ISO 27001 para la mediana empresa: el punto de partida realista

En la mediana empresa, la pregunta por la ISO 27001 rara vez procede del propio auditor. Procede del cliente: como cuestionario de proveedores, como criterio de licitación, como cláusula contractual. Y llega con más frecuencia desde que la nueva ley del BSI está en vigor, pues la BSIG 2025 (vigente desde el 6 de diciembre de 2025) obliga a las entidades reguladas a trasladar los requisitos de seguridad a su cadena de suministro. Lo que el legislador exige a las grandes empresas acaba convertido en una exigencia de acreditación para sus proveedores, es decir, para muchas medianas empresas que hasta ahora nunca habían necesitado un certificado.

La buena noticia: nadie tiene que saltar de cero a la certificación. El camino sólido es una escalera, y el primer peldaño es bastante más bajo de lo que muchos piensan.

Qué significa hoy la ISO 27001 en concreto

Desde el 31 de octubre de 2025 ha expirado el periodo de transición de la versión antigua: la ISO/IEC 27001:2022 es la única base de certificación válida. Actualmente rige la edición de 2022, incluida la Amendment 1:2024, un pequeño añadido que incorpora en dos pasajes del texto el aspecto «Climate Action», pero que en cuanto a contenido no cambia nada en el marco de seguridad.

El núcleo de la norma es un sistema de gestión de la seguridad de la información (SGSI): responsabilidades definidas, evaluación de riesgos, gestión de medidas, mejora continua. El Anexo A de la versión de 2022 abarca 93 controles en cuatro bloques temáticos:

Organizativos: 37 controles: políticas, roles, relaciones con proveedores, gestión de incidentes.
Personales: 8 controles: desde el onboarding hasta la concienciación.
Físicos: 14 controles: control de acceso, emplazamientos, equipos.
Tecnológicos: 34 controles: desde el control de acceso, pasando por el backup, hasta el registro (logging).

La estructura está alineada con la ISO 27002:2022, que sirve como guía de implementación. Un certificado tiene una validez de tres años, con auditorías de vigilancia anuales y la posterior recertificación. En Alemania, los organismos de certificación son acreditados por la DAkkS, un criterio que debería tener en cuenta al elegir.

La escalera: cuatro peldaños en lugar de un salto

Peldaño 1: determinar el punto de partida: el CyberRisikoCheck

Para empresas más pequeñas existe, por debajo de la ISO 27001, un punto de entrada oficial: el CyberRisikoCheck conforme a la DIN SPEC 27076, en cuyo desarrollo participó el BSI. Se dirige a empresas con menos de 50 empleados y está concebido de forma deliberadamente ligera: una entrevista de una a dos horas, 27 requisitos en seis áreas temáticas y, al final, un informe de resultados con una puntuación y recomendaciones priorizadas, incluidas indicaciones sobre posibles ayudas públicas. El BSI mantiene una lista de proveedores cualificados autorizados a realizar el check. Para programas de ayuda concretos merece la pena consultar la base de datos de subvenciones del Estado federal (Förderdatenbank); las condiciones varían según el land y el programa.

Para empresas por encima de este tamaño, un análisis de brechas (gap analysis) estructurado frente al Anexo A cumple la misma función: muestra dónde se encuentra usted antes de planificar hacia dónde quiere ir. Que esta mirada sobria es necesaria lo demuestra de pasada el informe de situación del BSI de 2025: las pymes cumplían de media alrededor del 56 por ciento de los requisitos básicos del CyberRisikoCheck, con una autoevaluación mayoritariamente positiva (nuestro análisis del informe de situación). La brecha entre la autoimagen y el hallazgo es precisamente la razón para comenzar con una medición.

Peldaño 2: cerrar los fundamentos

De casi todo análisis inicial se desprenden las mismas prioridades: autenticación multifactor de forma generalizada, backups con restauración demostrable, gestión de parches rigurosa. Estas medidas reducen de inmediato el riesgo real, con independencia de que alguna vez venga un auditor a la casa. Quien las omite y escribe directamente documentos para un SGSI, construye fachada en lugar de cimientos.

Peldaño 3: un SGSI con un alcance limpio

Solo ahora comienza el verdadero proyecto de SGSI: definir el alcance, evaluar los riesgos, seleccionar o excluir de forma justificada las medidas del Anexo A, documentar los procesos y, algo decisivo, vivirlos. El alcance (scope) es aquí la mayor palanca: un ámbito de aplicación recortado con criterio, por ejemplo en torno a los sistemas y emplazamientos que realmente afectan a sus clientes, mantiene el proyecto manejable. Sobre el esfuerzo conviene ser honesto: un SGSI no surge de pasada, requiere durante un periodo prolongado atención de la dirección y capacidad interna. Solo se puede cuantificar con seriedad tras el análisis de brechas; las duraciones de proyecto genéricas de los folletos comerciales no ayudan en la planificación.

Peldaño 4: certificar cuando haya un motivo

El certificado en sí es el último peldaño, y merece la pena cuando un cliente, una licitación o un marco regulatorio exigen la acreditación formal. Un SGSI vivido sin certificado es valioso; un certificado sin un SGSI vivido salta a la vista, a más tardar, en la auditoría de vigilancia. Quien ha recorrido en serio los peldaños uno a tres convierte la auditoría de certificación en un cierre planificable en lugar de un esfuerzo titánico.

El segundo camino: IT-Grundschutz, y lo que llega en 2026/2027

Junto a la certificación ISO nativa existe en Alemania la vía del BSI: el «certificado ISO 27001 sobre la base de IT-Grundschutz» acredita la conformidad ISO a través de la metodología del BSI. Está extendida sobre todo allí donde las administraciones públicas o los clientes cercanos a ellas lo exigen explícitamente.

Aquí merece la pena mirar hacia adelante: el BSI está modernizando su metodología bajo el nombre de IT-Grundschutz++. La fase piloto se desarrolla del 1 de abril al 30 de septiembre de 2026, la publicación está anunciada para el 27 de octubre de 2026 en la it-sa, y el nuevo enfoque debería ser certificable a partir del 1 de enero de 2027. El IT-Grundschutz actual seguirá siendo válido en paralelo. Para la práctica esto significa: quien empiece hoy, empieza sobre una base asegurada, y debería tener presente la transición en la planificación plurianual.

Conclusión: empezar poco, pero empezar

La ISO 27001 no es para la mediana empresa un fin en sí mismo ni un misterio insondable, pero tampoco un proyecto que se le deje a un becario con una plantilla de documentos. El camino realista pasa por una determinación honesta del punto de partida, unos fundamentos cerrados y un alcance recortado con criterio, hasta llegar al certificado cuando el mercado lo exija. Cada peldaño tiene su propio valor: menos riesgo, mejores respuestas a los cuestionarios de clientes, acreditaciones de compliance sólidas y la certeza de que la autoimagen de la propia seguridad resiste un examen.

Cómo apoya sector7

Como casa de gestión propia, acompañamos a las medianas empresas en cada peldaño de esta escalera: desde la determinación del punto de partida, pasando por la implementación de las medidas básicas, hasta la consultoría de compliance sobre ISO 27001, NIS-2, DORA y TISAX. La parte técnica —desde la experiencia certificada en redes y seguridad (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), pasando por nuestra práctica de backup con Veeam, hasta la supervisión automatizada 24/7 a través de nuestro NOC— la realizamos nosotros mismos. Si así lo desea, con una tarifa plana mensual previsible, para que el camino hacia el SGSI siga siendo presupuestable.

Este artículo es una valoración técnica y no sustituye el asesoramiento jurídico en el caso concreto.