Mi cliente me pide la ISO 27001: qué hacer esta semana (y qué responderle)

Esta guía es para el CEO o el CTO de un SaaS con un contrato en pausa porque compras o seguridad del cliente ha pedido la ISO 27001 en el alta de proveedor. Citamos la ISO/IEC 27001:2022; su versión española idéntica es la UNE-EN ISO/IEC 27001:2023 (AENOR).

Las 3 cosas que puede estar pidiendo tu cliente

«Necesitamos la ISO 27001» puede significar tres cosas distintas en una homologación de proveedor. Antes de prometer nada, pregunta cuál.

Desliza la tabla para verla entera.

Cómo leer la cláusula del contrato

La respuesta casi siempre está en el contrato o en las condiciones de homologación. Busca estas siete cosas:

• Norma y versión. Si pide ISO/IEC 27001, hoy significa la versión 2022: todos los certificados de la versión 2013 caducaron o se retiraron al acabar la transición, el 31 de octubre de 2025 (IAF MD 26). Si pide la ISO/IEC 42001 (gestión de la inteligencia artificial), es otra norma, con su propio certificado: la explicamos en ISO 42001 para SaaS que usan IA. Si el cliente es de EE. UU. y te pide su «SOC 2 report», tampoco es la ISO 27001: es un informe de atestación del AICPA que emite una firma de auditores CPA, no un certificado; te contamos cómo prepararlo en informe SOC 2 para SaaS, y en qué se diferencia de la ISO 27001 y cuál hacer primero, en ISO 27001 vs SOC 2: diferencias y cuál necesitas.
• Quién tiene que estar certificado. Tu empresa o también tus proveedores críticos.
• Qué alcance. Si nombra el servicio o el producto, el alcance del certificado tiene que incluirlo.
• Qué certificadora. Si pide una «entidad acreditada», un certificado sin acreditación no cumple.
• Cuándo. A la firma, antes de la puesta en producción o en un plazo. Esta palabra decide si un plan con fecha te vale.
• Qué pasa si no llega. Resolución del contrato, penalizaciones, derecho de auditoría del cliente.
• Mantenimiento. Obligación de mantener el certificado en vigor y de avisar si se suspende o cambia el alcance.

Si la cláusula exige el certificado a la firma y no puedes tenerlo, toca negociar un plazo. Una redacción que puedes proponer: «El proveedor obtendrá la certificación ISO/IEC 27001:2022, emitida por una entidad de certificación acreditada y con un alcance que incluya [servicio], antes del [fecha]».

Qué enviarle en 48 h

Un email y hasta tres adjuntos. No hace falta que sean perfectos; sí que sean verdad.

• Plan con fecha. Hitos (alcance, análisis de riesgos, implantación, auditoría interna, fase 1 y fase 2) y una fecha objetivo de auditoría. Si aún no has reservado certificadora, dilo: la fecha es un objetivo, no una reserva.
• Carta de compromiso. Firmada por la dirección: compromiso de certificar la ISO/IEC 27001:2022 con una certificadora acreditada, alcance previsto, fecha objetivo y compromiso de informar de los avances.
• SoA preliminar, solo si ya la tienes. No la improvises en dos días: sin análisis de riesgos detrás, no es una declaración de aplicabilidad.

Plantilla de email

Cópiala y cambia lo que va entre corchetes.

Asunto: ISO 27001 – [Empresa] – siguiente paso para el alta de proveedor

Hola, [nombre]:

Gracias por enviarnos los requisitos de homologación. Para responder con precisión, ¿podéis confirmarnos qué necesitáis exactamente?

1. Un certificado ISO/IEC 27001:2022 vigente antes de la firma.
2. Un plan de certificación con fecha, mientras lo completamos.
3. Vuestro cuestionario de seguridad, en paralelo.

Hoy no tenemos el certificado ISO/IEC 27001. Estamos implantando el sistema de gestión de seguridad de la información con un alcance que incluye [producto o servicio], y nuestra fecha objetivo para la auditoría de certificación es [mes y año], con una certificadora acreditada [ya reservada / pendiente de confirmar].

Os adjuntamos:
- El plan de certificación, con hitos y fechas.
- Una carta de compromiso firmada por [cargo].
- [Solo si existe: un borrador de nuestra declaración de aplicabilidad, bajo acuerdo de confidencialidad.]

Si os encaja, proponemos una llamada de 30 minutos con vuestro equipo de seguridad o de compliance para revisar el alcance y, si hace falta, acordar en el contrato un plazo para presentar el certificado.

Un saludo,
[Nombre]
[Cargo] · [Empresa]

Lo que no debe decir nunca: «ya estamos certificados» o una fecha de certificado que no depende de ti. El cliente puede pedirte el documento o comprobarlo, y lo que firmes en la homologación puede acabar en el contrato.

Cómo definir el alcance sin certificar toda la empresa

El certificado no es de la empresa entera: es del sistema de gestión de seguridad de la información (SGSI) sobre un alcance que defines tú, con sus servicios, sistemas y sedes (cláusula 4.3). La certificadora lo confirma en la fase 1 y el certificado detalla la norma, el alcance, las actividades y las ubicaciones (reglamento de AENOR).

• Incluye lo que el cliente compra. En un SaaS típico: la aplicación, la infraestructura cloud donde corre, el desarrollo, el soporte y las personas con acceso a todo eso.
• No dejes fuera lo que el cliente va a revisar. Si su cuestionario pregunta por el ciclo de desarrollo o las copias de seguridad, eso tiene que estar dentro.
• Ten en cuenta interfaces y dependencias. La cláusula 4.3 pide considerar las actividades que hacen otros por ti, como tu proveedor cloud.
• No recortes de forma artificial. Las personas del alcance cuentan para los días de auditoría, pero separar lo certificado de lo que no lo está también tiene coste; lo explicamos en cuánto cuesta la ISO 27001.

La declaración de aplicabilidad (SoA)

La cláusula 6.1.3 d) pide un documento con los controles necesarios, por qué se incluyen, si están implantados o no y la justificación de cada control del anexo A que excluyes. El anexo A es una lista de referencia de 93 controles, no una obligación de implantarlos todos: los necesarios salen de tu análisis de riesgos y de tus obligaciones legales y contractuales, como explica la nota de auditoría sobre la SoA del grupo de ISO que mantiene la norma (ISO/IEC JTC 1/SC 27/WG 1).

Lo que no se puede excluir es ningún requisito de las cláusulas 4 a 10: la propia norma lo dice en su cláusula 1. Y la versión de la SoA queda referenciada en el documento de certificación, según la misma nota.

¿Qué fecha le doy a mi cliente?

Dale una fecha objetivo de auditoría que puedas defender, no la más rápida posible: la que sale de tu punto de partida, del tiempo de tu equipo y de la agenda de la certificadora, con margen para corregir no conformidades. Esta semana, tu cliente no suele necesitar el certificado, sino un plan firmado con esa fecha objetivo. La fecha es firme cuando una certificadora acreditada te ha confirmado las de la auditoría; hasta entonces, preséntala como objetivo.

Como referencia, una pyme tarda entre 4 y 12 meses desde que empieza el proyecto hasta la auditoría de certificación o el certificado, según los rangos que publican consultoras y plataformas del sector a octubre de 2026 (cada fuente mide hasta un punto distinto). Summum Calidad da 6–12 meses hasta el certificado a una pyme de 20 a 80 empleados sin experiencia previa en ISO 27001, y 4–6 meses si ya tiene otra norma ISO implantada, como la ISO 9001. Jiratek da 6–9 meses hasta la fase 2 en una pyme con un alcance razonable. Y StandardOS, 4–7 meses para «una pequeña empresa de software con herramientas».

Una pyme que lo hace sola a menudo tarda el doble, según la plataforma alemana de cumplimiento normativo heyData. Las fases una a una, qué revisa el auditor en la fase 1 y en la fase 2 y por qué «ISO 27001 en 30 días» suele ser marketing lo explicamos en cuánto se tarda en conseguir la ISO 27001: fases y plazos.

Errores que alargan la venta

• Prometer el certificado en X semanas sin haber reservado certificadora. Si sus fechas no encajan, tu plan se cae y con él tu credibilidad ante el cliente.
• Un alcance que no cubre el servicio que compra el cliente. Tendrás un certificado que no le sirve y otra auditoría por delante para ampliarlo.
• Mentir en el cuestionario. Lo que respondes puede acabar en el contrato y en una auditoría del cliente. Mejor «no, previsto para [fecha]» que un «sí» que no puedes demostrar.
• Confundir ISO 27001 con ENS. Si vendes al sector público español, el Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica también a los sistemas de los proveedores privados (artículo 2.3), y los pliegos pueden pedir la Declaración o la Certificación de Conformidad con el ENS. Qué categoría necesitas y si te basta una Declaración lo explicamos en certificación ENS para empresas que venden a la administración, y en qué se diferencian los dos esquemas y cuál hacer primero, en ENS vs ISO 27001: diferencias y cuál necesitas.
• Empezar comprando software antes de saber qué pide el cliente. La norma no exige ninguna herramienta; si dudas, compara las vías en software ISO 27001: plataforma, consultora o hacerlo tú.
• Una certificadora no acreditada o un certificado de la versión 2013. Comprueba la acreditación para ISO/IEC 27001 en el buscador de ENAC; ENAC explica por qué solo las acreditadas han demostrado su competencia e imparcialidad (certificación de sistemas de gestión). Los certificados de 2013 ya no valen desde el 31 de octubre de 2025. Cómo leer el anexo técnico de ENAC y qué preguntar al contratar la tuya lo explicamos en cómo elegir certificadora ISO 27001 y comprobar que está acreditada.

Preguntas frecuentes

¿Puedo firmar sin certificado si envío un plan?

Depende de la cláusula. Si el contrato exige el certificado a la firma, el plan no basta por sí solo: hay que negociar un plazo y dejarlo por escrito, con la fecha, el alcance y qué pasa si no llega. Si el contrato ya admite un plazo, un plan con fecha y una carta de compromiso son lo que el cliente suele pedir mientras tanto.

¿El certificado de la matriz cubre a la filial o a otro producto?

Solo si aparecen en el alcance del certificado. El certificado detalla la norma, el alcance, las actividades y las ubicaciones del sistema certificado. Si tu filial, tu sede o el producto que vendes no están ahí, no están cubiertos, aunque la marca sea la misma.

¿La ISO 27001 sustituye al ENS?

No. Si prestas servicios al sector público español, el Real Decreto 311/2022 se aplica también a tus sistemas, y los pliegos pueden pedir la Declaración o la Certificación de Conformidad con el ENS. Parte del trabajo de la ISO 27001 se puede reaprovechar, pero son esquemas distintos.

¿Cuánto se tarda de verdad?

Entre 4 y 12 meses desde el arranque, según los plazos que publican las consultoras para una pyme a octubre de 2026: menos si ya tienes otra norma ISO implantada y un equipo con tiempo para el proyecto, y más si partes de cero o lo haces sin ayuda. La agenda de la certificadora también marca el ritmo y, si la auditoría encuentra no conformidades, la certificadora revisa tu plan para corregirlas antes de decidir si emite el certificado. Las fases una a una y cómo calcular una fecha defendible están en cuánto se tarda en conseguir la ISO 27001: fases y plazos.

¿Qué es una SoA y puedo enviarla al cliente?

Es la declaración de aplicabilidad que exige la cláusula 6.1.3 d): los controles necesarios, por qué se incluyen, si están implantados y por qué excluyes los del anexo A que no aplican. Puedes enviarla, pero describe tu seguridad por dentro: compártela bajo acuerdo de confidencialidad y, si aún es un borrador, márcala como preliminar.

¿Cómo verifico que un certificado ISO 27001 es válido?

Comprueba que es de la versión ISO/IEC 27001:2022, que está en vigor, que el alcance cubre el servicio y que la certificadora está acreditada para ISO/IEC 27001 en el buscador de ENAC o del organismo de acreditación de su país. Puedes buscar el certificado en IAF CertSearch; si no aparece, pide confirmación a la certificadora que lo emitió.

Sobre los autores

Eduard Masip

Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.

Jordi Espasa

Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.

Conoce al equipo.

Guías relacionadas

• ISO 27001 Cuánto cuesta la ISO 27001 en España en 2026: consultoría, certificadora, seguimiento y horas, con los días de auditoría que fija la norma según las personas del alcance.
• ISO 27001 Software ISO 27001: plataforma, consultora o hacerlo tú: qué automatiza un software, qué no y el coste a dos años de cada vía.
• ISO 27001 Cuánto se tarda en conseguir la ISO 27001: fases y plazos: las fases hasta el certificado con su duración típica de mercado, qué revisa el auditor en la fase 1 y la fase 2 y cómo calcular una fecha que puedas defender.

• ENS vs ISO 27001: diferencias, cuál necesitas y cuál hacer primero: si vendes a la vez a la administración y a empresas privadas, en qué se diferencian los dos esquemas y cómo hacer los dos con un solo sistema.
• Qué es el ENS y cómo se certifica una empresa que vende a la administración: si tu cliente es una administración pública, qué categoría ENS necesitas y si te basta una Declaración de Conformidad.
• Qué es la ISO 42001, qué certifica y cómo encaja con el AI Act: si tu cliente pregunta cómo gestionas la IA, qué certifica la ISO/IEC 42001 y qué no cubre del AI Act.
• Todas las guías ISO 27001.
• Briblo: el servicio y cómo trabajamos.

Fuentes

Consultadas el 19 de octubre de 2026.

1. ISO. ISO/IEC 27001:2022, requisitos del sistema de gestión de seguridad de la información (cláusulas 1, 4.3 y 6.1.3). La adopción española idéntica es la UNE-EN ISO/IEC 27001:2023 (AENOR).
2. ISO/IEC JTC 1/SC 27/WG 1. Auditing Practices Note: Statement of Applicability (SoA), N 3298, septiembre de 2022 (PDF, en inglés).
3. AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): fases 1 y 2, plan de acciones correctivas y decisión de certificación, contenido del certificado, validez de tres años y seguimientos anuales.
4. IAF. IAF MD 26, requisitos de transición a ISO/IEC 27001:2022 (PDF, en inglés).
5. ENAC. Certificación de sistemas de gestión.
6. ENAC. Buscador de entidades acreditadas.
7. IAF. IAF CertSearch, base de datos de certificados acreditados (en inglés).
8. BOE. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, artículo 2.
9. Summum Calidad. ¿Cuánto cuesta la ISO 27001 en 2026?, pregunta «¿Cuánto tiempo lleva el proyecto desde el inicio hasta el certificado?».
10. Jiratek. Auditoría ISO 27001: plazo hasta la fase 2.
11. StandardOS. Lo que cuesta realmente una certificación ISO 27001, apartado «Cuánto tarda».
12. heyData. ISO 27001 costs 2026 (en inglés).