Cómo elegir certificadora ISO 27001 (y comprobar que está acreditada)

Esta guía es para el CTO o el fundador de un SaaS o una startup de IA española que tiene que contratar la auditoría de certificación ISO 27001 porque se la pide un cliente o una licitación. Citamos la ISO/IEC 27001:2022; su versión española idéntica es la UNE-EN ISO/IEC 27001:2023 (UNE). Los datos son a 2 de noviembre de 2026, salvo donde se indica otra fecha.

¿Quién puede certificar la ISO 27001?

La ISO 27001 la certifica una entidad de certificación, o certificadora, y a la certificadora la acredita un organismo de acreditación, que en España es la Entidad Nacional de Acreditación (ENAC). ENAC no certifica empresas: acredita a quienes las certifican. Por eso la pregunta «¿qué relación hay entre AENOR y ENAC?» tiene una respuesta corta: ENAC acredita y AENOR certifica.

Según ENAC, solo las certificadoras acreditadas han demostrado su competencia y su imparcialidad. Para certificar sistemas de gestión, la certificadora trabaja conforme a la UNE-EN ISO/IEC 17021-1, y para la ISO 27001 aplica además la ISO/IEC 27006-1:2024, publicada en marzo de 2024. Esa norma fija requisitos adicionales para quien audita y certifica sistemas de gestión de la seguridad de la información (SGSI): competencia de los auditores, imparcialidad, planificación de la auditoría, decisión de certificación, seguimiento y recertificación.

La acreditación es voluntaria para la certificadora: si no está acreditada para una norma, es porque no la ha pedido o porque no ha superado la evaluación de ENAC. La acreditación de ENAC se reconoce en más de 100 países, y ENAC recuerda que la Ley 9/2017 de Contratos del Sector Público prima los servicios acreditados como medio de prueba, algo que cuenta si vendes a la administración.

La ISO/IEC 27006-1:2024 ya es obligatoria para las certificadoras acreditadas. Desde el 1 de diciembre de 2024, todas las auditorías se hacen según esa versión, y antes del 31 de marzo de 2026 todas las acreditaciones tenían que referenciarla; después de esa fecha no se mantiene ninguna acreditación sin ella (IAF MD 29).

La certificadora se contrata aparte en todas las vías: ni tu equipo, ni una plataforma de software de compliance, ni una consultora emiten el certificado. Cómo se comparan esas vías lo explicamos en software ISO 27001: plataforma, consultora o hacerlo tú.

¿Cómo compruebo que una certificadora está acreditada para la ISO 27001?

En su anexo técnico de acreditación, el documento de ENAC que dice para qué normas y alcances está acreditada cada certificadora; la web de la certificadora o un logotipo de ENAC no bastan. Estos son los pasos:

1. Busca la certificadora en el buscador de acreditados de ENAC, que busca palabras dentro de los anexos técnicos, o por su nombre en la búsqueda por empresa. Pon la norma entre comillas, por ejemplo "UNE EN ISO IEC 27001": ENAC advierte que los resultados dependen de los términos y recomienda probar varias búsquedas.
2. Abre su anexo técnico de certificación de sistemas de gestión. El número de acreditación tiene la forma «número/C-SG número»: el de AENOR Confía, por ejemplo, es 01/C-SG028.
3. Busca el alcance «Certificación de Sistemas de Gestión de Seguridad de la Información» con la norma UNE-EN ISO/IEC 27001:2023 y, como documentos de referencia, la UNE-EN ISO/IEC 17021-1:2015 y la ISO/IEC 27006-1:2024. Si ese alcance no aparece, la certificadora no está acreditada para la ISO 27001, aunque lo esté para otras normas.
4. Anota la revisión y la fecha del anexo y confirma que está vigente en la validación electrónica de ENAC: cada anexo indica que su vigencia se puede confirmar ahí.
5. Si la certificadora está acreditada por el organismo de acreditación de otro país, comprueba en la lista de organismos reconocidos de IAF que ese organismo es firmante de los acuerdos de reconocimiento, y repite los pasos en su web.
6. Cuando tengas el certificado, búscalo en IAF CertSearch, la base de datos oficial de certificados acreditados: muestra la norma, el estado, el alcance, la certificadora, el organismo de acreditación y si está dentro del acuerdo de reconocimiento de IAF.

Que una certificadora esté acreditada por ENAC para la ISO 9001 no significa que lo esté para la ISO 27001. European Accreditation analiza el caso de una certificadora acreditada para la ISO 9001 y la ISO 14001 que vende a un cliente certificación no acreditada de otra norma, además de consultoría de esa norma, y lo considera inaceptable («not acceptable») (pregunta 38.18). Lo que cuenta es el alcance del anexo técnico, no el nombre de la certificadora.

¿Qué certificadoras están acreditadas por ENAC para la ISO 27001?

Entre otras, AENOR Confía, EQA, IVAC, OCA Global y SGS: son las cinco cuyo anexo técnico de ENAC para la ISO 27001 hemos revisado a 2 de noviembre de 2026. La tabla es una muestra en orden alfabético, no la lista completa ni una clasificación: la lista completa la da el buscador de ENAC.

Desliza la tabla para verla entera.

Fuente: anexos técnicos de ENAC enlazados en la tabla, consultados el 2 de noviembre de 2026. En los cinco, el alcance es «Certificación de Sistemas de Gestión de Seguridad de la Información», con la norma UNE-EN ISO/IEC 27001:2023 y, como referencia, la UNE-EN ISO/IEC 17021-1:2015 y la ISO/IEC 27006-1:2024. La vigencia de cada anexo se confirma en la validación electrónica de ENAC.

La tabla no recoge todas las certificadoras. Bureau Veritas, por ejemplo, no está en ella: la Agencia Digital de Andalucía le adjudicó en 2025 un contrato que exigía la acreditación de ENAC para la ISO 27001, como contamos en cuánto cuesta cada día de auditoría. Otras certificadoras de grandes grupos internacionales pueden estar acreditadas por ENAC o por el organismo de acreditación de otro país firmante de IAF: compruébalo en su anexo técnico o en su certificado antes de contratar.

¿Vale un certificado acreditado por un organismo de otro país?

Sí, si el organismo que acredita a la certificadora es firmante, para esa norma, del acuerdo de reconocimiento multilateral (MLA) del International Accreditation Forum (IAF). Según IAF, un certificado emitido dentro del alcance del MLA por una certificadora acreditada por un firmante «can be recognized worldwide», es decir, se puede reconocer en todo el mundo (IAF MD 2:2023). Funciona igual en sentido contrario: la acreditación de ENAC se reconoce en más de 100 países.

Desconfía de un organismo de acreditación que no aparece en la lista de organismos reconocidos de IAF, o de un certificado en el que no puedes ver qué organismo acredita a la certificadora: en ninguno de los dos casos puedes comprobar ese reconocimiento internacional. Y en una licitación, lee el pliego, porque puede pedir expresamente la acreditación de ENAC, como el acuerdo marco de auditorías de la Agencia Digital de Andalucía que citamos en la guía de coste.

¿En qué fijarte para elegir certificadora?

Primero, en que esté acreditada para la ISO 27001; después, entre las acreditadas, en cómo te va a auditar: días previstos, auditores, fechas y lo que necesites además de la ISO 27001. La tabla resume qué preguntar al pedir la oferta.

Desliza la tabla para verla entera.

Fuentes: anexos técnicos de ENAC, ISO/IEC 27006-1:2024, reglamento de certificación de AENOR y las guías de Briblo enlazadas en la tabla, con sus fuentes.

Dos ofertas solo se pueden comparar si calculan los días sobre el mismo alcance y con la misma norma; después, cuenta la tarifa por jornada. Los rangos de mercado por tamaño de empresa, que no son precios de Briblo, están en cuánto cuesta la ISO 27001 en España en 2026.

Lo que la certificadora no hace es prepararte para la auditoría. Qué hay que tener listo antes lo explicamos en cómo se implanta la ISO 27001 en una startup SaaS, y para los otros esquemas, en las páginas de implantación del ENS y de implantación de la ISO 42001.

¿Qué señales indican que un certificado no te va a servir?

Un certificado ISO 27001 no te va a servir ante un cliente o una licitación que piden una entidad acreditada si se da alguna de estas señales:

• La certificadora no está acreditada, o lo está solo para otras normas: su anexo técnico de ENAC no incluye la seguridad de la información.
• La misma empresa te implanta el sistema y te certifica. La ISO/IEC 17021-1, en su apartado 5.2.5, prohíbe a la certificadora, y a su misma entidad legal o a las entidades que controla, ofrecer consultoría de sistemas de gestión.
• Te prometen el certificado en días, sin auditoría de fase 1 y fase 2. La auditoría inicial de certificación tiene dos fases; por qué «ISO 27001 en 30 días» suele ser marketing lo explicamos en cuánto se tarda en conseguir la ISO 27001: fases y plazos.
• Es de la versión 2013. La transición a la ISO/IEC 27001:2022 terminó el 31 de octubre de 2025 (IAF MD 26); qué responder a un cliente que te pide el certificado lo tienes en qué hacer cuando tu cliente te pide la ISO 27001.
• El alcance no cubre el servicio que vendes. El certificado detalla la norma, el alcance, las actividades y las ubicaciones, y lo que no aparece no está cubierto.

Si un certificado no aparece en IAF CertSearch, eso no prueba por sí solo que sea falso: la base de datos depende de los datos que aportan las certificadoras. Pide confirmación a la certificadora que lo emitió.

¿Puedo cambiar de certificadora sin empezar de cero?

Sí, si tu certificado es acreditado y no está suspendido. Según IAF MD 2:2023, solo se pueden transferir las certificaciones cubiertas por la acreditación de un firmante del MLA de IAF o de un acuerdo regional, y la nueva certificadora no acepta certificados suspendidos.

Antes de la transferencia, la nueva certificadora hace una revisión previa, con visita si hace falta, que IAF deja claro que no es una auditoría («not an audit»). Un certificado no acreditado no se transfiere: la nueva certificadora te trata como un cliente nuevo.

Si tu certificadora cesa su actividad o pierde la acreditación, la transferencia tiene que hacerse en 6 meses o antes de que caduque el certificado, lo que ocurra primero.

Preguntas frecuentes

¿ENAC certifica la ISO 27001?

No. ENAC acredita a las certificadoras, es decir, evalúa que son competentes e imparciales para certificar una norma; el certificado ISO 27001 lo emite la certificadora acreditada.

¿Qué relación hay entre AENOR y ENAC?

ENAC acredita y AENOR certifica. AENOR Confía, la entidad de certificación de AENOR, está acreditada por ENAC para la ISO 27001 con el número 01/C-SG028; ENAC no certifica empresas, sino a quienes las certifican.

¿Cuánto cobra una certificadora por la ISO 27001?

Depende de los días de auditoría, que la ISO/IEC 27006-1 fija según las personas del alcance, y de la tarifa diaria de cada certificadora. Los rangos de mercado por tamaño de empresa, que no son precios de Briblo, están en cuánto cuesta la ISO 27001 en España en 2026.

¿Es lo mismo la UNE-EN ISO/IEC 27001:2023 que la ISO/IEC 27001:2022?

Sí. La UNE-EN ISO/IEC 27001:2023 es la adopción española idéntica de la ISO/IEC 27001:2022, y su modificación A1:2024 equivale a la Amd 1:2024. Un certificado que cita la UNE-EN vale igual ante un cliente que pide la ISO/IEC 27001:2022.

¿La consultora que me implanta la ISO 27001 puede certificarme?

No. La ISO/IEC 17021-1 prohíbe a la certificadora, y a su misma entidad legal o a las entidades que controla, ofrecer consultoría de sistemas de gestión. Quien te ayuda a implantar el sistema no puede ser quien te certifica.

¿Cómo sé si el certificado ISO 27001 de un proveedor es válido?

Búscalo en IAF CertSearch: según IAF, es válido si aparece, tiene estado activo y está al día. Si no aparece, pide confirmación a la certificadora que lo emitió; qué más mirar en el certificado lo explicamos en qué hacer cuando tu cliente te pide la ISO 27001.

¿Cada cuánto vuelve la certificadora?

Cada año. El certificado vale tres años, con una auditoría de seguimiento anual y, antes de que caduque, una auditoría de recertificación que abre otro ciclo de tres años.

Sobre los autores

Eduard Masip

Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.

Jordi Espasa

Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.

Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.

Guías relacionadas

• ISO 27001 Cuánto cuesta la ISO 27001 en España en 2026: consultoría, certificadora, seguimiento y horas, con los días de auditoría que fija la norma según las personas del alcance.
• ISO 27001 Mi cliente me pide la ISO 27001: qué hacer esta semana (y qué responderle): qué puede estar pidiendo tu cliente, qué enviarle en 48 horas y los plazos típicos del mercado hasta el certificado.
• ISO 27001 Cuánto se tarda en conseguir la ISO 27001: fases y plazos: las fases hasta el certificado con su duración típica de mercado, qué revisa el auditor en la fase 1 y la fase 2 y cómo calcular una fecha que puedas defender.

• Qué es el ENS y cómo se certifica una empresa que vende a la administración: si tu cliente es una administración pública, qué categoría ENS necesitas y si te basta una Declaración de Conformidad.
• Qué es la ISO 42001, qué certifica y cómo encaja con el AI Act: qué certifica la ISO/IEC 42001 y su coste y plazo de mercado, menores si ya tienes la ISO 27001.
• Software ISO 27001: plataforma, consultora o hacerlo tú: qué automatiza un software, qué no y el coste a dos años de cada vía.
• Todas las guías ISO 27001.

Fuentes

Consultadas el 2 de noviembre de 2026, salvo los datos del ENS y de la ISO 42001, que son a 20 de octubre de 2026 y vienen de las guías enlazadas.

1. ENAC. Certificación de sistemas de gestión: competencia e imparcialidad de las certificadoras acreditadas, UNE-EN ISO/IEC 17021-1, carácter voluntario de la acreditación, reconocimiento en más de 100 países y Ley 9/2017.
2. ENAC. Buscador de entidades acreditadas y búsqueda por empresa.
3. ENAC. Anexos técnicos de certificación de sistemas de gestión de seguridad de la información: AENOR Confía, 01/C-SG028 (revisión 16, 27 de marzo de 2026), SGS International Certification Services Ibérica, 5/C-SG101 (revisión 7, 13 de febrero de 2026), EQA European Quality Assurance Spain, 13/C-SG102 (revisión 7, 6 de febrero de 2026), OCA Instituto de Certificación, 8/C-SG057 (revisión 15, 4 de junio de 2026) e IVAC-Instituto de Certificación, 10/C-SG079 (revisión 11, 27 de febrero de 2026).
4. ENAC. Validación electrónica de documentos de acreditación.
5. ISO. ISO/IEC 27006-1:2024, requisitos para las entidades que auditan y certifican sistemas de gestión de seguridad de la información, publicada en marzo de 2024 (en inglés).
6. ISO. ISO/IEC 17021-1:2015, requisitos para los organismos que auditan y certifican sistemas de gestión, apartado 5.2.5 (en inglés).
7. IAF. IAF MD 29, transición a ISO/IEC 27006-1:2024 (PDF, en inglés).
8. IAF. IAF MD 2:2023, transferencia de certificaciones acreditadas de sistemas de gestión (PDF, en inglés).
9. IAF. Organismos de acreditación reconocidos (en inglés).
10. IAF. IAF CertSearch y su búsqueda de certificados, base de datos de certificados acreditados (en inglés).
11. IAF. IAF MD 26, requisitos de transición a ISO/IEC 27001:2022, hasta el 31 de octubre de 2025 (PDF, en inglés).
12. European Accreditation. Pregunta 38.18, consultoría de un sistema de gestión y certificación de otro (en inglés).
13. UNE. UNE-EN ISO/IEC 27001:2023, adopción idéntica de la ISO/IEC 27001:2022.
14. AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): auditoría inicial en dos fases, validez de tres años, seguimientos anuales y contenido del certificado.
15. BOE. Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público.