ISO 27001
Software ISO 27001: plataforma, consultora o hacerlo tú
Respuesta corta
No hace falta software para la ISO 27001. Para una startup de 15 personas que solo busca este certificado, dos años de Vanta o Drata (12.000–25.000 $ al año según Vendr para empresas de hasta 50 empleados y un solo marco) suman unos 27.000–52.600 € con la certificadora, frente a 12.600–22.900 € de una consultoría de implantación más la certificadora. El software no hace el análisis de riesgos ni la auditoría interna. Compensa si tienes a alguien dedicado a seguridad y necesitas otro marco, como SOC 2.
El escenario es una startup de 15 personas, una sede y solo ISO 27001. Los dólares pasan a euros al tipo del BCE del 14 de octubre de 2026 (1 € = 1,1195 $). Son rangos habituales del mercado o tarifas del fabricante, no precios de Briblo.
Tipos de software ISO 27001
Un software ISO 27001 es una herramienta para llevar el SGSI: documentos, riesgos, declaración de aplicabilidad y evidencias.
Como referencia general, heyData sitúa las licencias de software ISMS en 2.000–6.000 € el primer año para una pyme (julio de 2026); vende su propia plataforma.
Plataformas de automatización
Conectan el cloud y las herramientas del día a día, ejecutan tests y recogen evidencias. Vanta, Drata y Sprinto publican precios de lista en AWS Marketplace (consultados el 15 de octubre de 2026). Vendr agrega lo que pagaron otros compradores: mediana de 20.000 $ al año para Vanta y 24.934 $ para Drata (Vanta, Drata, febrero de 2026).
Gestores de SGSI (ISMS)
Centran documentación, riesgos y registros, con menos automatización que una plataforma de compliance; algunos, como Sightadel, importan activos y evidencias de tus sistemas. ISO Director (Grupo CFI) publica desde 49 €/mes más una cuota de alta de 397 € para ISO 27001, con un usuario (29 €/mes cada usuario adicional) (consultado el 15 de octubre de 2026). Sightadel publica ISO/IEC 27001 desde 750 €/mes en la edición Basic (mínimo un año). Salvik publica 95 €/mes (950 € al año en pago anual) en el plan Base, con una norma y un usuario, sin IVA. ISOTools no publica tarifas en su web (consultado el 15 de octubre de 2026).
Tarifa plana
StandardOS publica 249 €/mes sin IVA, además del auditor (consultado el 15 de octubre de 2026).
Antes de elegir, conviene comprobar en la demo: exportación de evidencias, declaración de aplicabilidad editable, análisis de riesgos alineado con ISO/IEC 27005 y acceso de solo lectura para el auditor.
Las cuatro vías, en una tabla
Hay cuatro maneras de llegar al certificado. En las cuatro, la certificadora se paga aparte. ISO/IEC 17021-1 prohíbe que la certificadora, y cualquier entidad bajo su control, haga consultoría del sistema (European Accreditation).
| Hacerlo tú | Plataforma | Consultora por horas | Llave en mano | |
|---|---|---|---|---|
| Coste externo, año 1 | 4.200–5.900 €solo certificadora | Licencia + certificadoraen lista, desde 49 €/mes (ISO Director, 1 usuario) o 249 €/mes (StandardOS); Sprinto, 9.500 $/año. Mediana Vendr: Vanta 20.000 $, Drata 24.934 $ | 11.200–20.900 €consultoría 7.000–15.000 € más certificadora | Precio cerrado + certificadoraBriblo no publica cifra |
| Coste externo, año 2 | 1.400–2.000 €seguimiento | Otra vez la licencia + 1.400–2.000 € | 1.400–2.000 €más, si vuelves a contratar horas | 1.400–2.000 €sin renovar un software de compliance |
| Horas internas, año 1 | Cientos de horasheyData: 300–600 h en una pyme típica, sin distinguir vía; hecho en casa, a menudo el doble de tiempo | 100–300 hVendr, para Drata; no es una medición independiente | 200–400 hpyme de 15 a 30 | Depende del contratoBriblo: unas 4 h en la implementación del SGSI |
| Qué automatiza | Nada | Evidencias, tests y plantillassegún el fabricante | No es software | No es software: monta el SGSI |
| Cuándo encaja | Alguien del equipo ya sabe implantar la norma | Hay un perfil de seguridad y más de un marco, o el cloud cambia sin parar | Quieres criterio externo y seguir llevando tú el proyecto | Quieres delegar el SGSI y no pagar una licencia cada año |
La certificadora (4.200–5.900 € y 1.400–2.000 €) es nuestro cálculo para 15 personas, desglosado en cuánto cuesta la ISO 27001 a partir de ISO/IEC 27006-1. Consultoría y horas con consultora: Novaciber, España 2026. Horas: heyData da 300–600 h para una pyme típica sin separar por vía. Las 4 horas son las que indicamos en nuestra web y no incluyen las auditorías. Las licencias, más abajo.
Qué automatiza un software y qué no
Una plataforma de compliance automatiza la recogida de evidencias y los tests que se repiten. No decide los riesgos por ti, no hace la auditoría interna y no emite el certificado.
Lo que sí, según los fabricantes
En sus fichas de AWS Marketplace, consultadas el 15 de octubre de 2026, Vanta, Drata y Sprinto describen conectores, tests automáticos y recogida de evidencias; Sprinto añade evidencias con fecha y plantillas de políticas. Drata vende el marco ISO 27001:2022 aparte de la plataforma. El plan Starter de Sprinto (7.500 $ al año, hasta 100 empleados) incluye la automatización; el primer marco se paga aparte, desde 2.000 $ al año. Ahorra capturas de pantalla, pero no decide sobre el riesgo.
Lo que no hace, y no depende del fabricante
Hay cuatro cosas que ningún software hace por ti. Citamos la ISO/IEC 27001:2022; su versión española idéntica es la UNE-EN ISO/IEC 27001:2023 (AENOR).
- El análisis de riesgos. La cláusula 6.1.2 obliga a la organización a definir y aplicar el proceso. La herramienta guarda el registro; aceptar el riesgo residual corresponde a los propietarios del riesgo (6.1.3). heyData, que vende su plataforma, lo dice en su FAQ: sin conocimientos básicos en el equipo, el análisis de riesgos y la declaración de aplicabilidad siguen siendo propensos a errores, aunque haya software.
- La auditoría interna. La cláusula 9.2.2 pide auditores y un proceso objetivo e imparcial. Un test automático no es esa auditoría. StandardOS, que también vende software, recuerda que la fase 2 muestrea registros: ya tienen que existir la auditoría interna (9.2) y la revisión por la dirección (9.3).
- El certificado. Lo emite una certificadora acreditada, no la plataforma. Para su coste usamos el cálculo de la guía de coste, no las horquillas en dólares de las páginas de software.
- Corregir lo que falla. Si la plataforma detecta que falta el doble factor o una baja de accesos, el cambio lo hace tu equipo.
Coste a dos años
A dos años, para 15 personas que solo certifican ISO 27001, la mediana de Vanta o Drata pesa más que el rango de consultoría de Novaciber para una pyme de 10 a 25 personas, más la certificadora.
Supuestos de la estimación:
- Startup de 15 personas en el alcance, una sede, solo ISO 27001, España.
- La certificadora es la misma en todas las filas: 5.600–7.900 € entre la auditoría inicial y el primer seguimiento. Es nuestro cálculo, no una tarifa oficial.
- Si hay licencia, se paga el año 1 y el año 2. La consultoría de implantación se paga una vez. No metemos un contrato de mantenimiento el segundo año: no hay una tarifa pública única.
- Año 2 al mismo precio. Vendr señala subidas anuales del 5–10 % si no se negocia un tope, y descuentos por contratos plurianuales.
- Dólares a euros: dividir por 1,1195 y redondear esa línea a la centena de euro más cercana, antes de sumar la certificadora. Ejemplo: 20.000 $ × 2 / 1,1195 = 35.730 €, que redondeamos a 35.700 €.
- Sin IVA, sin pentest y sin las herramientas de seguridad que ya tendrías. Las horas van aparte.
| Referencia | Licencia o consultoría | Certificadora | Total externo |
|---|---|---|---|
| Hacerlo tú | 0 € | 5.600–7.900 € | 5.600–7.900 € |
| StandardOS, tarifa que publica | 5.976 €249 €/mes × 24 | 5.600–7.900 € | 11.576–13.876 € |
| Sprinto, lista AWS, desde 9.500 $/año | 17.000 €19.000 $ | 5.600–7.900 € | 22.600–24.900 € |
| Vanta, mediana Vendr, 20.000 $/año | 35.700 €40.000 $ | 5.600–7.900 € | 41.300–43.600 € |
| Drata, mediana Vendr, 24.934 $/año | 44.500 €49.868 $ | 5.600–7.900 € | 50.100–52.400 € |
| Drata, lista AWS, plataforma + ISO 27001 | 58.100 €65.000 $, a 32.500 $/año | 5.600–7.900 € | 63.700–66.000 € |
| Consultora por horas, una vez | 7.000–15.000 €Novaciber, 10–25 personas | 5.600–7.900 € | 12.600–22.900 € |
El total suma el extremo bajo con el bajo y el alto con el alto. Sprinto es un «desde»: 7.500 $ de plataforma hasta 100 empleados más el primer marco desde 2.000 $. StandardOS dice que 249 € al mes son sin IVA y además del auditor.
Las medianas mezclan tamaños y marcos. El suelo de Vanta en Vendr es 7.500 $ (techo 57.207 $, 374 compras, febrero de 2026): a dos años, unos 13.400 € de licencia y 19.000–21.300 € con la certificadora, dentro del rango de la consultora. Vendr no indica el tamaño ni el marco de ese mínimo. Para 1–50 empleados y un solo marco da 12.000–25.000 $ al año, y en otro párrafo 12.000–28.000 $. A dos años, 12.000–25.000 $ más la certificadora son unos 27.000–52.600 €: el bajo ya pasa los 22.900 € de la consultora. Para Drata, Vendr da 12.000–25.000 $ con menos de 50 empleados e infraestructura sencilla; si el primer certificado es SOC 2 tipo II, 12.000–28.000 $. Su horquilla va de 9.415 $ a 68.250 $ (236 compras).
Vanta en AWS parte de 14.000 $ al año para 1–20 empleados, sin decir qué marcos incluye: no es un precio de la ISO 27001. Dos años a 14.000 $ serían unos 30.600–32.900 € con la certificadora. ISMS.online parte de 5.100 $ al año (unos 4.600 €) solo para 1–10 empleados; con 15 no publican el precio. Las 300–600 h de heyData, a menudo el 60–75 % del gasto, a 34,46 € la hora de información y comunicaciones en el segundo trimestre de 2026 (INE, tabla 6036) son 10.300–20.700 € de coste de oportunidad, no el sueldo del CTO. El mantenimiento, heyData lo cifra en 10–20 h al mes.
Cuándo elegir cada una
Plataforma, si alguien del equipo se dedica a la seguridad y necesitas más de un marco. Sin licencia anual si solo necesitas la ISO 27001 y no quieres renovar un software para conservar el sistema.
Hacerlo tú
Encaja si alguien del equipo ya ha implantado la norma y aceptas que su tiempo es el coste grande. La factura externa de dos años es solo la certificadora: 5.600–7.900 €. heyData, que vende software, escribe que un proyecto hecho en casa a menudo tarda el doble. Es una estimación del fabricante, no un estudio.
Plataforma
Encaja con alguien de seguridad que acepte riesgos y hable con el auditor, y con más de un marco (SOC 2 e ISO 27001) o un cloud que cambia tanto que las capturas no escalan. El ahorro está en no repetir evidencias. No encaja si solo quieres la ISO 27001 y nadie opera la herramienta: la licencia se repite el segundo año, y si dejas de pagar, tendrás que exportar las evidencias y llevar el sistema en otra herramienta.
Consultora por horas
Encaja si quieres criterio externo y el proyecto lo sigues llevando tú. El rango de Novaciber (7.000–15.000 €, 10 a 25 personas, madurez media) es el suyo, no una estadística del sector. Las 200–400 horas internas no desaparecen.
Plataforma y consultora a la vez
Según Oxford Infosec, una consultora que trabaja con Drata, es la combinación habitual en una primera certificación sin nadie con experiencia en casa: la plataforma recoge evidencias y la consultora prepara el alcance, el análisis de riesgos y las políticas, que aprueba tu equipo. Sumas las dos facturas: licencia cada año y consultoría una vez.
Llave en mano, sin licencia de software
Encaja cuando otra persona redacta el sistema, hace el análisis de riesgos, forma al equipo y conduce la auditoría interna, sin licencia anual. Briblo está en esta vía: el SGSI se monta con código abierto o con las herramientas que ya usas, sin licencia de software de compliance que renovar cada año. Frente a otras consultoras es más asequible por esa estructura. El precio lo damos en la primera llamada. En la implementación pedimos unas 4 horas, casi todas del CTO, sin las auditorías de la certificadora. Si no superas la auditoría, seguimos sin coste hasta que la superes.
Preguntas frecuentes
¿Hace falta un software para conseguir la ISO 27001?
No. ISO/IEC 27001:2022 no nombra ningún producto. La cláusula 7.5.2 pide un formato y un medio de soporte adecuados, y entre los ejemplos están el papel y el electrónico. El certificado lo emite una certificadora acreditada, no el software.
¿Se puede implantar la ISO 27001 sin software de compliance?
Sí. El sistema se puede llevar en las herramientas que ya usas, si identificas los documentos, controlas las versiones y conservas los registros. Lo que no se puede saltar es el análisis de riesgos, la auditoría interna y la revisión por la dirección.
¿Merece la pena Vanta para una startup?
Si solo vas a por la ISO 27001, tienes unas 15 personas y nadie se dedica a la seguridad, Vendr sitúa contratos de Vanta en 12.000–25.000 dólares al año para empresas de hasta 50 empleados y un solo marco (también pagas el segundo año). A dos años, con la certificadora del escenario, suman unos 27.000–52.600 euros frente a 12.600–22.900 euros de consultoría de implantación más certificadora. No sustituye a la certificadora ni al análisis de riesgos. Compensa con varios marcos, como SOC 2, y alguien que opere la plataforma.
¿Qué diferencia de precio hay entre Vanta y Drata?
No comparamos las dos plataformas en un proyecto, así que no hay ganador de producto. Vendr sitúa la mediana en 20.000 dólares al año para Vanta (374 compras) y en 24.934 dólares para Drata (236 compras); páginas actualizadas en febrero de 2026. En AWS, Drata publica 25.000 dólares de plataforma hasta 100 FTE más 7.500 por el marco ISO 27001. El Essentials de Vanta parte de 14.000 dólares para 1 a 20 empleados, sin decir qué marcos incluye.
¿El software de compliance hace la auditoría interna?
No. La cláusula 9.2.2 exige que la organización elija auditores y haga la auditoría de forma objetiva e imparcial. Los tests automáticos recogen evidencias; no son esa auditoría. El análisis de riesgos tampoco: la cláusula 6.1.2 lo define y lo aplica la organización.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 15 de octubre de 2026, salvo donde se indica otra fecha. Las cifras de plataformas son las que publican ellas o un agregador de contratos, no una tarifa negociada para un cliente concreto.
- ISO. ISO/IEC 27001:2022, requisitos del sistema de gestión de seguridad de la información. La adopción española idéntica es la UNE-EN ISO/IEC 27001:2023 (AENOR).
- ISO. ISO/IEC 27006-1:2024, requisitos para quienes certifican estos sistemas. De aquí salen los días de auditoría del cálculo enlazado.
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de que la certificadora haga consultoría (en inglés).
- BCE. Tipos de cambio de referencia del euro, 14 de octubre de 2026: 1 euro = 1,1195 dólares. Serie EXR.D.USD.EUR.SP00.A.
- INE. Encuesta trimestral de coste laboral, tabla 6036. Información y comunicaciones, coste laboral total por hora, segundo trimestre de 2026: 34,46 €.
- Vendr. Precios de compra de Vanta (mediana 20.000 $, 374 compras) y de Drata (mediana 24.934 $, 236 compras). Ambas páginas dicen estar actualizadas en febrero de 2026.
- AWS Marketplace. Vanta, Drata, Sprinto e ISMS.online. Precios de lista a 12 meses, leídos el 15 de octubre de 2026.
- StandardOS. Lo que cuesta realmente una certificación ISO 27001. Tarifa propia de 249 € al mes sin IVA, además del auditor.
- heyData. ISO 27001 costs 2026, 10 de julio de 2026 (en inglés). Venden una plataforma de cumplimiento.
- Novaciber. Cuánto cuesta la certificación ISO 27001 en España. Rangos de consultoría y de horas internas. No usamos sus días de auditoría: no cuadran con ISO/IEC 27006-1, como explicamos en la guía de coste.
- Grupo CFI. ISO Director, tarifas publicadas de gestor de SGSI (consultado el 15 de octubre de 2026).
- Sightadel. Planes y precios, licencia ISO/IEC 27001 (consultado el 15 de octubre de 2026).
- Salvik. Planes y precios (consultado el 15 de octubre de 2026).
- Oxford Infosec. Vanta, Drata, or a consultant?, 10 de julio de 2026 (en inglés). Es una consultora.