación. Es el trabajo de diseñar el Sistema de Gestión de Seguridad de la Información (SGSI): definir el alcance, hacer el análisis de riesgos, redactar políticas y procedimientos, implementar los controles del Anexo A y capacitar al equipo. Es el componente más variable, porque depende del punto de partida.
- Certificación. La emite una certificadora acreditada, no la consultora. Se paga la auditoría de certificación (etapa 1, de documentación, y etapa 2, de implementación), y luego una auditoría de vigilancia cada año. El certificado dura tres años y después se recertifica.
- Tiempo interno. Alguien de tu empresa tiene que ser el dueño del sistema: participar en el análisis de riesgos, aprobar políticas, atender la auditoría. Si nadie tiene ese rol, el proyecto se alarga y el costo real sube aunque la factura de consultoría no cambie.
A esto se suman gastos menores que a veces se olvidan: herramientas para gestionar riesgos y evidencias, y mejoras técnicas que el análisis de riesgos deje en evidencia (respaldos, control de accesos, registro de eventos).
Qué hace que el precio suba o baje
- Alcance. Certificar un servicio o una unidad de negocio cuesta menos que certificar toda la compañía. Definir bien el alcance es la decisión que más impacta en el presupuesto.
- Madurez actual. Una empresa que ya tiene políticas, inventario de activos y respaldos probados parte más adelante que una que no tiene nada escrito.
- Número de sedes y de personas. La certificadora calcula los días de auditoría a partir de estas variables, así que inciden directamente en su tarifa.
- Dependencia de terceros. Si tus servicios críticos están en proveedores externos (nube, soporte, desarrollo), hay que evaluarlos y contratar con cláusulas de seguridad.
- Versión de la norma. Desde 2022 la norma reorganizó los 114 controles de la versión 2013 en 93 controles agrupados en cuatro temas (organizacionales, personas, físicos y tecnológicos). Las certificaciones nuevas se emiten contra ISO/IEC 27001:2022.
Cuánto demora, etapa por etapa
Para una pyme o una empresa mediana con un alcance acotado, un calendario realista es de 6 a 12 meses desde el diagnóstico hasta la auditoría de etapa 2. Proyectos de varias sedes o con poca disponibilidad del equipo interno pueden tomar más.
- Diagnóstico inicial (2 a 4 semanas). Se compara la situación actual contra los requisitos de la norma y los controles del Anexo A. Es lo que entrega el plan de trabajo y el presupuesto real.
- Diseño del SGSI (1 a 2 meses). Alcance, política de seguridad, metodología y análisis de riesgos, declaración de aplicabilidad e inventario de activos.
- Implementación de controles (3 a 6 meses). Es la etapa larga: procedimientos, controles técnicos, acuerdos con proveedores, capacitación y registro de evidencias.
- Auditoría interna y revisión por la dirección (1 mes). La norma exige ambas antes de certificar. Aquí se corrigen las no conformidades que aparecen.
- Auditoría de certificación (1 a 2 meses entre etapa 1 y etapa 2). Si la etapa 2 termina sin no conformidades mayores, la certificadora emite el certificado.
Cómo acortar el plazo sin perder calidad
Lo que más acelera un proyecto es llegar con el diagnóstico hecho y con una herramienta donde vivan los riesgos, las políticas y las evidencias. En CisoServiceChile el punto de partida son 15 días gratis de implementación en la Aplicación GRC INF4TECH: en ese periodo se hace el diagnóstico frente a los controles, se carga el inventario de activos y se dejan las políticas base. Con eso la empresa sabe exactamente qué le falta y cuánto va a costar cerrarlo, antes de firmar nada.
Si quieres ver cómo sería el calendario para tu empresa, revisa el detalle del servicio de implementación ISO 27001 o pide el diagnóstico en el formulario de esta página.