No existe un precio único para ISO 27001.
¿Cuánto cuesta implantar y certificar ISO 27001?
Depende del tamaño, el alcance, la complejidad tecnológica, la situación de partida, el número de centros, los proveedores, la madurez de seguridad y el apoyo necesario.
TRES PARTIDAS DISTINTAS
Consultoría e implantación
Es el trabajo de Hentya
Auditoría y certificación
La realiza una entidad independiente
Mantenimiento posterior
Mantener el sistema vivo y actualizado
Qué se está pagando
Tres partidas que no deben mezclarse
Cuando se pregunta cuánto cuesta ISO 27001 suelen mezclarse conceptos distintos. Conviene separarlos siempre:
1. Consultoría e implantación
- Analizar la organización y definir el alcance del SGSI.
- Análisis de riesgos y selección de controles.
- Políticas, procedimientos y evidencias.
- Auditoría interna y revisión por la dirección.
- Preparación para la auditoría de certificación.
2. Auditoría y certificación
- La realiza una entidad certificadora independiente.
- Incluye la auditoría y la emisión del certificado.
- Su coste lo establece la propia entidad y no forma parte de un presupuesto de consultoría.
3. Mantenimiento posterior
- Seguimiento del sistema.
- Auditorías internas y revisiones periódicas.
- Preparación de las auditorías de seguimiento y de renovación.
Por qué importa separarlas
Un presupuesto de consultoría no incluye la auditoría ni el certificado. Hentya es una empresa de consultoría y no emite certificados. Para comparar propuestas hay que comprobar qué partidas incluye cada una.
Factores
Factores que influyen en el precio
Dos empresas con el mismo número de trabajadores pueden tener proyectos muy distintos. Estos son los factores que más pesan:
Alcance del SGSI
- Qué procesos, activos y ubicaciones quedan dentro del sistema.
- Un alcance más amplio suele implicar más trabajo.
Complejidad tecnológica
- Sistemas, infraestructura y aplicaciones críticas.
- Desarrollo propio, entornos y niveles de acceso.
Situación de partida
- Controles, políticas y documentación que ya existen.
- Madurez de seguridad y análisis de riesgos previos.
Proveedores y servicios cloud
- Dependencia de proveedores y servicios en la nube.
- Evaluación y control de proveedores críticos.
Múltiples centros
- Cada ubicación dentro del alcance añade trabajo.
- Diferencias de operativa entre centros.
Tamaño y organización
- Número de personas y equipos implicados.
- Responsables disponibles dentro de la empresa.
Valoración
Con qué datos podemos hacer una primera valoración
Con unos pocos datos podemos orientarte sobre el alcance, el plazo y el presupuesto de la parte de consultoría:
- Actividad y número aproximado de trabajadores.
- Alcance previsto del sistema.
- Sistemas, infraestructura y servicios cloud relevantes.
- Proveedores críticos y número de centros.
- Si existe documentación, ISO 27001, otras normas ISO o ENS previos.
- Objetivo del proyecto y fecha deseada.
Con esa información podemos explicarte qué partidas incluiría tu proyecto. El precio final depende del alcance real y se concreta tras analizar tu caso.
Mantenimiento
Coste de mantenimiento
Obtener el certificado no es el final: el sistema debe mantenerse, revisarse y prepararse para las auditorías de seguimiento y de renovación. Puede hacerse con recursos internos o con apoyo externo, y es una partida distinta de la implantación. Más información en mantenimiento ISO.
ENS y NIS2
Posible integración con ENS y relación con NIS2
ENS
- Si la organización debe cumplir el ENS, puede influir en el alcance y en el coste.
- Hay documentación y controles que pueden aprovecharse, pero el ENS tiene sus propios requisitos.
NIS2
- ISO 27001 puede ayudar a ordenar medidas de seguridad útiles en ese contexto.
- Implantarla no garantiza por sí sola el cumplimiento de NIS2 ni del ENS.
- Los requisitos aplicables dependen de cada organización y conviene revisarlos con un especialista.
Hentya ISO IA y modalidad online
Implantación online y Hentya ISO IA
Una parte importante del proyecto puede realizarse mediante reuniones digitales, intercambio seguro de documentación y seguimiento remoto. Además, Hentya está desarrollando Hentya ISO IA, un modelo de consultoría apoyado en agentes y automatizaciones que contempla ayudar en tareas como análisis documental, seguimiento de evidencias y control de tareas, siempre con supervisión profesional.
Esto puede hacer más eficiente el trabajo, pero no implica un precio determinado: el coste depende del alcance y la complejidad de cada proyecto.
Resolvemos tus dudas
Preguntas frecuentes sobre el precio de ISO 27001
No existe un precio único. Depende del tamaño, el alcance del SGSI, la complejidad tecnológica, la situación de partida, el número de centros, los proveedores y el apoyo necesario. Lo más fiable es hacer una valoración de tu caso.
Un presupuesto de consultoría e implantación no incluye la auditoría de certificación ni el certificado. Eso lo presta una entidad certificadora independiente, con su propia tarifa. Conviene separar siempre ambas partidas.
Puede tener un proyecto más sencillo si su alcance es reducido y sus sistemas son poco complejos, pero ser pequeña no garantiza por sí solo un coste menor. Influyen mucho el alcance, la tecnología y la situación de partida.
Puede influir si la organización debe cumplir también el ENS, porque amplía el alcance y los requisitos. Hay trabajo que puede aprovecharse, pero son marcos distintos. Más información en ISO 27001 vs ENS.
Sí. Una parte importante del proyecto puede realizarse mediante reuniones digitales, intercambio seguro de documentación y seguimiento remoto, adaptando la modalidad a las necesidades de cada empresa.
Una entidad certificadora independiente. Hentya es una empresa de consultoría y no emite certificados. Puedes consultar cómo elegir una entidad certificadora ISO.
Hablemos
¿Quieres una valoración adaptada a tu empresa?
Cuéntanos tu actividad, el alcance previsto y tu situación actual. Analizaremos tu punto de partida y te explicaremos qué partidas incluiría tu proyecto de ISO 27001.
Sigue leyendo