La certificación ISO 27001 demuestra que su empresa gestiona la seguridad de la información con un sistema auditado por un tercero independiente. En Colombia cada vez más clientes, entidades públicas y licitaciones la piden como requisito.
Respuesta rápida
Certificarse en ISO/IEC 27001:2022 toma entre 6 y 12 meses (en promedio 8). Se hace en 7 fases: diagnóstico, alcance, riesgos, implementación, operación, auditoría interna y auditoría de certificación. Certifica un organismo acreditado, como SGS o ICONTEC, y el certificado dura 3 años con auditorías de seguimiento anuales.
Las 7 fases de la certificación
- 1
Diagnóstico de brechas
Mes 1Se compara lo que la empresa tiene hoy contra los requisitos de la norma y los 93 controles del Anexo A. Sale una lista priorizada de lo que falta.
- 2
Alcance y contexto
Mes 1 a 2Se define qué se certifica: toda la empresa o un proceso o servicio. Un alcance acotado reduce tiempo y costo.
- 3
Riesgos y Declaración de Aplicabilidad
Mes 2 a 3Se identifican y evalúan los riesgos de seguridad, se decide cómo tratarlos y se documenta qué controles aplican y por qué (la Declaración de Aplicabilidad).
- 4
Implementación de controles
Mes 3 a 6Políticas, procedimientos y controles técnicos: accesos, copias de seguridad, gestión de vulnerabilidades, proveedores, concienciación y respuesta a incidentes.
- 5
Operación y evidencias
Mes 5 a 7El sistema debe funcionar y dejar registros. El auditor no certifica papeles, certifica un sistema que opera.
- 6
Auditoría interna y revisión por la dirección
Mes 7Una auditoría interna independiente revisa todo el SGSI, y la alta dirección analiza los resultados y toma decisiones. Ambas son obligatorias antes de la certificación.
- 7
Auditoría de certificación
Mes 8El organismo certificador hace la etapa 1 (documental) y la etapa 2 (en la práctica). Si todo está bien, emite el certificado.
Tiempos de referencia para una empresa mediana con un plazo de 8 meses. Las fases 4 y 5 se solapan.
¿Qué acelera o retrasa el proceso?
Lo acelera
- • Un alcance acotado (un proceso o servicio)
- • Políticas y controles técnicos que ya existen
- • Un responsable interno con tiempo asignado
- • Apoyo visible de la gerencia
Lo retrasa
- • Varias sedes o alcance de toda la empresa
- • Empezar desde cero, sin análisis de riesgos
- • Rotación del equipo durante el proyecto
- • Proveedores críticos sin acuerdos de seguridad
¿Quiere un estimado para su caso? Responda 5 preguntas en nuestra calculadora de costo y tiempo de ISO 27001.
Documentos que exige la norma
ISO/IEC 27001:2022 pide información documentada en estos puntos. Además, cada control del Anexo A que aplique necesita sus propias evidencias.
| Cláusula | Documento o registro |
|---|---|
| 4.3 | Alcance del SGSI |
| 5.2 | Política de seguridad de la información |
| 6.1.2 | Proceso de evaluación de riesgos |
| 6.1.3 | Proceso de tratamiento de riesgos y Declaración de Aplicabilidad |
| 6.2 | Objetivos de seguridad de la información |
| 7.2 | Evidencia de competencia del personal |
| 8.2 y 8.3 | Resultados de la evaluación y del tratamiento de riesgos |
| 9.1 | Resultados del seguimiento y la medición |
| 9.2 | Programa y resultados de auditoría interna |
| 9.3 | Resultados de la revisión por la dirección |
| 10.2 | No conformidades y acciones correctivas |
¿Quién certifica ISO 27001 en Colombia?
Un error común es pensar que la consultora certifica. La consultora prepara a la empresa; el certificado lo emite un organismo certificador acreditado, como SGS, ICONTEC o Bureau Veritas, entre otros.
Antes de contratar, verifique que el certificador esté acreditado para ISO/IEC 27001, ante ONAC en Colombia o ante un acreditador internacional, y que el certificado se pueda consultar en IAF CertSearch. Un certificado de un organismo no acreditado puede no ser aceptado en licitaciones ni por clientes internacionales.
Importante: la transición a la versión 2022 terminó el 31 de octubre de 2025. Si un proveedor le muestra un certificado ISO 27001:2013, ya no está vigente.
Después del certificado
El certificado dura 3 años. Cada año hay una auditoría de seguimiento y, al final del tercer año, una de recertificación. Por eso el SGSI no termina con la auditoría: hay que mantener el análisis de riesgos, las auditorías internas, la revisión por la dirección y las mejoras.
4 errores que alargan la certificación
Copiar plantillas
Políticas genéricas que nadie cumple. El auditor lo detecta en las entrevistas.
Alcance demasiado amplio
Querer certificar toda la empresa el primer año alarga el proyecto. Empiece por el proceso que le piden sus clientes.
Dejar todo en manos de TI
ISO 27001 es un sistema de gestión: necesita a la dirección, a recursos humanos, a jurídica y a compras.
Llegar a la auditoría sin evidencias
Sin registros de operación de varios meses, el auditor no puede verificar que el sistema funciona.
Si su empresa tiene sistemas expuestos a internet, una prueba de penetración antes de la auditoría le da evidencia sólida para los controles de gestión de vulnerabilidades.
Fuentes
Preguntas frecuentes
¿Cuánto tiempo toma certificarse en ISO 27001 en Colombia?
Entre 6 y 12 meses, con un promedio de 8 meses. Depende del tamaño de la empresa, del alcance que quiera certificar y de lo que ya tenga implementado. Una empresa que ya tiene políticas, análisis de riesgos y controles documentados puede tardar menos.
¿Quién certifica ISO 27001 en Colombia?
La certificación la otorga un organismo certificador acreditado, como SGS, ICONTEC o Bureau Veritas, entre otros. La consultora no certifica: prepara a la empresa. Antes de contratar, verifique que el certificador esté acreditado para ISO/IEC 27001, por ejemplo ante ONAC en Colombia o en la base de datos IAF CertSearch.
¿Qué pasa en la auditoría de certificación?
Tiene dos etapas. En la etapa 1 el auditor revisa la documentación del SGSI y confirma si la empresa está lista. En la etapa 2 verifica en la práctica que los controles funcionan, con entrevistas, registros y evidencias. Si hay no conformidades, la empresa presenta un plan de acción antes de recibir el certificado.
¿Cuánto dura el certificado ISO 27001?
Tres años. Durante ese tiempo hay auditorías de seguimiento, normalmente una por año, y al final del tercer año una auditoría de recertificación.
¿Todavía sirve un certificado ISO 27001:2013?
No. El periodo de transición a la versión 2022 terminó el 31 de octubre de 2025. Los certificados vigentes hoy deben estar en ISO/IEC 27001:2022.
¿Cuánto cuesta la certificación ISO 27001 en Colombia?
Como referencia, la consultoría cuesta entre 25 y 120 millones de pesos según el tamaño de la empresa. La auditoría del organismo certificador se cotiza aparte. Puede calcular un rango para su empresa con la calculadora de Star Solutions TI.
Certifíquese con una empresa que ya lo logró
Star Solutions TI tiene su propio sistema de gestión certificado en ISO/IEC 27001:2022 por SGS, y ha acompañado a más de 50 empresas en su camino a la certificación. Empiece con un diagnóstico de brechas sin costo.