ISO/IEC 27001
Sistema de Gestión de Seguridad de la Información. La norma internacional de referencia, certificable y cada vez más exigida por clientes y licitaciones.
04 · Cumplimiento
Cumplir la norma y que además sirva para algo
Los marcos normativos son una oportunidad para ordenar la seguridad de la información. Te ayudamos a implantarlos de forma proporcionada a tu organización, a mantenerlos vivos y a superar las auditorías con garantías.
93
controles en el Anexo A de ISO/IEC 27001:2022, agrupados en organizativos, de personas, físicos y tecnológicos.
RD 311/2022
el real decreto que regula el Esquema Nacional de Seguridad, obligatorio para el sector público y sus proveedores.
4 %
de la facturación anual global: el máximo de las sanciones más graves del RGPD (o 20 millones de euros).
6–12 meses
suele llevar a una pyme con un alcance acotado llegar a la certificación.
Orientación rápida
¿Qué norma le aplica a tu organización?
Marca las situaciones que encajan con tu caso y verás qué marcos conviene tener en cuenta.
Marca al menos una situación para ver el resultado.
- Esquema Nacional de SeguridadObligatorio para el sector público y para quienes le prestan servicios. Se acredita mediante certificación de conformidad.Ver servicio →
- ISO/IEC 27001El estándar internacional que piden clientes y licitaciones. Además, es la base más eficaz para cumplir NIS2.Ver servicio →
- RGPD y LOPDGDDAplica a cualquier organización que trate datos personales: registro de actividades, contratos, derechos y brechas.Ver servicio →
- ISO/IEC 42001Sistema de gestión de la IA, alineado con las obligaciones del Reglamento Europeo de IA.Ver servicio →
- NIS2Medidas de gestión de riesgos, notificación de incidentes y responsabilidad de la dirección para entidades esenciales e importantes, y requisitos para sus proveedores.Ver servicio →
Orientación general. La aplicabilidad exacta depende de cada caso y la confirmamos en el diagnóstico.
Marcos de referencia
Normas y regulaciones en las que trabajamos
Cada marco tiene su propia página con el detalle del servicio.
Esquema Nacional de Seguridad
Obligatorio para el sector público y para las empresas que le prestan servicios. Regulado por el Real Decreto 311/2022.
ISO/IEC 42001
Sistema de gestión de la inteligencia artificial, alineado con el Reglamento Europeo de IA.
NIS2
Directiva europea de ciberseguridad para sectores críticos, su dirección y su cadena de suministro.
Todos los lados de la mesa
Sabemos qué buscará el auditor
Nuestro equipo ha trabajado durante años para grandes consultoras y entidades de certificación. Conocemos el proceso desde cada uno de sus papeles.
Ciclo de un sistema de gestión
- CONSULTOR
Análisis de situación, plan de adecuación y acompañamiento en las decisiones de diseño del sistema.
- IMPLANTADOR
Políticas, procedimientos, análisis de riesgos y declaración de aplicabilidad hechos a medida, no de plantilla.
- AUDITOR INTERNO
Auditorías independientes que cumplen el requisito de la norma y preparan de verdad la auditoría de certificación.
- AUDITOR JEFE
Experiencia como auditores jefe para entidades de certificación en auditorías iniciales, de seguimiento y de renovación.
Por independencia, nunca auditamos para certificación un sistema en cuya implantación hayamos participado.
RGPD y LOPDGDD
Protección de datos personales
Adecuación y mantenimiento del cumplimiento del Reglamento General de Protección de Datos y de la Ley Orgánica 3/2018.
Adecuación
- Registro de actividades de tratamiento
- Bases de legitimación y cláusulas informativas
- Contratos de encargado del tratamiento
- Políticas y procedimientos internos
Riesgos e impacto
- Análisis de riesgos de los tratamientos
- Evaluaciones de impacto (EIPD)
- Privacidad desde el diseño
- Transferencias internacionales
Gestión continuada
- Auditorías de cumplimiento
- Gestión de brechas de datos
- Atención de derechos de los interesados
- Apoyo al Delegado de Protección de Datos
¿Una brecha de datos en curso? El plazo para notificarla a la AEPD es de 72 horas. Consulta el reloj de las notificaciones.
Otros marcos
Un único sistema para varias exigencias
Integramos requisitos para no duplicar esfuerzos: un sistema de gestión bien diseñado puede responder a varios marcos a la vez.
- ISO/IEC 27701
- ISO 22301
- ISO/IEC 27017 / 27018
- Reglamento Europeo de IA
Diagnóstico inicial sin compromiso
¿Tienes una auditoría o una licitación a la vista?
Revisamos tu punto de partida frente a la norma que necesitas y te decimos qué falta, cuánto esfuerzo supone y en qué orden abordarlo.
- Primera certificación
- Renovación o transición
- Auditoría interna anual
- Requisito de un cliente
- Licitación pública
- Adecuación al RGPD
Preguntas frecuentes
Lo que suelen preguntarnos
¿Por qué norma deberíamos empezar?
Depende de quién te lo exija. Si trabajas con el sector público, normalmente el ENS; si son clientes privados o internacionales, ISO/IEC 27001. En muchos casos conviene un sistema integrado que cubra ambos.
¿Podemos integrar ISO 27001 y ENS en un solo sistema?
Sí, y es lo más eficiente. Comparten gran parte de los requisitos, así que un único sistema de gestión con una tabla de correspondencias entre controles permite responder a ambos sin duplicar documentación ni auditorías internas.
¿Podéis certificarnos?
La certificación la emite una entidad de certificación acreditada. Nosotros te preparamos para obtenerla y, si hemos participado en la implantación, no intervenimos en esa auditoría por independencia.
¿Qué pasa si se detectan no conformidades en la auditoría?
Es habitual. Las no conformidades menores se resuelven con un plan de acciones correctivas; las mayores deben corregirse y verificarse antes de conceder la certificación. Te ayudamos a analizar las causas y a cerrarlas.
¿Cuánto tiempo lleva un proyecto de cumplimiento?
Depende del alcance, del tamaño de la organización y del punto de partida. Para una pyme con un alcance acotado, lo habitual es entre seis y doce meses hasta la certificación.
Servicios relacionados
También te puede interesar
Contacto
Solicita un diagnóstico de cumplimiento
Cuéntanos qué norma necesitas (o quién te la exige), el tamaño de tu organización y si hay alguna fecha límite, como una licitación o una auditoría ya programada. Te propondremos el camino más corto para llegar con garantías.
¿Prefieres el correo?info@afsinformatica.com
Si tienes una auditoría externa programada, indica la fecha en el asunto del mensaje.