Análisis de situación (GAP)
Evaluación del estado actual frente a los requisitos de la norma y a los 93 controles del Anexo A, con un plan de trabajo priorizado y realista.
- Inicio
- Servicios
- Normativas y protección de datos
- ISO/IEC 27001
Sistema de Gestión de Seguridad de la Información
ISO/IEC 27001, implantada por quien también la audita
Un SGSI útil no es una carpeta de documentos para enseñar al auditor una vez al año. Es una forma ordenada de decidir qué proteger, cómo y con qué prioridad. Te ayudamos a construirlo, a auditarlo y a mantenerlo vivo.
93
controles en el Anexo A de la versión 2022, frente a los 114 de la anterior.
11
controles nuevos, como inteligencia de amenazas, seguridad en la nube o prevención de fugas.
3 años
de validez del certificado, con auditorías de seguimiento anuales.
2 fases
en la auditoría de certificación: revisión documental y comprobación de la implantación.
Qué incluye
Acompañamiento en todo el ciclo de vida del SGSI
Puedes contratar el proyecto completo o solo la fase que necesites.
Implantación
- Contexto, alcance y partes interesadas
- Análisis y tratamiento de riesgos
- Declaración de aplicabilidad
- Políticas y procedimientos a medida
- Indicadores y revisión por la dirección
Auditoría interna
Auditoría independiente conforme a ISO 19011, con un informe de hallazgos útil para mejorar y no solo para cumplir el requisito.
Preparación para la certificación
Simulacro de auditoría, revisión de evidencias y acompañamiento durante las fases 1 y 2 con la entidad certificadora.
Mantenimiento y mejora
Apoyo continuado en auditorías de seguimiento y renovación, gestión de no conformidades y actualización de riesgos.
Normas complementarias
Integración con ISO/IEC 27701 (privacidad), ISO 22301 (continuidad), ENS, RGPD o NIS2 para no duplicar esfuerzos.
Anexo A
93 controles en cuatro temas
La declaración de aplicabilidad justifica cuáles aplican a tu organización y cómo se implantan. Pasa el cursor o pulsa sobre cada tema.
Cada cuadrado es un control del Anexo A de ISO/IEC 27001:2022
Cómo trabajamos
Un proyecto típico, paso a paso
- Diagnóstico
Entrevistas, revisión documental y definición del alcance que realmente interesa certificar.
- Diseño
Metodología de riesgos, controles aplicables y documentación adaptada a tu tamaño y cultura.
- Operación
Puesta en marcha de los procesos, formación del equipo y generación de evidencias.
- Verificación
Auditoría interna, revisión por la dirección y preparación de la auditoría de certificación.
Nuestro valor
La ventaja de conocer la auditoría desde dentro
- Sabemos qué va a preguntar el auditor, porque hemos estado en ese lado de la mesa como auditores jefe para entidades certificadoras.
- Documentación proporcionada. Ni plantillas genéricas de cientos de páginas ni atajos que no superan la fase 2.
- Un único interlocutor. El mismo equipo te acompaña desde el diagnóstico hasta la certificación.
- Independencia. Si implantamos tu sistema, no lo auditamos para certificación.
Diagnóstico inicial sin compromiso
¿Cuánto te falta para certificar?
Revisamos tu punto de partida frente a la norma y los 93 controles, y te entregamos un plan realista con prioridades y plazos.
- Primera certificación
- Auditoría interna
- Simulacro de auditoría
- No conformidades
- Integración con ENS
- Exigencia de un cliente
Preguntas frecuentes
Lo que suelen preguntarnos
¿Cuánto tiempo se tarda en certificar ISO 27001?
Depende del alcance, del tamaño de la organización y del punto de partida. Para una pyme con un alcance acotado, lo habitual es entre seis y doce meses desde el inicio hasta la auditoría de certificación.
¿Podéis certificarnos vosotros?
No. La certificación la emite una entidad de certificación acreditada. Te ayudamos a llegar preparado y, si hemos participado en la implantación, no intervenimos en esa auditoría por independencia.
¿Qué cambió en la versión 2022?
Los controles del Anexo A pasaron de 114 a 93, agrupados en cuatro temas, con 11 controles nuevos como la inteligencia de amenazas, la seguridad en servicios en la nube o la prevención de fugas de datos. En 2024 se publicó además una modificación que incorpora el cambio climático al análisis del contexto.
Tenemos la certificación con la versión 2013, ¿qué hacemos?
El periodo de transición a ISO/IEC 27001:2022 terminó el 31 de octubre de 2025, por lo que los certificados de la versión 2013 ya no son válidos. Si es tu caso, conviene revisar cuanto antes el estado del sistema y la situación con tu certificadora.
¿ISO 27001 sirve para cumplir el ENS o NIS2?
Comparten buena parte de los controles, pero no son equivalentes (lo detallamos en la página de NIS2). Lo eficiente es diseñar un único sistema que cubra los requisitos de cada marco y gestionar las diferencias de forma explícita.
Servicios relacionados
También te puede interesar
Contacto
Solicita un análisis GAP de ISO 27001
Cuéntanos el tamaño de tu organización, el alcance que quieres certificar y si hay alguna fecha comprometida. Te propondremos un plan con fases, plazos y presupuesto.
¿Prefieres el correo?info@afsinformatica.com
Si ya tienes fecha con la entidad certificadora, indícala en el asunto del mensaje.