ISO 27001
Cuánto cuesta la ISO 27001 en España en 2026: desglose real para una startup
Respuesta corta
Con consultora, certificarse en ISO 27001 le cuesta a una startup en España unos 6.000–13.000 € el primer año con 5 personas, 11.000–21.000 € con 15 y 18.000–33.000 € con 30, sumando consultoría y certificadora, sin IVA. Después, cada auditoría anual de seguimiento cuesta 1.400–3.000 €. Las herramientas y las horas internas van aparte. Son rangos habituales del mercado español, no precios de Briblo.
Las cinco partidas del coste, por tamaño de empresa
El coste total tiene cinco partidas: consultoría, auditoría de la certificadora, auditorías de los años siguientes, herramientas y horas de tu equipo. Las dos últimas no salen en el presupuesto de la consultora ni en el de la certificadora, pero también se pagan.
| Partida | 5 personas | 15 personas | 30 personas |
|---|---|---|---|
| Consultoría | 3.000–8.000 € | 7.000–15.000 € | 12.000–25.000 € |
| Auditoría inicial (fases 1 y 2) | 3.200–5.000 €3,5–5 días | 4.200–5.900 €4,5–6 días | 5.600–8.400 €6–8,5 días |
| Año 1: consultoría + auditoría | 6.200–13.000 € | 11.200–20.900 € | 17.600–33.400 € |
| Herramientas (al año) | 500–3.000 € | 2.000–8.000 € | 2.000–8.000 € |
| Horas de tu equipo | 2.000–5.000 € | 6.900–13.800 €200–400 h | 6.900–13.800 €200–400 h |
| Total año 1 | 8.700–21.000 € | 20.100–42.700 € | 26.500–55.200 € |
| Seguimiento (años 2 y 3, cada uno) | 1.400–2.000 €1,5–2 días | 1.400–2.000 €1,5–2 días | 1.900–3.000 €2–3 días |
| Recertificación (cada 3 años) | 2.300–3.500 €2,5–3,5 días | 2.800–4.000 €3–4 días | 3.700–5.900 €4–6 días |
Fuentes: consultoría, Novaciber y Summum Calidad; herramientas, Summum Calidad; horas, Summum Calidad (5 personas) y Novaciber (15 y 30, valoradas con el coste laboral del INE). Las auditorías son un cálculo propio con ISO/IEC 27006-1 y tarifas reales de certificadoras: cómo lo hemos calculado.
Consultoría
Es el trabajo de montar el sistema de gestión de seguridad de la información (SGSI): alcance, análisis de riesgos, Declaración de Aplicabilidad, políticas, formación y auditoría interna. Novaciber la sitúa en 4.000–8.000 € hasta 10 empleados, 7.000–15.000 € de 10 a 25 y 12.000–25.000 € de 25 a 50; Summum Calidad, en 3.000–8.000 € por debajo de 10. Los precios «desde» publicados varían mucho: 990 € en ConsultoraISO, que sube según los servicios, sedes y sistemas del alcance, y 15.900 € en Jiratek por una implantación completa.
Auditoría de la certificadora
La pagas directamente a una certificadora acreditada, porque quien implanta no puede certificar: ISO/IEC 17021-1, la norma que siguen las certificadoras, les prohíbe hacer consultoría de sistemas de gestión (European Accreditation). Tiene dos fases: la 1 revisa la documentación y si estás preparado, y la 2 comprueba que el sistema funciona. Cómo se calcula su precio lo explicamos más abajo.
Seguimiento y recertificación
El certificado vale como máximo tres años. En ese plazo hay dos auditorías de seguimiento, la primera antes de que pase un año desde la auditoría inicial, y, al menos tres meses antes de que caduque, la de renovación o recertificación (reglamento de AENOR). Cada seguimiento dura alrededor de un tercio de la auditoría inicial, y la recertificación, unos dos tercios (YBM, StandardOS).
Herramientas
La norma no obliga a comprar software. Summum Calidad calcula 500–3.000 € al año en herramientas y controles técnicos para una microempresa y 2.000–8.000 € para una pyme, menos si tu stack ya los tiene. Fuera de la tabla quedan dos gastos opcionales. Uno es un software de compliance como Vanta o Drata: 12.000–25.000 $ al año con menos de 50 empleados y un solo marco, según los datos de compra de Vendr (Vanta, Drata). Cuándo compensa esa licencia, y qué no automatiza, lo comparamos en la guía de software ISO 27001. El otro es un pentest: desde 1.490 € por una web o una API acotada (Hard2bit), y lo habitual para una aplicación SaaS son 2.500–5.000 € (StandardOS). La norma no lo exige como tal, pero según StandardOS lo esperan los auditores y los clientes.
Horas de tu equipo
Es la partida que más se subestima. Trabajando con consultora, Summum Calidad la estima en 2.000–5.000 € por debajo de 10 empleados, y Novaciber, en 200–400 horas para una pyme de 15 a 30. A 34,46 € la hora, el coste laboral medio del sector de información y comunicaciones en el segundo trimestre de 2026 (INE), son 6.900–13.800 €. Más abajo, cómo cambia según la vía.
Cómo hemos calculado la tabla
- Consultoría, herramientas y horas: rangos publicados por consultoras españolas; cuando vienen en horas, las valoramos a 34,46 € por hora (INE).
- Días de auditoría: los de la tabla de ISO/IEC 27006-1. El mínimo aplica la rebaja máxima del 30 % y el máximo es el valor de la tabla. Seguimiento, un tercio; recertificación, dos tercios. Los días se redondean al alza al medio día.
- Tarifa: 925–990 € por día, lo que cobra una certificadora acreditada en un contrato público de 2025 y lo que estimó la agencia que lo adjudicó (detalle abajo).
- Supuestos: una sola sede, complejidad normal y todas las personas que trabajan para la empresa dentro del alcance, contratistas incluidos.
- Sin IVA ni desplazamientos, y redondeado a la centena.
Cuánto cobra una certificadora y por qué
La factura de la certificadora es días de auditor por tarifa diaria. Los días no se fijan a ojo: salen de una tabla de la norma. La tarifa sí cambia de una certificadora a otra.
Los días de auditoría salen de ISO/IEC 27006-1
Las certificadoras acreditadas para ISO 27001 aplican la norma ISO/IEC 27006-1:2024. Su anexo C fija los días de la auditoría inicial (fases 1 y 2) según las personas del alcance: 5 hasta 10 personas, 6 de 11 a 15, 7 de 16 a 25 y 8,5 de 26 a 45. La tabla la reproduce el procedimiento de precios de YBM, una certificadora turca, y una consulta publicada por European Accreditation usa los mismos valores: 10 días para 50 personas y 13 para 150.
Sobre esa base, la certificadora ajusta por la complejidad del alcance, el número de sedes y el grado de externalización, pero la rebaja tiene un tope del 30 %, reservado a un alcance sencillo, de una sola sede y maduro (StandardOS). En una primera certificación, con el sistema recién implantado, es difícil justificar la rebaja máxima. Y cuentan todas las personas que trabajan bajo tu control, estén donde estén (cláusula C.6, citada por European Accreditation). Según StandardOS, eso incluye a contratistas y autónomos, y son ellos los que con más frecuencia hacen pasar a una empresa pequeña al tramo siguiente.
Por qué algunas guías hablan de 1,5–2 días
Algunas guías publicadas en España dan 1,5–2 días de auditoría para una micropyme (Novaciber, por ejemplo). Esa cifra coincide con la tabla de ISO 9001 (IAF MD 5), no con la de ISO 27001, que pide el doble o más:
| Personas en el alcance | ISO 27001 | ISO 9001 |
|---|---|---|
| 1–5 | 5 | 1,5 |
| 6–10 | 5 | 2 |
| 11–15 | 6 | 2,5 |
| 16–25 | 7 | 3 |
| 26–45 | 8,5 | 4 |
| 46–65 | 10 | 5 |
ISO 27001: anexo C de ISO/IEC 27006-1:2024. ISO 9001: tabla QMS 1 de IAF MD 5:2023.
Si un presupuesto se queda muy por debajo de la tabla, pregunta cuántos días ha previsto la certificadora y con qué norma los ha calculado, y comprueba en el buscador de ENAC que está acreditada para ISO/IEC 27001. Cómo leer su anexo técnico paso a paso y qué más comparar entre ofertas lo explicamos en cómo elegir certificadora ISO 27001 y comprobar que está acreditada.
Cuánto cuesta cada día de auditoría
Las certificadoras no suelen publicar tarifas. La referencia pública más sólida que hemos encontrado es el acuerdo marco de auditorías de certificación de la Agencia Digital de Andalucía, que exige la acreditación de ENAC. En 2024 ofertaron por jornada AENOR, 960 €; Bureau Veritas, 925 €, y otras dos certificadoras, 890 € y 812 € (acta de la mesa de contratación). En 2025, la agencia estimó la jornada en 990 € y adjudicó 25 jornadas a Bureau Veritas a 925 €, sin IVA; la primera de la lista, la de 812 €, quedó fuera por no tener la acreditación de ENAC para ISO 27001 (resolución).
La tabla usa esos 925–990 €. En ese concurso la jornada es de 7 horas, y la referencia habitual en auditoría es un día de 8 (IAF MD 5): si tu certificadora cobra el día de 8 horas al mismo precio por hora, la auditoría sube un 14 %. Otras fuentes dan 750–900 € por jornada en España (Summum Calidad) y 1.200–2.000 € con datos europeos (StandardOS), más desplazamientos. Jiratek estima la auditoría inicial de una pyme en 3.500–5.500 € y cada seguimiento en 1.000–1.800 €, en línea con nuestra tabla.
¿Cuántas horas pone tu equipo según la vía?
La plataforma alemana de cumplimiento normativo heyData calcula 300–600 horas internas para montar el sistema en una pyme típica y dice que a menudo son el 60–75 % del gasto real. A 34,46 € la hora (INE), son 10.300–20.700 €, y más si muchas son de tu CTO, que cuesta más que la media del sector y deja de dedicarlas al producto.
- Hacerlo vosotros: cientos de horas. Según heyData, una pyme que lo hace sola a menudo tarda el doble y no es raro que no supere la primera auditoría.
- Software de compliance: automatiza la recogida de evidencias y trae plantillas, pero adaptar las políticas, decidir sobre los riesgos y aplicar los cambios sigue siendo trabajo de tu equipo.
- Consultora: 200–400 horas en una pyme de 15 a 30 personas (Novaciber). Incluso con precio cerrado, Jiratek pide un interlocutor interno 2–4 horas a la semana durante 6–9 meses: 50–160 horas solo de esa persona, según nuestras cuentas.
En todas las vías hay tiempo que no se delega: la plantilla tiene que recibir la formación y alguien tiene que atender al auditor.
Cuántos meses lleva cada fase y qué alarga el calendario lo explicamos en cuánto se tarda en conseguir la ISO 27001.
¿Qué vía sale más barata: hacerlo vosotros, software o consultora?
Hacerlo vosotros es lo más barato en euros y lo más caro en horas: solo pagas las de tu equipo, pero son cientos. El software de compliance automatiza la recogida de evidencias a cambio de una licencia anual, de 249 € al mes a 12.000–25.000 $ al año, y la consultora baja las horas de tu equipo a 200–400 en una pyme de 15 a 30 personas a cambio de 3.000–25.000 € según el tamaño. En las tres, la certificadora se paga aparte.
| Hacerlo vosotros | Software de compliance | Consultora | |
|---|---|---|---|
| Quién hace el trabajo | Tu equipo | Tu equipo, con la plataforma | Tu equipo, guiado |
| Horas de tu equipo | Cientos | Muchas | 200–400 h15–30 personas |
| Qué pagas | Tus horas | Una licencia cada año | Horas o proyecto |
| Referencia de precio | Solo tus horas | De 249 € al mes a 12.000–25.000 $ al año | 3.000–25.000 € según tamaño |
| Certificadora | Aparte | Aparte | Aparte |
| Si no pasas la auditoría | Más horas tuyas | Más horas tuyas | Depende del contrato |
Software: StandardOS (249 € al mes) y Vendr para Vanta y Drata, como en el apartado de herramientas. Consultora: tabla de partidas. En todas las vías, la auditoría extraordinaria que sigue a una no conformidad mayor suele pagarse aparte a la certificadora.
El coste a dos años y las horas de estas vías, y también de un servicio llave en mano, se comparan en la guía de software ISO 27001, consultora o hacerlo tú.
Qué encarece y qué abarata la ISO 27001
Lo que la encarece
- Un alcance vago o mayor de lo necesario: el auditor acaba revisando áreas que no tienen que ver con lo que quieres certificar, y eso suma días (heyData).
- Cruzar un tramo de la tabla: de 10 a 11 personas, la auditoría inicial pasa de 5 a 6 días; de 25 a 26, de 7 a 8,5.
- Varias sedes, mucha externalización o un alcance complejo, que suman días de auditoría.
- Partir de cero en seguridad o sumar requisitos como el Esquema Nacional de Seguridad (ENS) o NIS2 (Novaciber).
- Una no conformidad mayor: bloquea el certificado hasta que se resuelve y suele traer una auditoría extraordinaria que se paga aparte (Jiratek); el reglamento de AENOR, por ejemplo, la deja fuera del precio salvo que la oferta diga otra cosa. heyData la calcula en 2.000–5.000 €, con tarifas de 1.200–2.000 € por día.
Lo que la abarata
- Un alcance claro, centrado en lo que te compran. Recortarlo de forma artificial rara vez compensa: demostrar al auditor que separas lo certificado de lo que no lo está da más trabajo del que ahorras en auditoría (heyData).
- La nube: si todo corre en AWS, Google Cloud o Azure, la seguridad física del centro de datos la pone el proveedor; a ti te toca gestionarlo a él y configurar bien tus servicios. En la oficina suelen bastar un control de acceso sencillo y una política de mesa limpia (heyData).
- Madurez previa: tener procesos de seguridad documentados u otra norma ISO implantada lleva la consultoría al extremo bajo del rango (Novaciber).
- Pedir dos o tres presupuestos de certificadora sobre el mismo alcance: suele ahorrar 1.000–3.000 € (Jiratek), y la diferencia entre certificadoras puede superar los 3.000 € (Summum Calidad).
¿Hay ayudas para la ISO 27001 en 2026?
Pocas, y ninguna estatal abierta:
- El Kit Consulting está cerrado. Su convocatoria terminó el 31 de marzo de 2025 (Red.es). Era para empresas de 10 a 249 empleados y pagaba hasta 6.000 € por servicio de asesoramiento en ciberseguridad, incluida la documentación básica de un SGSI según ISO 27001, pero no la certificación (Orden TDF/436/2024). En enero de 2026 sus bases se cambiaron para permitir nuevas convocatorias (Orden TDF/38/2026), pero a 14 de octubre de 2026 no hay ninguna abierta.
- Ayudas autonómicas. En Castilla y León, el ICE paga entre el 50 % y el 70 % del asesoramiento para certificaciones de «calidad, ciberseguridad y confianza digital» a pymes con centro de trabajo en la región, con solicitudes hasta el 30 de noviembre de 2026 (BOCYL, BDNS 703907). En el País Vasco, el programa «Ciberseguridad Industrial» de SPRI cubre el 60 % de proyectos de adecuación y certificación, con solicitudes hasta el 23 de noviembre de 2026, solo para empresas industriales o de servicios ligados al producto-proceso industrial (BOPV).
- FUNDAE para la formación. Los cursos de la plantilla pueden bonificarse con el crédito de formación de la empresa, que se descuenta de las cotizaciones a la Seguridad Social, si se comunican a FUNDAE al menos dos días antes de empezar (FUNDAE).
Preguntas frecuentes
¿Cuánto cuesta la certificación ISO 27001?
Solo la auditoría inicial de la certificadora cuesta unos 3.200–5.000 € con hasta 10 personas en el alcance, 4.200–5.900 € con 11 a 15, 4.600–6.900 € con 16 a 25 y 5.600–8.400 € con 26 a 45. Después, cada auditoría anual de seguimiento cuesta 1.400–3.000 €. Si sumas la consultoría, el primer año sale por unos 6.000–33.000 € para una empresa de 5 a 30 personas. Son rangos habituales del mercado en España, sin IVA; no son precios de Briblo.
¿Cuánto cuesta la norma ISO 27001?
En la tienda de AENOR, la UNE-EN ISO/IEC 27001:2023, que es la versión española de la ISO/IEC 27001:2022, cuesta 129 € en PDF y 141,90 € en papel, sin IVA.
¿Cuánto tiempo dura una certificación ISO 27001?
El certificado vale como máximo tres años. En ese tiempo hay una auditoría de seguimiento cada año y, antes de que caduque, una de recertificación que abre otro ciclo de tres años.
¿Se puede pagar la ISO 27001 con el Kit Consulting?
Ahora no. La convocatoria cerró el 31 de marzo de 2025 y, a 14 de octubre de 2026, no hay otra abierta. Además, era solo para empresas de 10 a 249 empleados y pagaba la consultoría, no la auditoría de certificación.
¿Qué incluye un precio cerrado de ISO 27001?
Debería incluir todo el trabajo hasta el certificado: alcance, análisis de riesgos, documentación, formación, auditoría interna y acompañamiento en las auditorías. La certificadora va aparte y la contratas tú, porque quien implanta no puede certificar. Pregunta también qué pasa si la auditoría encuentra no conformidades.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 14 de octubre de 2026. Las cifras de consultoras y plataformas son las que publican ellas mismas.
- ISO. ISO/IEC 27006-1:2024, requisitos para las entidades que auditan y certifican sistemas de gestión de seguridad de la información.
- European Accreditation. Pregunta 48.5, tiempo de auditoría según ISO/IEC 27006-1:2024 (en inglés).
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de hacer consultoría (en inglés).
- YBM. Procedimiento P-17, revisión 31, 12 de septiembre de 2025, con la tabla de días del anexo C de ISO/IEC 27006-1:2024 (PDF, en turco).
- IAF. IAF MD 5:2023, tiempos de auditoría de ISO 9001, ISO 14001 e ISO 45001 (PDF, en inglés).
- AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF).
- Agencia Digital de Andalucía. Acta n.º 4 de la mesa de contratación del acuerdo marco de auditorías de certificación, junio de 2024 (PDF).
- Agencia Digital de Andalucía. Resolución de adjudicación de un contrato basado en ese acuerdo marco, 24 de octubre de 2025 (PDF).
- ENAC. Buscador de entidades acreditadas.
- StandardOS. Lo que cuesta realmente una certificación ISO 27001.
- Summum Calidad. ¿Cuánto cuesta la ISO 27001 en 2026?
- Novaciber. Cuánto cuesta la certificación ISO 27001 en España.
- Jiratek. Auditoría ISO 27001.
- ConsultoraISO. Precio ISO 27001.
- heyData. ISO 27001 costs 2026 (en inglés).
- INE. Encuesta trimestral de coste laboral, tabla 6036.
- AENOR. Norma UNE-EN ISO/IEC 27001:2023.
- Vendr. Precios de compra de Vanta y de Drata (en inglés).
- Hard2bit. Cuánto cuesta un pentesting en España.
- Red.es. Convocatoria del Kit Consulting.
- BOE. Orden TDF/436/2024, bases del Kit Consulting, y Orden TDF/38/2026, que las modifica.
- BOCYL. Extracto de la modificación de la convocatoria del ICE, 25 de septiembre de 2025 (PDF), y ficha en la BDNS.
- BOPV. Programa «Ciberseguridad Industrial» 2026 de SPRI (PDF).
- FUNDAE. Bonificación de acciones formativas.