ISO 27001
Cuánto se tarda en conseguir la ISO 27001: fases y plazos
Respuesta corta
Una pyme tarda entre 4 y 12 meses en conseguir la ISO 27001, desde que arranca el proyecto hasta la auditoría de certificación o el certificado, según los rangos que publican consultoras y plataformas a octubre de 2026 (rangos de mercado, no plazos de Briblo). Si ya tienes otra norma ISO implantada, como la ISO 9001, te acercas a 4–6 meses; si partes de cero o lo haces sin ayuda, al extremo alto o más. Marcan el ritmo la agenda de la certificadora, que fija las fechas de la fase 1 y la fase 2, y las evidencias de que el sistema funciona, como la auditoría interna y la revisión por la dirección. El certificado vale tres años, con auditorías de seguimiento anuales.
Esta guía es para el CTO o el fundador de un SaaS español de 5 a 50 personas que tiene que dar una fecha de certificado a un cliente o a un inversor. Citamos la ISO/IEC 27001:2022, cuya versión española idéntica es la UNE-EN ISO/IEC 27001:2023, y los plazos que publican consultoras, plataformas y AENOR a octubre de 2026. Si lo urgente es qué contestarle al cliente esta semana, empieza por qué hacer cuando tu cliente te pide la ISO 27001.
¿Cuánto se tarda en conseguir la ISO 27001?
Para una pyme, la ISO 27001 lleva entre 4 y 12 meses desde el arranque del proyecto, según los rangos que publican consultoras y plataformas del sector a octubre de 2026. Las cifras no coinciden del todo porque cada fuente mide hasta un punto distinto: unas hasta la fase 2 de la auditoría y otras hasta el certificado emitido.
| Fuente | Plazo publicado | Hasta dónde mide | Para qué empresa |
|---|---|---|---|
| Summum Calidad | 6–12 meses; 4–6 meses si ya tiene otra norma ISO implantada | Hasta el certificado | Pyme de 20 a 80 empleados sin experiencia previa en ISO 27001 |
| Jiratek | 6–9 meses | Hasta la fase 2 de la auditoría | Pyme con un alcance razonable y consultora |
| StandardOS | 4–7 meses | No lo precisa en el apartado citado | Pequeña empresa de software «con herramientas» |
| heyData | A menudo el doble | Comparación entre vías, no plazo absoluto | Pyme que lo hace sola, frente a hacerlo con ayuda |
Fuentes: Summum Calidad, Jiratek, StandardOS y heyData. Método: cómo lo hemos calculado.
El rango más amplio que circula, de 3 a 14 meses, es el de la plataforma ISMS.online, y es el que suelen repetir las respuestas de los buscadores. Sirve como horquilla general, pero no distingue tu punto de partida.
Dónde caes dentro del rango depende de seis factores: el punto de partida, el tamaño del alcance, el tiempo de tu equipo, la ayuda externa, la agenda de la certificadora y las no conformidades que encuentre la auditoría. Los desarrollamos en qué acorta o alarga el plazo. Cuando compares dos plazos, pregunta siempre hasta dónde miden: entre la fase 2 y el certificado emitido puede haber semanas de acciones correctivas y la decisión de la certificadora.
Fases hasta el certificado y cuánto dura cada una
El camino hasta el certificado ISO 27001 tiene siete fases: cuatro de implantación, que haces tú (con o sin ayuda), y tres de certificación (fase 1, fase 2 y decisión), que dependen de la certificadora. Las duraciones de la tabla son rangos de mercado y se solapan: la auditoría interna, por ejemplo, va en el mismo tramo que la implantación.
| Fase | Qué haces | Duración típica de mercado | Entregable o hito |
|---|---|---|---|
| Diagnóstico y alcance | Comparar lo que ya tienes con la norma, definir el alcance (cláusula 4.3), el contexto y las partes interesadas (4.1 y 4.2) e inventariar los activos. | El diagnóstico, 2–3 semanas; con el alcance, el primer mes (Jiratek). | Informe de diagnóstico y alcance del SGSI documentado. |
| Riesgos, SoA y documentación | Análisis y tratamiento de riesgos (6.1.2 y 6.1.3), declaración de aplicabilidad (SoA), objetivos (6.2) y políticas. Pedir a la certificadora las fechas de fase 1 y fase 2. | Meses 2 a 4 (Jiratek); 2–6 meses para políticas, registro de riesgos y SoA (StandardOS). | Informe de riesgos, plan de tratamiento, SoA y políticas aprobadas. Fechas de auditoría reservadas. |
| Implantación de controles | Poner en marcha los controles que faltan, generar sus registros y formar y concienciar a la plantilla (7.2 y 7.3). | Meses 5 y 6, junto con la auditoría interna (Jiratek). | Controles funcionando y registros que lo demuestran. |
| Auditoría interna y revisión por la dirección | Auditoría interna (9.2) y revisión por la dirección (9.3), y corregir lo que salga. | En el mismo tramo que la implantación (Jiratek), siempre antes de la fase 2. | Informe de auditoría interna y acta de la revisión por la dirección. |
| Auditoría de fase 1 | La certificadora revisa la documentación y si estás preparado para la fase 2. | Según la agenda de la certificadora. Con carácter general, no más de 3 meses entre fase 1 y fase 2 (AENOR). | Informe de fase 1 con los hallazgos y el plan de la fase 2. |
| Auditoría de fase 2 | La certificadora comprueba que el SGSI funciona: entrevistas, registros y muestras de los controles. | Meses 7 a 9 en el plan de Jiratek, con el certificado. La duración en días la fija la ISO/IEC 27006-1 según las personas del alcance. | Informe de auditoría, con las no conformidades si las hay. |
| Acciones correctivas y decisión | Presentar el plan de acciones correctivas si hay no conformidades; la certificadora lo evalúa y decide. | 30 días naturales para presentar el plan, ampliables si lo pides antes de que venzan (AENOR). Después, lo que tarde la decisión. | El certificado, válido tres años como máximo. |
Fuentes: Jiratek, StandardOS, reglamento de AENOR e ISO/IEC 27006-1:2024. Las cláusulas son de la ISO/IEC 27001:2022.
Las tres fases de certificación (fase 1, fase 2 y decisión) no se pueden adelantar con más trabajo de tu equipo: dependen de la certificadora. Y la certificadora tampoco puede ayudarte a implantar, porque la ISO/IEC 17021-1 le prohíbe hacer consultoría de sistemas de gestión (European Accreditation). Por eso conviene pedirle fechas en cuanto tengas claro el alcance, mientras haces el análisis de riesgos y la SoA.
Cómo dar una fecha que puedas defender: el calendario hacia atrás
Una fecha de certificado defendible se calcula desde la fecha que necesitas hacia hoy, no al revés. Lo llamamos el calendario hacia atrás:
- Parte de la fecha que pide tu cliente o de la que fija el contrato.
- Resta el margen de las no conformidades: 30 días naturales para presentar el plan de acciones correctivas, en el reglamento de AENOR, más lo que tarde la certificadora en evaluarlo y decidir.
- Resta la fase 2 y la separación con la fase 1: juntas o separadas según la certificadora, con carácter general a no más de 3 meses una de otra.
- Resta la auditoría interna y la revisión por la dirección, que tienen que estar hechas antes de la fase 2.
- Lo que quede es tu tiempo para el diagnóstico, los riesgos, la SoA y la implantación. Compáralo con la tabla de fases: si no llega, negocia la fecha o revisa el alcance, sin dejar fuera el servicio que compra el cliente.
Hasta que una certificadora acreditada te confirme las fechas de auditoría, presenta la fecha como objetivo, no como compromiso. Qué enviarle al cliente con esa fecha lo explicamos en qué enviar a tu cliente en 48 horas.
¿Qué acorta o alarga el plazo?
El plazo de la ISO 27001 lo acortan sobre todo un sistema de gestión previo y un equipo con tiempo, y lo alargan un alcance grande, la falta de evidencias y las no conformidades. Estos son los seis factores, del que más depende de ti al que menos:
- El punto de partida. Con otra norma ISO implantada, como la ISO 9001, Summum Calidad da 4–6 meses en lugar de 6–12, porque reaprovechas la documentación y los procesos de gestión. Sin experiencia previa, el plazo va al extremo alto.
- El tamaño del alcance. Cuantos más servicios, sistemas, sedes y personas entren, más controles que implantar y más días de auditoría. La ISO/IEC 27006-1 fija 5 días de auditoría inicial hasta 10 personas en el alcance y 6 de 11 a 15, antes de ajustes; el cálculo completo está en cuánto cobra una certificadora y por qué.
- El tiempo de tu equipo. Cuanto más tiempo dedica el equipo interno, más rápido avanza la implantación (Summum Calidad). Incluso con consultora, Jiratek pide un interlocutor interno 2–4 horas a la semana.
- La ayuda externa. Según heyData, una pyme que lo hace sola a menudo tarda el doble y no es raro que no supere la primera auditoría. Comprar un software de compliance automatiza la recogida de evidencias, pero no decide los riesgos ni aplica los cambios: lo comparamos en software ISO 27001: plataforma, consultora o hacerlo tú.
- Las evidencias de funcionamiento. La fase 2 revisa registros que tienen que existir antes de la auditoría. Para Jiratek, el cuello de botella no suele ser la documentación, sino acumular esas evidencias.
- La agenda de la certificadora y las no conformidades. La certificadora fija las fechas de fase 1 y fase 2, y si la auditoría encuentra no conformidades, el certificado espera al plan de acciones correctivas y a su decisión.
El factor que más se subestima es la agenda de la certificadora, porque es el único que no se arregla dedicando más horas. Pide presupuesto y fechas a dos o tres certificadoras acreditadas en cuanto tengas el alcance, y comprueba su acreditación para ISO/IEC 27001 en el buscador de ENAC.
Fase 1 frente a fase 2: qué revisa el auditor
La fase 1 comprueba si estás preparado para la auditoría, y la fase 2 comprueba si el sistema de gestión de seguridad de la información (SGSI) funciona de verdad. Las dos forman la auditoría inicial de certificación que define la ISO/IEC 17021-1, la norma que siguen las certificadoras acreditadas, en sus apartados 9.3.1.2 y 9.3.1.3.
Qué revisa la fase 1
- La información documentada del SGSI: alcance, política, análisis de riesgos, plan de tratamiento y SoA.
- Que el alcance está bien definido y que entiendes los requisitos de la norma.
- Que la auditoría interna y la revisión por la dirección están planificadas o hechas, y si el grado de implantación justifica pasar a la fase 2.
- Lo que necesita la certificadora para planificar la fase 2: personas, sedes y recursos.
El auditor deja por escrito lo que, de no corregirse, podría ser una no conformidad en la fase 2. Ese informe de fase 1 es tu lista de tareas para el tiempo que quede entre las dos fases.
Qué revisa la fase 2
La fase 2 evalúa la implantación y la eficacia del SGSI: el auditor entrevista a las personas del alcance, revisa registros y toma muestras para comprobar que los controles de la SoA funcionan. Mira en especial la auditoría interna, la revisión por la dirección y cómo tratas las incidencias y las acciones correctivas. Sus hallazgos se clasifican en no conformidad mayor, cuando afecta a la capacidad del sistema de lograr sus resultados, o menor, cuando no la afecta.
Según lo que encuentre, la certificadora puede conceder el certificado, concederlo y hacer después una auditoría extraordinaria, o no concederlo hasta que una auditoría extraordinaria salga bien (reglamento de AENOR). Las dos fases pueden ir juntas o separadas, según la certificadora.
¿Hace falta que el sistema lleve meses funcionando?
No hay un mínimo de meses que valga para todas las certificadoras: lo que exige la fase 2 es evidencia de que el sistema funciona, no una antigüedad concreta. La ISO/IEC 27001 pide, entre otras cosas, haber hecho la auditoría interna (cláusula 9.2) y la revisión por la dirección (9.3), y la fase 1 ya comprueba que están planificadas o hechas.
En la práctica, esos registros necesitan tiempo para existir: una auditoría interna sin controles en marcha que auditar no aporta evidencia, y la revisión por la dirección tiene que analizar resultados reales, como incidencias, indicadores y la propia auditoría interna. Por eso el plan de Jiratek pone la auditoría interna junto a la implantación, en los meses 5 y 6, y la fase 2 después.
Algunas certificadoras piden un periodo de funcionamiento antes de la fase 2. Pregúntalo al pedir presupuesto y ponlo en tu calendario hacia atrás, porque cambia la fecha del certificado.
¿Se puede conseguir la ISO 27001 en 30 días o en unas semanas?
Desde cero, ninguna de las fuentes que citamos da un plazo de 30 días: «ISO 27001 en 30 días» suele ser marketing o mide solo un tramo, como tener la documentación o pasar la auditoría. El rango más corto que publica una de esas fuentes empieza en 3 meses (ISMS.online), y el de las consultoras para una pyme, en 4.
Tres hechos explican por qué el camino completo no cabe en un mes:
- La fase 2 revisa registros, como la auditoría interna y la revisión por la dirección, que tienen que existir antes de la auditoría.
- Las fechas las pone la certificadora, que es independiente y tiene su propia agenda.
- El certificado no sale el mismo día de la fase 2: si hay no conformidades, primero presentas el plan para corregirlas, con 30 días naturales de plazo en AENOR, y después decide la certificadora.
Ante cualquier plazo corto, haz las tres preguntas del plazo: hasta dónde mide (documentación, fase 1, fase 2 o certificado emitido), qué parte del trabajo hace tu equipo y si incluye la agenda de la certificadora. Un plazo que responde a las tres se puede comparar; uno que no, no.
¿Cuánto dura el certificado ISO 27001?
El certificado ISO 27001 vale como máximo tres años. En ese tiempo hay dos auditorías de seguimiento, la primera antes de que pase un año desde la auditoría inicial, y, al menos tres meses antes de que caduque, la de recertificación, que abre otro ciclo de tres años (reglamento de AENOR).
Cada seguimiento dura alrededor de un tercio de la auditoría inicial, y la recertificación, unos dos tercios (StandardOS). El sistema tiene que seguir funcionando entre auditorías: cada año tocan otra auditoría interna y otra revisión por la dirección. Si un proveedor te enseña un certificado de la versión 2013, ya no vale: la transición a la ISO/IEC 27001:2022 terminó el 31 de octubre de 2025 (IAF MD 26).
¿Cómo lo hemos calculado?
- Rango de 4–12 meses: es la horquilla que cubren los plazos para pymes de Summum Calidad, Jiratek y StandardOS. No es una media: cada fuente mide hasta un punto distinto, y lo indicamos en la tabla de fuentes.
- Duración de cada fase: el plan mes a mes de Jiratek, contrastado con StandardOS para la documentación. Los plazos entre fases y del plan de acciones correctivas son los del reglamento de certificación de AENOR; otras certificadoras pueden fijar otros.
- El calendario hacia atrás y las tres preguntas del plazo son criterios propios para comparar plazos, no cifras nuevas.
- Sin datos de clientes: todas las cifras son rangos publicados por terceros, consultados en octubre de 2026. No son plazos de Briblo.
Preguntas frecuentes
¿Cuánto se tarda si ya tengo la ISO 9001?
Entre 4 y 6 meses hasta el certificado, según Summum Calidad, frente a 6–12 meses sin experiencia previa. Aprovechas lo que ya funciona en tu sistema de gestión, como la auditoría interna, la revisión por la dirección y el control de documentos, pero el análisis de riesgos, la SoA y los controles de seguridad son trabajo nuevo.
¿Cuánto tiempo pasa entre la fase 1 y la fase 2?
Con carácter general, no más de 3 meses en el reglamento de AENOR, y pueden ir seguidas o en la misma visita si la certificadora lo planifica así. Las fechas exactas las fija la certificadora según su agenda, por eso conviene pedirlas en cuanto tengas claro el alcance.
¿Cuánto tarda la certificadora en darme el certificado después de la fase 2?
No hay un plazo único publicado: depende de si la auditoría encuentra no conformidades. Si las encuentra, en AENOR tienes 30 días naturales para presentar el plan de acciones correctivas, ampliables si lo pides antes de que venzan, y después la certificadora lo evalúa y decide.
¿Qué le enseño a mi cliente mientras me certifico?
Un plan con fecha objetivo de auditoría, una carta de compromiso firmada por la dirección y, si ya la tienes, la declaración de aplicabilidad (SoA) preliminar bajo confidencialidad. Suele bastar para la homologación cuando el contrato admite un plazo; si exige el certificado a la firma, hay que negociar ese plazo por escrito. Qué enviarle, con una plantilla de email, lo explicamos en qué hacer cuando tu cliente te pide la ISO 27001.
¿Tardo menos con una consultora o con un software?
No necesariamente: con consultora o con software, una pyme suele caer en el mismo rango de 4 a 12 meses, porque la agenda de la certificadora y las evidencias de funcionamiento son las mismas en todas las vías. El software automatiza la recogida de evidencias, pero no decide los riesgos ni implanta los controles, así que por sí solo no acorta el plazo: la diferencia entre las vías está en las horas de tu equipo y en el acompañamiento, como comparamos en software ISO 27001: plataforma, consultora o hacerlo tú. Lo que sí suele alargarlo es hacerlo sin ayuda: según heyData, una pyme sola a menudo tarda el doble.
¿Cuánto cuesta la ISO 27001 mientras tanto?
Entre 6.000 y 33.000 € el primer año con consultora para una empresa de 5 a 30 personas, sumando consultoría y certificadora, sin IVA. Son rangos habituales del mercado español a octubre de 2026, no precios de Briblo; las horas de tu equipo y las herramientas van aparte, como detallamos en cuánto cuesta la ISO 27001 en España en 2026.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas hasta el 27 de octubre de 2026.
- ISO. ISO/IEC 27001:2022, requisitos del sistema de gestión de seguridad de la información: cláusulas 4.1 a 4.3, 6.1.2, 6.1.3, 6.2, 7.2, 7.3, 9.2 y 9.3 (en inglés). La adopción española idéntica es la UNE-EN ISO/IEC 27001:2023 (AENOR).
- ISO. ISO/IEC 17021-1:2015, requisitos para los organismos que auditan y certifican sistemas de gestión: apartados 9.3.1.2 (fase 1) y 9.3.1.3 (fase 2) y definiciones de no conformidad mayor y menor (en inglés).
- ISO. ISO/IEC 27006-1:2024, requisitos para los organismos que certifican la ISO/IEC 27001: anexo C, días de auditoría según las personas del alcance (en inglés).
- AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): fases 1 y 2, plazo entre fases, plazo del plan de acciones correctivas, decisión de certificación, validez de tres años, seguimientos y renovación.
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de que la certificadora haga consultoría (en inglés).
- IAF. IAF MD 26, requisitos de transición a ISO/IEC 27001:2022, hasta el 31 de octubre de 2025 (PDF, en inglés).
- ENAC. Buscador de entidades acreditadas.
- Summum Calidad. ¿Cuánto cuesta la ISO 27001 en 2026?, pregunta «¿Cuánto tiempo lleva el proyecto desde el inicio hasta el certificado?».
- Jiratek. Auditoría ISO 27001: plazo hasta la fase 2, fases mes a mes y dedicación del equipo interno.
- StandardOS. Lo que cuesta realmente una certificación ISO 27001, apartados «Cuánto tarda» y de auditorías de seguimiento y recertificación.
- heyData. ISO 27001 costs 2026 (en inglés).
- ISMS.online. ¿Cuánto tiempo lleva obtener la certificación ISO 27001?: rango general de 3 a 14 meses.