No existe un plazo único.
¿Cuánto tarda una empresa en conseguir ISO 27001?
El tiempo depende del alcance, el tamaño, la complejidad tecnológica, la situación de partida, los riesgos, los proveedores, los recursos disponibles y el tiempo necesario para generar evidencias. Por eso conviene separar dos cosas: el tiempo de implantación y el tiempo de certificación.
DOS TIEMPOS DISTINTOS
Tiempo de implantación
Dejar el SGSI funcionando
Tiempo de certificación
Depende de la certificadora y de su calendario
Preparado no es certificado
El certificado lo emite una entidad independiente
Dos fases
Implantar ISO 27001 y certificarla no es lo mismo
1. Tiempo de implantación
Es el tiempo que necesita la organización para definir el alcance, analizar riesgos, aplicar controles, documentar lo necesario y, sobre todo, poner el sistema en funcionamiento y generar evidencias de que funciona.
Los pasos están explicados en cómo implantar ISO 27001 paso a paso.
2. Tiempo de certificación
Es el tiempo hasta que una entidad certificadora independiente realiza la auditoría y toma su decisión. Depende de su calendario, del alcance y del estado real del sistema.
Hentya actúa como consultora: la auditoría y la emisión del certificado corresponden a la certificadora.
Tener el sistema preparado no es lo mismo que tener el certificado emitido. Son dos momentos distintos y el segundo no depende solo de la empresa ni de la consultora.
De qué depende
Factores que influyen en el plazo
Estos son los factores que más pesan en el tiempo de un proyecto ISO 27001:
- Alcance
- Número de personas
- Número de centros
- Complejidad de sistemas
- Servicios cloud
- Proveedores
- Madurez de seguridad
- Análisis de riesgos
- Implantación de controles
- Disponibilidad del equipo
- Calendario de la certificadora
Ninguno de ellos se puede valorar sin conocer la organización. Dos empresas del mismo tamaño pueden necesitar plazos muy diferentes.
Caso 1
Empresa que parte de cero
Cuando la organización no tiene todavía una gestión estructurada de la seguridad de la información, hay que construir el sistema desde la base: definir el alcance, identificar activos, analizar riesgos, decidir el tratamiento, aplicar controles y asignar responsabilidades.
Además, el sistema necesita funcionar durante un tiempo para generar evidencias reales antes de la auditoría. Esa parte no se puede acelerar solo con más documentación.
Caso 2
Empresa con controles ya maduros
Si la organización ya aplica controles de seguridad (gestión de accesos, copias de seguridad, gestión de incidentes, revisión de proveedores), el trabajo suele centrarse en ordenar lo existente, completar lo que falte, formalizar el sistema y comprobar que hay evidencias.
Partir con más madurez puede reducir el esfuerzo, pero hay que verificarlo con un diagnóstico inicial en lugar de darlo por supuesto.
Caso 3
ISO 27001 + ENS
Si la organización también necesita cumplir el Esquema Nacional de Seguridad, el proyecto debe tener en cuenta ambos marcos. Pueden compartir elementos, pero no son equivalentes y cada uno tiene sus propios requisitos y su propio proceso.
Esto puede ampliar el trabajo y los plazos. Si además te preocupa NIS2, consulta ISO 27001 y NIS2. Tienes la comparación en ISO 27001 vs ENS: diferencias y cuál puede necesitar tu empresa.
Caso 4
Urgencia por licitación o cliente
A veces el plazo viene marcado por una licitación o por un requisito de un cliente. En ese caso lo más útil es plantearlo cuanto antes, para saber qué se exige exactamente (certificado, sistema implantado, plan en marcha) y analizar si el calendario es realista.
No prometemos que se pueda cumplir cualquier fecha. Lo que hacemos es valorar el punto de partida y decirte con honestidad qué es viable. Más contexto en qué certificados ISO puede necesitar tu empresa para una licitación.
Transparencia
Por qué no prometemos plazos universales
Cualquier plazo cerrado que se anuncie sin conocer tu alcance, tus sistemas, tus proveedores y tu disponibilidad sería una estimación sin base. Además, parte del tiempo no depende de la consultora: depende de que la organización aplique los controles, genere evidencias y de la agenda de la certificadora.
Preferimos analizar tu caso y darte una planificación realista, con hitos y responsables, antes que una cifra que luego no se sostenga.
Para el coste del proyecto, consulta cuánto cuesta implantar y certificar ISO 27001.
Resolvemos tus dudas
Preguntas frecuentes sobre cuánto tarda ISO 27001
Depende del punto de partida. Una organización con controles ya maduros y evidencias puede avanzar más deprisa, pero no es posible garantizar un plazo universal ni saltarse la generación de evidencias reales ni el calendario de la certificadora.
Suele ser la puesta en funcionamiento del sistema: aplicar los controles, implicar al equipo y generar evidencias reales de que funcionan. También puede influir el calendario de la entidad certificadora.
Con frecuencia el alcance es menor y hay menos personas y centros, lo que puede simplificar el proyecto. Pero depende también de la complejidad tecnológica, los proveedores y la madurez de seguridad, así que no es automático.
Puede ampliar el trabajo si la organización necesita cumplir también el Esquema Nacional de Seguridad, porque ambos marcos pueden compartir elementos pero no son equivalentes y deben analizarse por separado.
Puede facilitar la coordinación, la revisión documental y el seguimiento de tareas. Pero no sustituye el tiempo que necesita el sistema para funcionar y generar evidencias, ni el calendario de la certificadora.
La certificación la realiza una entidad certificadora independiente. Hentya actúa como consultora y prepara a la organización, pero no emite el certificado.
Hablemos
¿Quieres saber cuánto podría tardar tu caso?
Cuéntanos qué hace tu empresa, qué información gestiona, cuántas personas y centros tiene, qué sistemas y proveedores utiliza y si hay alguna fecha que cumplir.
Analizamos tu punto de partida y te proponemos una planificación realista.
Sigue leyendo