La ISO/IEC 27001 se ha convertido en un requisito comercial. No la pide un auditor: la pide el cliente grande que te va a contratar, o el pliego al que te quieres presentar. Esa es, casi siempre, la razón honesta para certificarse.
Qué es y qué no es
No es una lista de medidas técnicas que se instalan. Es un sistema de gestión: una forma de identificar qué información tienes, qué riesgos corre, qué haces al respecto y cómo compruebas que se sigue haciendo. La parte técnica es consecuencia, no el punto de partida.
Lo que implica en la práctica
- Definir el alcance: qué parte de la empresa se certifica. Empezar por todo suele ser un error.
- Un análisis de riesgos real, no copiado de una plantilla.
- Políticas y procedimientos que se vayan a cumplir. Los que no se cumplen se detectan en la primera auditoría.
- Implantar los controles que salgan del análisis: accesos, copias, registro de eventos, gestión de proveedores, formación.
- Auditoría interna, revisión por dirección y auditoría de certificación con una entidad acreditada.
- Y después: auditorías de seguimiento anuales. Un sistema en un cajón se cae solo.
ISO 27001, ENS y NIS2: cómo se relacionan
- ISO 27001 es voluntaria y sirve como argumento comercial en cualquier sector.
- ENS (Esquema Nacional de Seguridad) es obligatorio para trabajar con la Administración española.
- NIS2 es la directiva europea, y alcanza a más empresas de lo que parece: a muchas les aplica por ser proveedoras de otra que sí está dentro.
Comparten buena parte del trabajo. Si sabes que vas a necesitar dos, conviene plantearlas juntas desde el principio en lugar de hacer el mismo esfuerzo dos veces.
La pregunta útil no es «¿me certifico?», sino «¿cuánto negocio pierdo por no estar certificado?». Con ese número la decisión se toma sola.
