No existe un plazo único para implementar ISO/IEC 27001:2022. La duración depende del alcance del SGSI, de la situación inicial de la organización, de las brechas encontradas, de la disponibilidad de los responsables internos, de la velocidad para decidir y del tiempo que la evidencia necesita para existir. Dos organizaciones del mismo tamaño pueden necesitar tiempos muy distintos.
Por eso una cifra fija de meses, entregada sin haber mirado la organización, es una promesa comercial y no una estimación. Este artículo explica qué determina el plazo de verdad, qué lo acelera, qué lo retrasa y cómo estimar el tuyo con fundamento.
Implementar y certificarse tienen relojes distintos
Implementar es construir y operar el sistema, y ese tiempo lo controla la organización. Certificarse es la auditoría de un organismo certificador independiente, en dos etapas, y ese tiempo lo controla el organismo con su planificación. La segunda etapa evalúa un sistema que ya opera y ha generado evidencia, así que un SGSI recién escrito no tiene nada que mostrar. Qué hace cada etapa y quién certifica está en Implementación vs. certificación ISO 27001.
La pregunta útil es desde dónde estás partiendo
La duración la fija la distancia entre el punto de partida y el SGSI que la norma exige. Dos organizaciones hipotéticas, del mismo tamaño y con el mismo objetivo, lo muestran.
Organización A. Evalúa riesgos con una metodología definida, tiene políticas aprobadas y responsables asignados, opera controles que dejan registro y ya pasó por auditorías internas de otros sistemas de gestión. Su trabajo es ordenar, completar y demostrar.
Organización B. Tiene buenos controles tecnológicos, pero el alcance no está definido, los riesgos se manejan de manera informal, hay poca evidencia de lo que se hace y nunca hizo una auditoría interna. Su trabajo es construir la estructura de gestión antes de poder demostrar nada.
Asignarles el mismo plazo sería un error. Asignarles cualquier plazo sin un diagnóstico, también.
Qué determina cuánto demora implementar ISO 27001
El alcance del SGSI
Cada proceso, servicio, ubicación, sistema y tercero dentro del alcance es contexto que entender, riesgos que evaluar, controles que aplicar y evidencia que reunir. Recortarlo de forma artificial para terminar antes suele salir caro: el certificado termina cubriendo algo que los clientes no reconocen como lo que compran.
La situación inicial y el tipo de brechas
Una organización con prácticas maduras parte desde otro lugar que una que empieza de cero, y no todas las brechas cuestan lo mismo. Una brecha documental se cierra escribiendo y aprobando; una de gestión exige decisiones y responsables; una de evidencia exige operar y registrar durante un tiempo; una técnica puede exigir un proyecto tecnológico completo.
La gestión de riesgos y sus dependencias
Si no hay metodología, criterios de aceptación aprobados, evaluación hecha y tratamiento decidido, hay trabajo estructural que no se puede saltar. De la evaluación de riesgos dependen la selección de controles y la declaración de aplicabilidad, así que resolver primero las causas raíz evita rehacer lo que se construyó sobre una base que después cambió.
La disponibilidad del equipo y la velocidad de decisión
Una consultora no puede implementar un SGSI aislada de la organización: hacen falta responsables internos para decidir, participar en entrevistas, aprobar, reunir evidencia e implementar en su área. Y cada decisión pendiente es tiempo detenido. En la mayoría de los proyectos las esperas por aprobar una política, aceptar un riesgo residual o asignar un presupuesto suman más que el trabajo técnico, sobre todo cuando la dirección se incorpora al final en vez de al principio.
El tiempo que la evidencia necesita para existir
La evidencia real se produce operando: un ciclo de revisión de accesos, varias altas y bajas registradas, respaldos probados, incidentes gestionados con registro. Eso lleva tiempo de calendario y no se comprime sin fabricar evidencia, que un auditor detecta.
La auditoría interna y sus correcciones
La auditoría interna, la revisión por la dirección y las acciones correctivas son requisitos de la norma y la última parte del camino crítico. Lo que la auditoría interna encuentra hay que corregirlo y verificarlo antes de la certificación, y eso también es tiempo.
Qué acelera y qué retrasa un proyecto ISO 27001
Acelerar no es omitir etapas. Es reducir incertidumbre, retrabajo, esperas y decisiones pendientes. Lo que más ayuda:
- Un alcance claro desde el inicio, y estable.
- Un sponsor ejecutivo que decide y destraba.
- Responsables por área, con tiempo asignado.
- Documentación existente que sirve tal cual o con ajustes.
- Una gestión de riesgos madura, o al menos una metodología aceptada.
- Evidencia disponible de los controles que ya operan.
- Un roadmap priorizado por dependencias y seguimiento corto con los responsables presentes.
Lo que más suele retrasar:
- Un alcance que cambia continuamente.
- Responsables sin tiempo, o decisiones sin dueño.
- Políticas copiadas que no representan cómo opera la organización, y hay que rehacer.
- Controles que existen pero no generan evidencia.
- Brechas técnicas descubiertas tarde, cuando ya no hay margen.
- Un proyecto delegado exclusivamente a TI.
- Preparar todo para la auditoría al final, en vez de operar desde el principio.
Ninguno de estos retrasos es raro ni es culpa de alguien en particular. Casi todos se evitan con un diagnóstico honesto y un roadmap que los anticipe.
El plazo lo fija el camino crítico, no la cantidad de documentos
El camino crítico es la cadena de actividades que no pueden empezar hasta que termina la anterior, y su duración es la duración mínima del proyecto. En una implementación ISO 27001 suele verse así:
- Alcance
- Riesgos
- Tratamiento
- SoA
- Controles
- Evidencia
- Auditoría interna
- Correcciones
- Preparación para certificación
Si una actividad estructural se retrasa, retrasa todas las que dependen de ella: un alcance que se redefine a mitad de camino obliga a revisar riesgos, tratamiento y declaración de aplicabilidad. Por eso escribir más documentos más rápido no acorta el proyecto, y proteger el camino crítico sí.
Fuera de esa cadena hay mucho que puede avanzar en paralelo, y un buen roadmap lo aprovecha: remediaciones técnicas que ya se sabe que hacen falta, procedimientos de un área mientras otra reúne evidencia, inducción y acuerdos de confidencialidad mientras se define la metodología de riesgos. Lo que no se puede adelantar es lo que depende de una decisión que aún no existe, como seleccionar controles antes de evaluar riesgos. Esta secuencia es la forma en que JanusNet ordena el trabajo, no una prescripción de la norma; las fases completas del proyecto, con quién participa y qué queda en cada una, están en Cómo implementar ISO 27001 en Chile.
¿Cómo saber cuánto podría demorar en mi empresa?
Conociendo primero la situación inicial. Un Gap Assessment identifica el estado actual requisito por requisito, las brechas y su tipo, las dependencias entre ellas y el esfuerzo probable de cada remediación. Con eso se construye un roadmap con fases e hitos, y recién entonces se estima un plazo para esa organización. Antes de eso, cualquier número es una suposición.
Primera orientación
¿Qué tan preparada está tu organización para ISO 27001?
Quince preguntas, aproximadamente cuatro minutos y el resultado en pantalla, sin registro: nivel estimado de preparación, seis dimensiones y dónde poner el foco primero. Es orientativo y no sustituye un Gap Assessment, pero te dice si tu punto de partida se parece más a la organización A o a la B.
¿Puedo fijar una fecha objetivo para certificarme?
Sí, y conviene tenerla. Lo que el roadmap debe hacer es validar si es realista, considerando el estado inicial, las brechas, la capacidad interna, el tiempo que necesita la evidencia, la auditoría interna con sus correcciones y la disponibilidad del organismo certificador para sus dos etapas.
Fecha objetivo no es fecha garantizada. La primera es un compromiso de planificación; la segunda no existe, porque la decisión final es de un organismo independiente, y quien la ofrezca está vendiendo algo que no controla.
¿Qué pasa si un cliente o una licitación exige ISO 27001 para una fecha?
Es la situación más frecuente y la más delicada. Antes de comprometerte a nada conviene determinar cinco cosas:
- Qué exige exactamente: un certificado, un sistema implementado, evidencia de avance o un plan comprometido.
- Si acepta un SGSI en implementación con un plan verificable, o solo el certificado.
- Qué alcance espera cubierto: el servicio que contrata, un proceso o la organización completa.
- Cuál es la fecha, y si es de presentación de antecedentes, de firma o de inicio del servicio.
- Cuál es la situación actual de la organización frente a lo que se pide.
Con esas respuestas se evalúa la factibilidad y solo entonces se responde al cliente. Un compromiso incumplido cuesta más que una conversación honesta a tiempo; si tienes una fecha encima, podemos revisar tu situación antes de que te comprometas.
Preguntas frecuentes
¿Cuánto demora implementar ISO 27001?
No existe un plazo único. Depende del alcance del SGSI, de la situación inicial y sus brechas, de la disponibilidad del equipo interno, de la velocidad de decisión y del tiempo que la evidencia necesita para existir, y se estima después de un Gap Assessment, no antes.
¿Cuánto demora certificarse ISO 27001?
La certificación es un proceso separado, a cargo de un organismo certificador independiente, en dos etapas de auditoría. Su tiempo depende de la planificación del organismo, del alcance y del tratamiento de hallazgos si los hay, y exige un SGSI que ya opera y genera evidencia.
¿ISO 27001 establece un plazo para implementar el SGSI?
No. La norma define requisitos para establecer, implementar, mantener y mejorar el SGSI, pero no fija una duración. Lo que sí implica tiempo es que requisitos como la auditoría interna, la revisión por la dirección y la evidencia de que los controles operan solo se cumplen con el sistema funcionando.
¿Puedo implementar ISO 27001 rápido?
Puedes implementarlo sin esperas ni retrabajo, que es distinto de rápido. Hay etapas que no se comprimen: evaluar riesgos antes de elegir controles, operar los controles para que generen evidencia, auditar internamente y corregir. Una certificación prometida en un número fijo de semanas, sin diagnóstico previo, debería despertar sospecha.
¿Puedo fijar una fecha objetivo?
Sí, y conviene tenerla. El roadmap valida si es realista según el estado inicial, las brechas, la capacidad interna, el tiempo de la evidencia, la auditoría interna y la disponibilidad del organismo certificador. Una fecha objetivo es un compromiso de planificación; una fecha garantizada no existe.
¿Qué pasa si un cliente exige la certificación para una fecha determinada?
Primero determinar qué exige exactamente, si acepta un SGSI en implementación o solo el certificado, qué alcance espera, cuál es la fecha y cuál es la situación actual de la organización. Después evaluar la factibilidad, y solo entonces comprometerse.
Fuentes
- ISO/IEC 27001:2022, Information security management systems. Requirements: la norma define requisitos para el SGSI, incluidos la auditoría interna, la revisión por la dirección y la mejora, y no establece una duración para implementarlo.
- ISO/IEC 17021-1:2015, Requirements for bodies providing audit and certification of management systems: la auditoría inicial de certificación en dos etapas y las auditorías de seguimiento dentro del ciclo de certificación, que aplican a los organismos certificadores.
- IAF MD 26:2023, Transition requirements for ISO/IEC 27001:2022: la vigencia de la edición 2022 y el fin de la transición desde la edición 2013.
Este artículo distingue los requisitos de ISO/IEC 27001:2022 de la metodología con que JanusNet, una empresa de ciberseguridad en Chile, ordena y acompaña la implementación de un SGSI. El camino crítico descrito es esa metodología, no una prescripción de la norma, y ningún plazo es una promesa: cada organización recibe el suyo después del diagnóstico.