ISO 27001: qué es y cómo se traduce en tu cuestionario de seguridad

ISO/IEC 27001:2022 es la norma internacional de referencia para los sistemas de gestión de seguridad de la información, conocidos como SGSI o ISMS por sus siglas en inglés. Define los requisitos para establecer, implementar, mantener y mejorar de forma continua la gestión de la seguridad de la información en una organización, y es probablemente el estándar de seguridad más citado del mundo en contratos y cuestionarios de proveedor.

La parte de la norma que más se traslada a los cuestionarios es su Anexo A: un catálogo de 93 controles organizados en cuatro bloques —organizativos, de personas, físicos y tecnológicos— que van desde la política de seguridad hasta el cifrado, pasando por el control de accesos, la gestión de proveedores o la respuesta a incidentes. Cuando un cuestionario cita un código como "A.8.8" o "A.5.15", se está refiriendo directamente a uno de esos controles.

ISO 27001 es una norma certificable: una entidad de certificación acreditada audita el sistema de gestión y, si lo supera, emite un certificado válido durante tres años con auditorías de seguimiento anuales. Pero en la inmensa mayoría de los cuestionarios de proveedor no hace falta tener el certificado en sí —eso es un proceso caro y de meses—; basta con demostrar, control por control, que existen medidas razonables y evidencia que las respalde. El certificado ayuda, pero no es lo que se está evaluando en el día a día de un cuestionario.

Es habitual que aparezca junto a NIS2 en el mismo cuestionario, sobre todo si tu cliente es una multinacional: muchas empresas grandes construyen su propio sistema de gestión de seguridad sobre ISO 27001 y trasladan el mismo catálogo de controles a sus proveedores como marco común de diligencia debida. Son normativas independientes —una es un estándar internacional voluntario, la otra es ley europea— pero se solapan enormemente en el contenido: casi todas las medidas del artículo 21.2 de NIS2 tienen su control equivalente en el Anexo A.

Además del Anexo A, la norma tiene un cuerpo principal —las cláusulas 4 a 10— que regula el sistema de gestión en sí: cómo se determina el contexto de la organización, cómo se analizan y tratan los riesgos, cómo se planifican los objetivos de seguridad, qué competencias necesita el personal implicado, cómo se audita internamente el sistema y cómo lo revisa la dirección. Estas cláusulas rara vez aparecen citadas con un código propio en un cuestionario, pero son las que sostienen que los controles del Anexo A no sean una lista suelta, sino parte de un sistema que se revisa y mejora con el tiempo.

Si decides ir más allá y certificarte formalmente, el proceso pasa por una auditoría de certificación en dos fases —revisión documental y luego auditoría in situ del sistema en funcionamiento— realizada por una entidad acreditada, seguida de auditorías de seguimiento cada año y una recertificación completa cada tres. Es una inversión real de tiempo y dinero, así que tiene sentido plantearla solo cuando varios clientes grandes ya te la estén pidiendo de forma recurrente, no antes de saber si te compensa.