ISO 27001 y SOC 2
ISO 27001 vs SOC 2: diferencias, cuál necesitas y cuál hacer primero
Respuesta corta
La ISO/IEC 27001:2022 es una norma internacional con la que una certificadora acreditada certifica tu sistema de gestión de la seguridad de la información (SGSI): el certificado dura tres años, con auditorías de seguimiento anuales. El SOC 2 no es un certificado, sino un informe, con el marco del AICPA, en el que una firma CPA con licencia opina sobre tus controles: el Tipo 1, a una fecha, y el Tipo 2, durante un periodo. Lo llamamos la regla del contrato: haz primero la que te pide por su nombre un contrato o un cliente con fecha; sin fecha, la ISO 27001 si vendes en Europa y el SOC 2 si tus compradores son de EE. UU. Mucho trabajo se reaprovecha (el AICPA publica un mapeo oficial, aunque sobre la versión de 2013), pero ninguno sustituye al otro.
Esta guía es para el CTO o el fundador de un SaaS español que vende en Europa y empieza a vender, o quiere vender, a empresas de EE. UU. Comparamos la ISO/IEC 27001:2022, con su enmienda Amd 1:2024, con el SOC 2 tal como lo define la guía SOC 2 del AICPA (AAG-SOP, edición de 2022). Los datos son a 26 de octubre de 2026, salvo donde se indica otra fecha.
¿Qué diferencia hay entre la ISO 27001 y el SOC 2?
La diferencia de fondo es que la ISO 27001 te da un certificado de que tu sistema de gestión cumple una norma internacional, y el SOC 2 te da un informe en el que un auditor opina sobre el diseño de tus controles y, en el Tipo 2, sobre si han funcionado durante un periodo.
Dos términos que usa la tabla: el AICPA es el American Institute of Certified Public Accountants, la asociación de contables públicos de EE. UU. que define el SOC 2, y una firma CPA es una firma de esos contables públicos certificados (Certified Public Accountants), que es quien firma el informe.
| Atributo | ISO/IEC 27001:2022 | SOC 2 |
|---|---|---|
| Qué es | Norma internacional y voluntaria que especifica los requisitos de un sistema de gestión de la seguridad de la información (SGSI). | Examen de los controles de una organización de servicios relevantes para la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad o la privacidad. |
| Quién lo publica | ISO e IEC: edición 3, de 25 de octubre de 2022, con la enmienda Amd 1:2024. | El AICPA, con su guía SOC 2 de 2022 y los Trust Services Criteria (TSC) de 2017, con los puntos de enfoque revisados en 2022. |
| Qué obtienes | Un certificado del SGSI sobre el alcance que defines. | Un informe de atestación con la opinión del auditor; el SOC 2 no es un certificado. |
| Quién lo emite | Una certificadora acreditada (en España, normalmente por ENAC) conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1. | Una firma CPA con licencia e inscrita en el programa de peer review (revisión entre pares) del AICPA. |
| Qué se evalúa | El SGSI entero (cláusulas 4 a 10) y la declaración de aplicabilidad (SoA) sobre los 93 controles del anexo A, que se eligen con el análisis de riesgos. | La descripción del sistema (criterios DC 200) y los controles frente a los TSC: Seguridad (criterios comunes CC1 a CC9) entra siempre, y el resto según el servicio. |
| Variantes | Una sola: el certificado ISO 27001. | Tipo 1: descripción y diseño de los controles. Tipo 2: además, su eficacia operativa, con las pruebas del auditor y sus resultados. |
| Periodo que cubre | El estado del SGSI en la auditoría de certificación, que revisa registros de funcionamiento como la auditoría interna y la revisión por la dirección. | Tipo 1: una fecha concreta. Tipo 2: un periodo, sin un mínimo fijado por el AICPA. |
| Resultado | La certificadora concede el certificado o no; las no conformidades se corrigen con un plan que ella evalúa antes de decidir. | Opinión no modificada («limpia»), con salvedades o desfavorable, o denegación de opinión. Un Tipo 2 con opinión limpia puede incluir desviaciones en las pruebas. |
| Validez y renovación | Certificado de tres años, con auditorías de seguimiento anuales y recertificación. | El informe cubre una fecha o un periodo y no caduca como un certificado; el AICPA insiste en repetir el examen cada año. |
| Quién puede verlo | Cualquiera: el certificado se puede enseñar en público, y los certificados acreditados se pueden buscar en IAF CertSearch. | Uso restringido a quien conoce lo suficiente el servicio (clientes, clientes potenciales, socios), por eso se suele compartir bajo acuerdo de confidencialidad (NDA). El SOC 3 es de uso general. |
| Dónde se pide más | En Europa y en clientes enterprise de todo el mundo, según el consenso del mercado. | En compradores e inversores de EE. UU., según el consenso del mercado. |
Fuentes: ISO/IEC 27001:2022, ENAC, reglamento de certificación de AENOR, IAF CertSearch, AICPA, guía AAG-SOP 2022 (párrafos 1.04 a 1.13, 1.73 a 1.75, 2.54 y capítulo 4), Trust Services Criteria, criterios DC 200 y Journal of Accountancy (30 de abril de 2026). La fila «Dónde se pide más» resume el consenso del mercado que recogen consultoras como Privalex (27 de mayo de 2026); no es una estadística.
¿SOC 2 es una certificación?
No: el SOC 2 es un informe de atestación en el que una firma CPA con licencia da su opinión sobre tus controles, y el propio AICPA lo recuerda con estas palabras: «SOC 2 is not a certification» (Journal of Accountancy, podcast del AICPA, 30 de abril de 2026). Lo que mucha gente busca como «certificado SOC 2» o «certificación SOC 2» es ese informe.
En ese mismo podcast, el AICPA advierte contra quien vende una «SOC certification» rápida y barata, y recuerda que firmar un informe SOC sin licencia o sin estar inscrito en peer review viola la ley estatal en EE. UU. En mayo de 2026, el AICPA dio pautas a sus peer reviewers para detectar plazos poco razonables e informes idénticos entre clientes (Journal of Accountancy, mayo de 2026). Antes de contratar, comprueba la licencia de la firma CPA y su inscripción en peer review.
Qué cubre cada tipo de informe y qué criterios entran lo tienes en el informe SOC 2 Tipo I y Tipo II para SaaS.
¿Tipo 1 o Tipo 2, si el cliente solo dice «SOC 2»?
El que acepte tu cliente, así que pregúntaselo antes de empezar. El Tipo 1 dice si tus controles estaban bien diseñados en una fecha concreta; el Tipo 2 añade si funcionaron durante un periodo e incluye las pruebas del auditor y sus resultados (AAG-SOP, párrafo 1.05). Por eso un Tipo 1 puede estar listo antes: el Tipo 2 necesita que tus controles hayan funcionado durante todo el periodo que cubre.
¿Cuál necesitas según dónde vendes y quién te lo pide?
Necesitas la que te pide por su nombre un contrato, un RFP o un cuestionario de seguridad con fecha. Lo llamamos la regla del contrato: si la petición tiene fecha, manda la petición; si no la tiene, manda dónde están tus compradores.
| Quién te lo pide | Qué haces primero | Por qué |
|---|---|---|
| Cliente de EE. UU. que pide el SOC 2 en el contrato, el RFP o el cuestionario | El SOC 2, del tipo y con los criterios que pida el cliente. | Es el informe que va a revisar su equipo de seguridad; un certificado ISO 27001 no es lo que ha pedido, salvo que el cliente lo acepte como alternativa. |
| Cliente europeo o empresa global que pide un certificado | La ISO 27001. | Pide un certificado de una certificadora acreditada, y un informe SOC 2 no es un certificado. |
| Clientes en Europa y en EE. UU. a la vez | Primero, la que tenga fecha en un contrato; si ninguna la tiene, la de los clientes que tienes en negociación. | Un solo conjunto de controles sirve de base para las dos; lo que cambia es el auditor y el entregable. |
| Inversor de EE. UU. en una due diligence | Lo que pida por escrito; si no lo concreta, pregúntale si le vale la ISO 27001. | Según el consenso del mercado, el SOC 2 es lo que más piden los compradores y los inversores de EE. UU.; manda lo que diga su lista de due diligence. |
| Administración pública española | El ENS, en la categoría que indique el pliego. | Ni la ISO 27001 ni el SOC 2 sustituyen al Esquema Nacional de Seguridad, que se aplica a los proveedores del sector público (artículo 2.3 del Real Decreto 311/2022). |
La ISO 27001 es la referencia más extendida fuera de EE. UU.: la ISO Survey 2024, publicada en septiembre de 2025 con datos de IAF CertSearch, contó 96.709 certificados ISO/IEC 27001 válidos en el mundo y 2.425 en España, que está entre los diez países con más certificados (resumen de la ISO Survey 2024).
Hay quien, en foros de compliance, dice que si volviera a empezar haría primero el SOC 2. Tiene sentido cuando tu primer gran contrato es con una empresa de EE. UU. que pide el SOC 2 por su nombre, y es la misma regla del contrato: manda la petición con fecha, no la norma.
Antes de decidir, pregunta a tu cliente qué acepta exactamente: Tipo 1 o Tipo 2, qué criterios además de Seguridad, qué periodo y si aceptaría la ISO 27001 como alternativa. Cómo leer esa petición y qué contestarle esta semana lo tienes en qué hacer cuando tu cliente te pide la ISO 27001, y si además vendes a la administración, en ENS vs ISO 27001: diferencias y cuál necesitas.
Si tienes la ISO 27001, ¿tienes el SOC 2? ¿Y al revés?
No en ninguno de los dos sentidos: un certificado ISO 27001 no es un informe SOC 2, y un informe SOC 2 no te da el certificado ISO 27001. Lo que sí hay es mucho trabajo compartido.
El AICPA publica un mapeo oficial de los Trust Services Criteria de 2017 a la ISO 27001, de 4 de mayo de 2018 y con actualizaciones de marzo de 2020, pero está hecho sobre la ISO/IEC 27001:2013. A 26 de octubre de 2026, la página de descarga del AICPA sigue ofreciendo ese mapeo, y la firma CPA Moore Colson escribía el 16 de diciembre de 2024: «There is currently no published mapping to the 27001:2022» (no hay ningún mapeo publicado a la versión 2022). Como la transición a la versión 2022 terminó el 31 de octubre de 2025 (IAF MD 26), hay que rehacer el cruce con los 93 controles de la ISO/IEC 27001:2022, y no hay un porcentaje fiable de controles que «ya tengas».
- Lo que se reaprovecha en los dos sentidos: el análisis de riesgos, las políticas, la gestión de accesos, la gestión de proveedores, la gestión de incidentes, la continuidad y la auditoría interna.
- Lo que te falta para el SOC 2 si ya tienes la ISO 27001: la descripción del sistema según los criterios DC 200, con los controles que esperas de tus clientes y cómo tratas a subproveedores como tu proveedor cloud (incluidos en el informe o excluidos); elegir qué criterios entran además de Seguridad; en el Tipo 2, evidencias de que los controles funcionan durante todo el periodo; y una firma CPA que haga el examen y firme el informe.
- Lo que te falta para la ISO 27001 si ya tienes el SOC 2: el SGSI como sistema de gestión (cláusulas 4 a 10: contexto, alcance, objetivos, auditoría interna, revisión por la dirección y mejora continua), la SoA sobre los 93 controles del anexo A y la auditoría de una certificadora acreditada.
¿Cuál haces primero, la ISO 27001 o el SOC 2?
Primero, la que te pida por su nombre un contrato o un cliente con fecha. Si ninguna la tiene, aplica estos criterios en orden:
- La exigencia con fecha. Un contrato con plazo para presentar el informe SOC 2 o el certificado ISO 27001 marca el orden. Para ver si llegas a esa fecha con la ISO 27001, las fases y su duración típica están en cuánto se tarda en conseguir la ISO 27001.
- Las ventas que desbloquea. Sin fecha, empieza por la que piden los clientes que tienes en negociación: en Europa, la ISO 27001; en EE. UU., el SOC 2. Es también el orden que recogen consultoras españolas como Privalex cuando la prioridad es Europa.
- Un solo conjunto de controles. Si vas a necesitar las dos, diseña desde el principio los controles con su referencia al anexo A y a los Trust Services Criteria, para no rehacer la base cuando llegue la segunda.
- El calendario del Tipo 2. El periodo de un Tipo 2 empieza cuando los controles ya funcionan. El AICPA no fija un mínimo, pero su guía pone como ejemplo que menos de dos meses probablemente no da evidencia suficiente y que nueve meses sí puede darla (AAG-SOP, párrafo 2.54). Los periodos de 3 a 12 meses que se leen a menudo son práctica de mercado, no un requisito del AICPA.
¿Se pueden preparar y auditar la ISO 27001 y el SOC 2 a la vez?
Sí: se pueden preparar con un solo programa de seguridad y auditar con un calendario coordinado, pero son dos encargos distintos con dos entregables: el certificado lo emite una certificadora acreditada y el informe, una firma CPA. Una misma firma puede hacer los dos si tiene las dos habilitaciones, y la firma CPA Linford & Co explica que combinar la ISO 27001 en el encargo SOC 2 influye en el precio.
En la práctica, hacer las dos a la vez significa:
- Un solo análisis de riesgos que cubra el alcance del SGSI y el sistema que describe el informe SOC 2.
- Un inventario de controles en el que cada control apunta a su control del anexo A en la SoA y a su criterio de los Trust Services Criteria.
- Las mismas evidencias para las dos auditorías: registros de accesos, revisiones, formación, incidentes y proveedores.
- Un calendario que encaje la auditoría interna y la revisión por la dirección antes de la auditoría de certificación, y el periodo del Tipo 2 cuando los controles ya funcionan.
Quien te ayuda a prepararte no puede auditarte: la ISO/IEC 17021-1 prohíbe a la certificadora hacer consultoría del sistema que certifica (European Accreditation), y la guía del AICPA exige que la firma CPA sea independiente de hecho y en apariencia y que no acabe evaluando su propio trabajo (AAG-SOP, párrafos 1.95 y 2.06).
¿Cuánto cuesta la ISO 27001 y cuánto el SOC 2?
Según Vanta y Drata, dos empresas de software de compliance, los honorarios del auditor por un SOC 2 van de unos 7.500 a 50.000 $, según el tipo de informe y el tamaño de la empresa, y con las Big Four, en grandes empresas, pasan de 100.000 $; el primer SOC 2 con todo incluido cuesta de 10.000 a 80.000 $ o más. Son rangos publicados por terceros a octubre de 2026, en dólares estadounidenses; no son precios de Briblo:
- Vanta, software de compliance: 10.000–50.000 $ de honorarios del auditor; con las Big Four, en grandes empresas, «low six figures and up» (de 100.000 $ en adelante); y 10.000–80.000 $ o más por el primer SOC 2 con todo incluido.
- Drata, software de compliance: 7.500–15.000 $ por un Tipo 1 y 12.000–20.000 $ por un Tipo 2 en una empresa pequeña o mediana (30.000–100.000 $ o más en una grande), y 25.000–50.000 $ el primer año con todo incluido en la mayoría de startups.
Las dos fuentes venden software de compliance; tenlo en cuenta al leer sus rangos y, si te planteas una plataforma, compara las vías en software ISO 27001: plataforma, consultora o hacerlo tú. El coste de la ISO 27001 depende sobre todo de las personas que entran en el alcance, y los rangos de mercado por tamaño están en cuánto cuesta la ISO 27001 en España en 2026.
Preguntas frecuentes
¿Vale el SOC 2 en Europa?
Sí, si tu cliente lo acepta: lo que vale es lo que pida el comprador. Si un cliente europeo te pide un certificado ISO 27001, un informe SOC 2 no es un certificado, así que pregúntale antes si lo acepta.
¿Vale la ISO 27001 a un cliente de EE. UU.?
No siempre. Si su contrato, su RFP o su cuestionario piden el informe SOC 2 por su nombre, el certificado ISO 27001 no lo sustituye, aunque puedes preguntarle si lo acepta como alternativa. El certificado acreditado se reconoce internacionalmente a través de los acuerdos de IAF.
¿Puedo publicar mi informe SOC 2 en la web?
No. El informe SOC 2 es de uso restringido a quien conoce lo suficiente tu servicio, como clientes y clientes potenciales, y se suele compartir bajo acuerdo de confidencialidad (NDA). El que se puede publicar es el SOC 3, que es de uso general.
¿Cuánto dura el periodo de un SOC 2 Tipo 2?
El AICPA no fija un mínimo. Su guía pone como ejemplo que un periodo de menos de dos meses probablemente no da evidencia suficiente y que uno de nueve meses sí puede darla (AAG-SOP 2022, párrafo 2.54); los periodos de 3 a 12 meses que se leen a menudo son práctica de mercado, no un requisito del AICPA.
¿Cada cuánto se renueva cada uno?
La ISO 27001, cada tres años, con auditorías de seguimiento anuales dentro del ciclo. El informe SOC 2 no caduca como un certificado, porque cubre una fecha o un periodo, pero el AICPA insiste en repetir el examen cada año.
¿Hay un mapeo oficial entre el SOC 2 y la ISO 27001?
Sí, pero sobre la versión de 2013: el AICPA publicó el 4 de mayo de 2018 un mapeo de los Trust Services Criteria de 2017 a la ISO/IEC 27001:2013, con actualizaciones de marzo de 2020. Con la ISO/IEC 27001:2022, que tiene 93 controles en el anexo A, hay que rehacer el cruce.
¿Puede la misma empresa ayudarme a prepararlos y auditarme?
No. La ISO/IEC 17021-1 prohíbe a la certificadora hacer consultoría del sistema que certifica, y el código de conducta del AICPA exige que la firma CPA que firma el informe SOC 2 sea independiente. Quien te ayuda a prepararte no puede ser quien te audita.
¿Qué es el SOC 3?
Es un informe con el marco del AICPA sobre los mismos Trust Services Criteria que el SOC 2, pero de uso general: puedes publicarlo. A diferencia del SOC 2, el informe SOC 3 no incluye la descripción del sistema ni la descripción de las pruebas del auditor y sus resultados, que es lo que revisa el equipo de seguridad de un cliente.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 26 de octubre de 2026.
- ISO. ISO/IEC 27001:2022, edición 3, publicada el 25 de octubre de 2022, con la enmienda ISO/IEC 27001:2022/Amd 1:2024: cláusulas 4 a 10, 6.1.3 d) y anexo A, con 93 controles (en inglés).
- ENAC. Certificación de sistemas de gestión: acreditación conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1.
- AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): validez de tres años, seguimientos anuales, renovación y tratamiento de las no conformidades.
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de que la certificadora haga consultoría (en inglés).
- IAF. IAF CertSearch, base de datos de certificados acreditados (en inglés).
- IAF. IAF MD 26, requisitos de transición a ISO/IEC 27001:2022, hasta el 31 de octubre de 2025 (PDF, en inglés).
- ISBL. Resumen de la ISO Survey 2024 (ISO, septiembre de 2025, con datos de IAF CertSearch), PDF: certificados ISO/IEC 27001 válidos en el mundo y en España.
- AICPA & CIMA. System and Organization Controls: SOC suite of services (en inglés).
- AICPA. SOC 2® Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy (AAG-SOP, 2022), PDF: párrafos 1.04 a 1.13 (tipos de examen y usuarios del informe), 1.73 a 1.75 (SOC 3), 1.95 y 2.06 (independencia), 2.54 (periodo del Tipo 2) y capítulo 4 (opinión) (en inglés).
- AICPA. 2017 Trust Services Criteria (With Revised Points of Focus – 2022) (en inglés).
- AICPA. 2018 SOC 2® Description Criteria (DC 200) (en inglés).
- AICPA. Mapping: 2017 Trust Services Criteria to ISO 27001, 4 de mayo de 2018, con actualizaciones de marzo de 2020, sobre la ISO/IEC 27001:2013 (en inglés).
- Journal of Accountancy (AICPA). The risks of quick‑turn SOC engagements and what CPAs should know, podcast, 30 de abril de 2026 (en inglés).
- Journal of Accountancy. AICPA guides peer reviewers to address SOC 2 risks, mayo de 2026 (en inglés).
- Moore Colson. Why your organization should consider combining your ISO and SOC audits, 16 de diciembre de 2024: no hay mapeo publicado a la ISO/IEC 27001:2022 (en inglés).
- Linford & Co. SOC 2 audits, combinación de la ISO 27001 en el encargo SOC 2 (en inglés).
- Vanta. SOC 2 audit cost (en inglés).
- Drata. SOC 2 cost (en inglés).
- Privalex. ISO 27001 vs SOC 2 para empresas de la UE, 27 de mayo de 2026: consenso del mercado sobre dónde se pide cada uno.
- BOE. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, artículo 2.3.