Precio de la certificación ISO 27001 en España: qué lo determina y cómo ahorrar

Por qué no existe un precio estándar de ISO 27001

La certificación ISO/IEC 27001:2022 la emite una entidad de certificación independiente, normalmente acreditada en España por ENAC o por otro organismo de acreditación firmante de los acuerdos europeos. Esa entidad cobra principalmente por días de auditor, y el número de días no lo decide libremente: se calcula según reglas recogidas en ISO/IEC 27006-1, que relacionan el tiempo de auditoría con el número de personas efectivas dentro del alcance y con la complejidad del sistema.

A ese coste externo se suma algo que muchas empresas olvidan al comparar: el esfuerzo interno para diseñar e implantar el sistema de gestión, las posibles mejoras técnicas y, si se contrata, el apoyo de una consultora. En muchas pymes el coste interno de horas de personal acaba siendo mayor que la factura de la auditoría. Por eso tiene más sentido hablar de coste total del proyecto que de precio de la certificación.

Los factores que más influyen en el presupuesto

Antes de pedir ofertas conviene tener claras las respuestas a estas preguntas, porque son exactamente las que hará la entidad de certificación en su formulario de solicitud.

• Alcance: qué procesos, servicios, ubicaciones y sistemas entran en el SGSI. Un alcance limitado a una plataforma SaaS no cuesta lo mismo que toda la empresa.
• Personal efectivo en el alcance: incluye empleados, personal subcontratado y a tiempo parcial que trabaja dentro del alcance, ponderado según su dedicación.
• Número de sedes: cada ubicación física puede requerir visita o muestreo, aunque el teletrabajo también se tiene en cuenta.
• Complejidad técnica: número de sistemas críticos, desarrollo propio de software, uso de proveedores cloud, tratamiento de datos sensibles, sector regulado.
• Madurez de partida: si ya tienes políticas, inventario de activos, análisis de riesgos y gestión de proveedores, el proyecto se acorta.
• Integración con otros sistemas: si ya tienes ISO 9001 o el Esquema Nacional de Seguridad, algunas auditorías pueden combinarse y reducir días.
• Idioma y ubicación del auditor: auditorías en inglés o en sedes fuera de la península pueden implicar costes de desplazamiento adicionales.

Las fases del ciclo de certificación y su coste

El certificado ISO 27001 tiene una validez de tres años, y el presupuesto debe contemplar el ciclo completo, no solo el primer año. Pide siempre a la entidad de certificación una oferta desglosada por fases para poder comparar ofertas de forma homogénea.

La auditoría inicial se divide en dos etapas. En la etapa 1 el auditor revisa la documentación, el alcance, la Declaración de Aplicabilidad y si la organización está preparada. En la etapa 2 comprueba que los controles funcionan en la práctica, entrevista a responsables y pide evidencias. Después hay auditorías de seguimiento anuales, más cortas, y al tercer año una auditoría de renovación.

• Auditoría etapa 1: revisión documental y de preparación, a veces en remoto.
• Auditoría etapa 2: evaluación completa de la implantación; es la fase con más días.
• Seguimiento año 1 y año 2: revisión parcial del sistema y de cambios.
• Renovación año 3: auditoría completa para emitir un nuevo certificado.
• Gastos adicionales posibles: desplazamientos, tasas de emisión del certificado, auditorías extraordinarias si hay no conformidades mayores.

Costes internos que suelen quedar fuera del presupuesto

La norma exige cláusulas 4 a 10 obligatorias y una Declaración de Aplicabilidad que justifique los 93 controles del Anexo A, agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. Cumplirlo implica trabajo real de tu equipo, y ese tiempo tiene un coste aunque no aparezca en ninguna factura.

Las partidas internas más habituales son el tiempo del responsable de seguridad o del coordinador del proyecto, la participación de los responsables de área en el análisis de riesgos, la formación y concienciación del personal, la auditoría interna obligatoria de la cláusula 9.2 y la revisión por la dirección de la cláusula 9.3.

• Herramientas: gestor de contraseñas, MDM para portátiles y móviles, copias de seguridad probadas, registro centralizado de eventos.
• Pruebas técnicas: análisis de vulnerabilidades o pruebas de penetración, cuando el análisis de riesgos lo justifica.
• Auditoría interna: puede hacerla personal propio independiente del área auditada o un auditor externo contratado.
• Plataforma de gestión documental o software GRC, que no es obligatorio pero ayuda a mantener evidencias.
• Horas de dirección: la cláusula 5 exige liderazgo real, no una firma al final.

Cómo leer y comparar ofertas de certificación

Dos ofertas pueden parecer muy diferentes en precio y no serlo, o al revés. Lo primero que debes comprobar es que la entidad está acreditada para ISO/IEC 27001 y que el certificado llevará la marca del organismo de acreditación. Un certificado no acreditado puede no ser aceptado por clientes, administraciones públicas o en licitaciones.

Después compara el número de días de auditor por fase. Si una oferta propone muchos menos días que otra para el mismo alcance y plantilla, pregunta en qué se basa el cálculo. Revisa también si el precio incluye seguimiento y renovación, si los desplazamientos se facturan aparte y cuál es la política ante no conformidades mayores.

Por último, separa claramente las funciones: la entidad de certificación no puede asesorarte en la implantación, porque comprometería su imparcialidad. Si una misma organización ofrece consultoría y certificación del mismo sistema, desconfía.

Siete formas realistas de reducir el coste

Ahorrar no significa recortar en seguridad, sino evitar trabajo innecesario y retrabajo. Estas medidas son las que más impacto tienen en pymes.

• Define bien el alcance: incluye lo que tus clientes exigen y deja fuera lo que no aporta valor, justificándolo en la cláusula 4.3.
• Haz un diagnóstico de brechas antes de pedir ofertas, para saber cuánto falta realmente.
• Reutiliza lo que ya tienes: políticas de RGPD, procedimientos de ISO 9001, controles del ENS.
• Prioriza controles por riesgo: el Anexo A no obliga a implantar los 93, sino a justificar la aplicabilidad de cada uno.
• Usa herramientas que ya pagas: muchas suites de ofimática y nube incluyen funciones de registro, MFA y gestión de dispositivos.
• Prepara las evidencias con antelación para que la etapa 2 no se alargue ni genere no conformidades evitables.
• Combina auditorías si tienes varios sistemas de gestión con la misma entidad.

Errores típicos que encarecen el proyecto

El error más caro es llegar a la etapa 2 sin haber completado un ciclo de gestión: sin auditoría interna realizada, sin revisión por la dirección documentada o sin evidencias de que los controles operan desde hace algún tiempo. Eso suele traducirse en no conformidades que retrasan la emisión del certificado y obligan a pagar días adicionales.

Otros errores frecuentes son copiar plantillas genéricas que no reflejan cómo trabaja la empresa, elegir un alcance tan amplio que no se puede controlar, o dejar la gestión de proveedores para el final pese a que la nube y los subcontratistas suelen ser la mayor fuente de riesgo. Una autoevaluación gratuita en baltum.ai muestra en qué cláusulas y controles tienes brechas antes de pedir ningún presupuesto.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.