En una frase. La integración de ISO 27001 y RGPD ayuda a documentar medidas del artículo 32 con un Sistema de Gestión de Seguridad de la Información auditado externamente, puede aportar evidencia sobre medidas de seguridad, pero no equivale a una certificación de cumplimiento del RGPD ni garantiza un resultado sancionador.
Puntos clave
- ISO/IEC 27001:2022 es la edición vigente del estándar para sistemas de gestión de seguridad de la información.
- ISO/IEC 27701:2025 es la edición vigente del sistema de gestión de información de privacidad y puede alinearse con ISO/IEC 27001.
- Las certificaciones delimitan un alcance auditado; no establecen un porcentaje universal de cobertura del RGPD.
- El coste debe calcularse con el perímetro, auditorías, trabajo interno y seguimiento realmente contratados.
1. Qué es ISO 27001 y por qué importa al RGPD
ISO/IEC 27001 es el estándar internacional para Sistemas de Gestión de Seguridad de la Información (SGSI) publicado por la Organización Internacional de Normalización. Define el marco de gobernanza, análisis de riesgos, controles, monitorización y mejora continua de la seguridad. El RGPD exige en el artículo 32 medidas técnicas y organizativas apropiadas; ISO 27001 ofrece el método para identificarlas, implementarlas y auditarlas con un estándar reconocido internacionalmente.
El artículo 83.2.j RGPD menciona la adhesión a mecanismos de certificación aprobados conforme al artículo 42 como factor a considerar en una multa. Un certificado ISO 27001 no es automáticamente uno de esos mecanismos. En cualquier investigación, la utilidad de la evidencia dependerá del alcance auditado, de los riesgos y de la operación concreta; consulte también las directrices del CEPD sobre multas.
2. Estructura de ISO 27001:2022
La versión 2022 reorganiza los controles en cuatro grupos:
| Grupo | Controles | Foco |
|---|---|---|
| Organizativos | 37 | Políticas, roles, terceros |
| Personas | 8 | Concienciación, formación, disciplinario |
| Físicos | 14 | Instalaciones, equipos, soportes |
| Tecnológicos | 34 | Acceso, criptografía, redes, desarrollo |
Total: 93 controles (Anexo A) frente a los 114 de la versión 2013. La simplificación facilita el mantenimiento del SGSI.
3. ISO 27701: la extensión de privacidad
La edición ISO/IEC 27701:2025 establece requisitos para un sistema de gestión de información de privacidad (PIMS). ISO informa de que esta edición puede utilizarse como sistema independiente o alinearse con un SGSI ISO/IEC 27001 existente. Su contenido sirve para ordenar riesgos y responsabilidades, pero debe relacionarse con cada tratamiento y obligación legal. Entre sus ámbitos se encuentran:
- Controles aplicables al responsable del tratamiento.
- Controles aplicables al encargado del tratamiento.
- Mapeo de controles y evidencias del PIMS con las obligaciones concretas del RGPD, comprobado frente a la edición vigente y al alcance de cada tratamiento.
La edición 2025 ya no exige describirla siempre como una mera extensión de ISO 27001:2019. Antes de contratar la auditoría, compruebe la edición, el esquema de certificación, el alcance y la competencia del organismo certificador. Ninguna de estas decisiones sustituye el análisis del RGPD, del ENS o de la normativa sectorial.
4. Mapeo entre ISO 27001 y RGPD
| Pregunta RGPD | Evidencia útil del SGSI |
|---|---|
| ¿Quién puede acceder a los datos? | Roles, revisión de permisos y registros de acceso del sistema concreto |
| ¿Qué ocurre ante un incidente? | Detección, escalado, contención y pruebas de recuperación |
| ¿Cómo se controla a un proveedor? | Evaluación de riesgo, contratos y seguimiento del servicio |
| ¿Se dispone de los datos tras una interrupción? | Copias probadas y objetivos de recuperación definidos |
El mapeo es orientativo: un control de seguridad puede ayudar a producir evidencia para una obligación, sin demostrar por sí solo que se ha cumplido el artículo correspondiente. Áreas no cubiertas por ISO 27001 que el RGPD exige adicionalmente: bases jurídicas, gestión de derechos del interesado, transferencias internacionales, consentimiento, información del artículo 13.
5. Pasos para la certificación
- Diagnóstico inicial: delimitar alcance y contrastar controles existentes con riesgos reales.
- Definición del alcance: qué procesos, sedes y servicios.
- Análisis de riesgos: metodología propia o MAGERIT.
- Declaración de Aplicabilidad (SoA): justificación control a control.
- Implantación de controles: asignar responsables, corregir brechas y conservar evidencia de funcionamiento.
- Auditoría interna: comprobar el sistema dentro del alcance elegido.
- Revisión por dirección: evaluar resultados, excepciones y recursos.
- Auditoría de certificación: confirmar etapas y calendario con el organismo contratado.
- Certificado y seguimiento: verificar las fechas y obligaciones aplicables en el esquema contratado.
6. Presupuesto: pedir ofertas comparables
No existe un precio medio fiable que pueda aplicarse a todas las empresas españolas. Solicite al menos el alcance exacto del certificado, sedes, procesos, trabajo de implantación, auditoría inicial, vigilancia, recertificación y gastos de viaje. Distinga horas internas de compra externa; un presupuesto reducido puede excluir el inventario, la corrección de controles y la formación. Compare ofertas sobre el mismo perímetro y pregunte qué sucede al ampliar servicios o incorporar nuevos proveedores.
7. Entidades de certificación acreditadas
Compruebe en el directorio oficial de ENAC que el organismo y el esquema concretos figuran dentro del alcance vigente. El nombre comercial de un certificador no prueba que todas sus auditorías estén acreditadas. Pida un ejemplo del certificado, la norma y edición, el alcance y las condiciones de seguimiento; si un cliente exige un esquema específico, contraste ese requisito por escrito.
8. Ventajas operativas y comerciales
- Evidencia potencial de medidas de seguridad implantadas, siempre limitada al alcance y período auditados.
- Un lenguaje común para responder cuestionarios de seguridad de clientes, sujeto a prueba por servicio.
- Puede responder a exigencias documentales de algunos clientes, si el alcance corresponde al servicio ofertado.
- Facilita describir controles auditados en un cuestionario, sin garantizar una puntuación.
- Permite reutilizar parte de la evidencia al evaluar ENS, NIS2 o DORA para entidades financieras, con requisitos propios de cada marco.
- Posibilidad de reutilizar evidencia vigente de controles, sin prometer un ahorro porcentual.
9. Integración con ENS y NIS2
Para organizaciones que estén dentro del ámbito del Esquema Nacional de Seguridad, parte del análisis de riesgos y de la evidencia ISO puede reutilizarse, pero el ENS tiene requisitos propios. La aplicación española de NIS2 debe contrastarse con el texto nacional vigente; una certificación ISO no sustituye por sí sola obligaciones de notificación o supervisión.
10. Errores comunes en proyectos ISO 27001
- Definir un alcance excesivamente amplio que multiplica esfuerzo sin valor.
- Implantar controles sin análisis de riesgos previo.
- Confundir documentación con cumplimiento real.
- No involucrar a IT y negocio en igual medida.
- No capacitar al personal en el SGSI.
- Tratar la auditoría de seguimiento anual como trámite.
- No integrar el SGSI con el resto de cumplimiento (RGPD, ENS, calidad).
11. Tendencias 2026: ISO 27001 + IA
ISO/IEC 42001 aborda la gestión de sistemas de IA. Si una organización usa datos personales en esos sistemas, puede coordinar la seguridad del SGSI con la evaluación de privacidad y la gobernanza de IA. Debe examinar por separado las obligaciones legales aplicables; sumar certificados no demuestra cumplimiento del RGPD ni del Reglamento de IA.
12. Hoja de ruta recomendada
Una secuencia razonable comienza por delimitar el servicio y los riesgos, corregir las brechas y auditar el SGSI. Después se evalúa si un PIMS conforme a ISO/IEC 27701:2025 aporta valor y si el ENS u otros marcos aplican de forma independiente. Las fechas dependen del alcance y del estado inicial; no existe una obligación de añadir un estándar por año.
Esta progresión permite distribuir esfuerzo y coste mientras se construye una capacidad real de seguridad de la información alineada con el checklist RGPD operativo.
13. Certificación como prueba, no como escudo absoluto
Conviene fijar una expectativa realista: la certificación ISO 27001 no inmuniza frente a una sanción. Puede aportar documentación pertinente sobre medidas dentro del alcance auditado. Ante una brecha, la organización certificada puede demostrar que había implantado y auditado controles razonables en el momento del incidente, lo que puede ser relevante en una evaluación de medidas, sin prometer una atenuación de multa. Como se indicó, la mención expresa a certificaciones en el artículo 83.2.j se refiere a mecanismos del artículo 42 RGPD. Pero si la brecha revela que los controles existían solo sobre el papel —una Declaración de Aplicabilidad desactualizada, un análisis de riesgos genérico, ausencia de revisiones reales— el certificado no acredita que las medidas funcionaran en ese caso. El valor probatorio depende de la efectividad real, no del logotipo en la web corporativa.
14. Cómo evitar la “certificación de escaparate”
Un riesgo de implantación es tratar el SGSI como preparación para un único día de auditoría. Tres señales delatan una certificación vacía: un alcance restringido artificialmente a un único proceso irrelevante, un análisis de riesgos copiado sin adaptación al negocio, y ausencia de indicadores de seguimiento entre auditorías anuales. Un SGSI útil se integra con el resto del cumplimiento —protección de datos, Esquema Nacional de Seguridad, continuidad de negocio— y se mide con métricas revisadas por dirección. Esa integración ayuda a explicar y verificar las medidas efectivamente aplicadas ante clientes y autoridades.
Mapa de evidencia: el mismo control, dos preguntas distintas
Para revisar un control de cambios de código con evidencia por repositorio y rama, el inventario de protección de ramas muestra cómo comprobar la regla efectiva, los permisos de elusión y una muestra de aplicación. Esa prueba técnica complementa el mapa de controles sin convertir una certificación en garantía de cada despliegue.
Una compañía puede tener un proceso de acceso aprobado en el SGSI y, aun así, incumplir el RGPD por dar acceso a datos personales no necesarios para una finalidad. Para aprovechar ISO 27001, empiece por una ficha de tratamiento del registro de actividades: finalidad, categorías, responsables, destinatarios y plazo. Luego señale el riesgo de seguridad correspondiente y el control del SGSI. El último paso consiste en guardar la prueba de ejecución: revisión de permisos, registro de cambios, prueba de recuperación o respuesta a incidente. Un documento de política general no demuestra que el control funcionó sobre el sistema concreto.
Ejemplo: un servicio de atención al cliente contiene datos de salud adjuntos por error a solicitudes. El SGSI puede acreditar cifrado, roles y copias de seguridad; el análisis RGPD debe preguntar además si esos adjuntos eran necesarios, cómo se informa al cliente, cuánto se conservan y si el tratamiento exige una evaluación de impacto. La primera pregunta trata la seguridad de la información; la segunda, la legitimidad y proporcionalidad del tratamiento. Una auditoría externa sobre un departamento distinto no rellena el vacío.
La declaración de aplicabilidad también debe leerse con cuidado. Que un control esté marcado como aplicable no acredita automáticamente su operación cotidiana. Que esté excluido puede ser razonable si la justificación se sostiene frente al riesgo real. Para una investigación, la compañía necesita la versión vigente en la fecha de los hechos, evidencias de revisión y registro de excepciones. Después de una brecha, conviene vincular la cronología del procedimiento de incidentes RGPD con los controles que efectivamente detectaron, contuvieron y corrigieron el evento.
Cómo delimitar el alcance antes de contratar
Pida al equipo de negocio que enumere servicios, sedes, proveedores esenciales y entornos donde se procesan datos personales. Compare esa lista con el alcance propuesto para el certificado. Si la web comercial y la base de clientes quedan fuera, el sello ISO no puede presentarse como evidencia de seguridad para esos tratamientos. Revise expresamente los accesos de soporte, los equipos remotos y las interfaces con proveedores. Un límite estrecho puede ser legítimo, pero debe explicarse a clientes y supervisores sin sugerir una cobertura más amplia.
El contrato con la entidad certificadora debería indicar la norma y edición, el idioma del informe, las auditorías de seguimiento, los cambios de alcance y las reglas de suspensión. Por separado, la organización debe planificar quién redacta la evaluación de riesgos, corrige hallazgos y mantiene evidencia entre auditorías. En un presupuesto real, compare el coste de auditoría con el tiempo del propietario del proceso, del equipo técnico y de privacidad. Una oferta que solo incluye el día de auditoría no resuelve los controles pendientes.
No convierta la lista de 93 controles del anexo en una lista uniforme de tareas. ISO 27001 pide un tratamiento de riesgos justificado y una declaración de aplicabilidad; el RGPD exige medidas apropiadas al riesgo del tratamiento. La relación se documenta por riesgo y por actividad, no por una promesa de cubrir un porcentaje fijo de artículos. En sectores sujetos al ENS o DORA, esa matriz debe incluir también los requisitos específicos de cada régimen. La guía de DORA para entidades financieras muestra por qué el registro de proveedores y los incidentes necesitan procedimientos adicionales.
ISO/IEC 27701:2025 y privacidad operativa
La edición 2025 de ISO/IEC 27701 permite un PIMS independiente, aunque se alinea con ISO/IEC 27001. Esa diferencia importa a quien contrata una auditoría: una propuesta que todavía describe 27701:2019 como único camino puede estar usando un alcance o una edición ya superados. Confirme por escrito qué edición se evaluará, si se trata de una certificación y qué organismo la emitirá. Incluso con PIMS certificado, la empresa conserva la obligación de elegir bases jurídicas, informar, atender derechos y revisar transferencias.
Para comprobar el valor práctico, escoja una actividad de alto volumen y recorra todo el ciclo: alta de un proveedor, tratamiento de una petición de acceso, retirada de un permiso y eliminación al vencer la retención. ¿Qué evidencia produce cada paso? ¿Quién valida excepciones? ¿Puede mostrarse una decisión anterior y su corrección? Una respuesta positiva sobre política general no sustituye la evidencia sobre el tratamiento. La plantilla de registro de actividades puede ayudar a construir el índice, pero la propiedad de cada dato y control debe asignarse a una persona real.
Ensayo de compra con un tratamiento concreto
Antes de decidir la herramienta o consultoría, solicite una demostración con un escenario propio: un proveedor de alojamiento recibe datos de clientes, se descubre una configuración expuesta y hay que determinar si existe una brecha de datos. Pida que el equipo muestre el análisis de riesgo previo, el responsable del proveedor, la evidencia de configuración, la detección, el escalado y la revisión posterior. Anote qué parte proviene del SGSI, qué parte del RGPD y qué parte quedó sin dueño. El resultado es un plan de corrección, no una puntuación de marketing.
Repita el ejercicio seis meses después de la certificación. Compare las excepciones abiertas con las acciones realmente cerradas; verifique si un nuevo servicio quedó dentro o fuera del alcance y si los proveedores añadidos aparecen en la evaluación. Así se comprueba la mejora continua prometida por el sistema de gestión. Si el proyecto se limita a preparar documentos para la auditoría inicial, el certificado puede existir mientras el riesgo operativo sigue intacto.
Qué revisar cuando un cliente pide un certificado
Una solicitud de compra puede exigir un certificado sin decir qué servicio o tratamiento le interesa. Antes de enviarlo, compruebe que el documento identifica la entidad jurídica, el alcance, la norma, la edición y el período de validez. Después explique qué parte del servicio solicitado queda realmente cubierta y qué controles o subprocesadores quedan fuera. Si el cliente pide evidencia para transferencias internacionales o para la atención de derechos, no presente ISO 27001 como respuesta completa: son preguntas jurídicas y organizativas adicionales.
La compañía también debe revisar el destino del certificado y de los informes de auditoría. Un informe puede contener detalles sensibles de arquitectura, vulnerabilidades o proveedores. Puede compartirse un resumen o una carta de alcance cuando sea suficiente, manteniendo el acceso restringido a los hallazgos técnicos. En un cuestionario de seguridad, cada respuesta debería apuntar a un control concreto, un dueño y una fecha de revisión, y distinguir política aprobada de control verificado.
FAQ
¿La ISO 27001 sustituye al RGPD?
No. ISO 27001 es estándar voluntario de seguridad. El RGPD es ley aplicable obligatoria. La certificación puede ayudar a gestionar riesgos de seguridad, pero no exime de cumplir el RGPD íntegramente.
¿Cuánto se tarda en certificarse?
El plazo depende del alcance, los controles ya implantados, las brechas encontradas y la disponibilidad del equipo auditor. Pida un cronograma de diagnóstico, corrección, auditoría y seguimiento para su caso.
¿La certificación es reconocida en la UE?
Una certificación ISO/IEC 27001 puede ser útil en varios mercados, pero no garantiza por sí sola aceptación en otro país ni cumplimiento de su normativa. Compruebe la edición, el alcance del certificado, la entidad certificadora y su acreditación vigente —por ejemplo, a través de ENAC en España—, así como los requisitos del destinatario.
¿Necesito ISO 27001 si tengo ENS?
No estrictamente, pero son complementarias. ISO 27001 es reconocida internacionalmente; ENS es específica para el contexto español del sector público. Muchas empresas certifican ambas.
¿La AEPD reduce la sanción si tengo ISO 27001?
No existe una reducción automática ni un porcentaje típico verificable. Un certificado ISO 27001 puede ayudar a explicar controles dentro de su alcance, pero la autoridad evalúa los hechos, las medidas y los criterios legales aplicables. No confunda ISO 27001 con una certificación aprobada en el artículo 42 RGPD.