Implementar ISO 27001 es construir y operar un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a ISO/IEC 27001:2022. Certificarse es que un organismo certificador independiente audite ese SGSI, dentro de un alcance definido, y emita un certificado. Se puede implementar sin certificar; no se puede certificar sin haber implementado.
Una consultora ayuda a implementar el sistema y a preparar a la organización. La decisión de certificar corresponde al organismo certificador. JanusNet acompaña la implementación y la preparación; JanusNet no emite el certificado.
Las tres etapas, en una tabla
| Implementación | Preparación para certificación | Certificación | |
|---|---|---|---|
| Objetivo | Construir y operar el SGSI | Comprobar que el SGSI resiste una evaluación independiente y corregir brechas antes | Evaluar de forma independiente el SGSI dentro de su alcance |
| Quién participa | La organización, con apoyo externo si corresponde | La organización, con consultoría si corresponde | El organismo certificador y la organización |
| Resultado | Un SGSI implementado y operando | Una organización preparada para la auditoría | La decisión de certificación |
| ¿JanusNet puede acompañar? | Sí | Sí | No: no actúa como organismo certificador |
¿Qué significa implementar ISO 27001?
Implementar es hacer que el SGSI exista y funcione: alcance, contexto, responsabilidades, riesgos evaluados y tratados, controles operando con evidencia, medición, auditoría interna, revisión por la dirección y corrección de lo que falla. Es responsabilidad de la organización, con o sin acompañamiento.
El recorrido completo, paso a paso y con lo que cada etapa exige de la organización, está en Cómo implementar ISO 27001 en Chile.
¿Qué significa certificarse ISO 27001?
Certificarse es que un organismo certificador audite el SGSI y, si cumple los requisitos de ISO/IEC 27001, emita un certificado. Lo que se certifica es el SGSI dentro del alcance definido, no "la empresa": si el alcance cubre un servicio o una unidad, el certificado cubre eso.
El certificado tiene un ciclo de tres años, con auditorías de seguimiento al menos una vez por año calendario, la primera dentro de los doce meses desde la decisión de certificación, y una auditoría de recertificación antes de que expire. Esas reglas no están en ISO 27001 sino en ISO/IEC 17021-1, la norma que rige a los organismos que certifican sistemas de gestión.
Por eso la certificación no termina el SGSI. Después del certificado, el sistema sigue midiendo, auditando internamente, revisando por la dirección y corrigiendo. Un SGSI que se detiene después del certificado lo pierde en el primer seguimiento.
¿Cómo funciona la auditoría de certificación?
La auditoría inicial se realiza en dos etapas.
Etapa 1. El organismo revisa la información documentada del sistema, evalúa cuánto entiende la organización los requisitos de la norma, obtiene la información sobre el alcance (sitios, procesos, controles, requisitos legales aplicables), verifica que la auditoría interna y la revisión por la dirección se estén planificando y realizando, y decide si la organización está preparada para la etapa 2. Sus conclusiones señalan áreas que podrían convertirse en no conformidades.
Etapa 2. El organismo evalúa la implementación y la eficacia del sistema: evidencia de conformidad, seguimiento y medición frente a objetivos, cumplimiento de requisitos legales y contractuales, control operacional de los procesos, auditoría interna, revisión por la dirección y la responsabilidad de la dirección sobre las políticas. Con las dos etapas, el organismo toma su decisión de certificación.
¿Puede la misma empresa implementar y certificar?
No. ISO/IEC 17021-1 exige imparcialidad: un organismo certificador, y cualquier entidad bajo su control, no puede ofrecer consultoría de sistemas de gestión, ni certificar un sistema sobre el que se prestó consultoría relacionada durante al menos dos años desde que esa consultoría terminó. Nadie puede evaluar con independencia su propio trabajo.
JanusNet implementa el sistema con la organización, realiza la auditoría interna y la prepara para la auditoría externa; la certificación corresponde a un tercero independiente, y ningún consultor serio debería ofrecer otra cosa.
¿Quién certifica ISO 27001 en Chile?
Un organismo certificador: una entidad que audita sistemas de gestión y emite certificados, sujeta a ISO/IEC 17021-1 y, para ISO 27001, a ISO/IEC 27006. Conviene que esté acreditado para ISO/IEC 27001 por un organismo de acreditación signatario del acuerdo de reconocimiento multilateral del IAF, porque eso es lo que da al certificado reconocimiento internacional.
En Chile, el Instituto Nacional de Normalización opera el sistema nacional de acreditación y es signatario del IAF; el INN acredita, no certifica ISO 27001. Muchos organismos que certifican en el país operan con acreditaciones de organismos extranjeros también signatarios. Antes de contratar, verifica tres cosas: que el organismo esté acreditado, que su alcance de acreditación incluya ISO/IEC 27001, y que el reconocimiento sea el que tu cliente o la licitación exigen.
¿Puedo implementar sin certificarme, y cuándo puedo decir que estoy certificado?
Sí, se puede implementar sin certificar. Muchas organizaciones construyen y operan un SGSI alineado con ISO/IEC 27001 como marco de orden interno, y los beneficios del sistema existen con o sin certificado. Lo que la implementación no sustituye es el certificado cuando alguien lo exige: si un cliente, un contrato, una licitación o un regulador piden certificación, un SGSI sin auditar por un tercero no cumple ese requisito.
"Estamos certificados" solo se puede afirmar con un certificado vigente, emitido por un organismo certificador, y solo para el alcance que ese certificado indica. Antes de eso, lo correcto es decir "estamos implementando ISO 27001", "trabajamos alineados con ISO 27001" o "tenemos un SGSI". Un cliente verifica la afirmación en minutos pidiendo el documento, y una afirmación falsa se paga cara.
¿Qué necesito hacer ahora?
Antes de la certificación tiene que existir un SGSI operando, con evidencia, con al menos una auditoría interna completa y una revisión por la dirección, y con las no conformidades corregidas. El tiempo que eso toma depende de cada organización; lo que determina el plazo está en ¿Cuánto demora implementar ISO 27001 en Chile?.
| Si tu situación es | Tu siguiente paso es |
|---|---|
| "Todavía no sé dónde estamos" | Un autodiagnóstico, para una primera orientación |
| "Necesito saber exactamente qué falta" | Un Gap Assessment, para brechas reales, prioridades y roadmap |
| "Ya conocemos las brechas" | Implementar: construir y operar el SGSI |
| "El SGSI está implementado y necesitamos prepararnos" | Preparación para certificación: auditoría interna, correcciones y evidencia organizada |
| "Necesitamos obtener el certificado" | Un organismo certificador acreditado |
¿En qué etapa está tu organización?
Si todavía no hay claridad sobre el nivel de preparación, empieza por el autodiagnóstico
Quince preguntas y el resultado en pantalla, sin entregar datos antes de verlo. Es orientativo: no sustituye un Gap Assessment ni una auditoría, y no equivale a una certificación.
Si ya sabes en qué etapa estás y necesitas quien acompañe la implementación o la preparación, la consultoría e implementación ISO 27001 de JanusNet cubre desde el gap assessment hasta la preparación para la auditoría de certificación.
Preguntas frecuentes
¿Qué diferencia hay entre implementar y certificarse ISO 27001?
Implementar es construir y operar el SGSI: alcance, riesgos, controles, evidencia, auditoría interna y mejora. Certificarse es que un organismo certificador independiente audite ese SGSI dentro de su alcance y emita un certificado.
¿Quién certifica ISO 27001?
Un organismo certificador, sujeto a ISO/IEC 17021-1 y a ISO/IEC 27006, preferentemente acreditado para ISO/IEC 27001 por un acreditador signatario del acuerdo multilateral del IAF. En Chile, el INN opera el sistema de acreditación, pero no certifica ISO 27001.
¿JanusNet certifica ISO 27001?
No, y ninguna consultora puede hacerlo: ISO/IEC 17021-1 exige imparcialidad, y quien implementa un sistema no puede evaluarlo como certificador. JanusNet acompaña el gap assessment, el roadmap, la implementación, la evidencia y la auditoría interna; el certificado lo emite un tercero acreditado e independiente.
¿Puedo implementar ISO 27001 sin certificarme?
Sí. Un SGSI puede operar y aportar valor sin certificado. Pero si un cliente, contrato, licitación o regulador exige certificación, la implementación por sí sola no cumple ese requisito.
¿Necesito una auditoría interna antes de la certificación?
Sí. La auditoría interna es un requisito de ISO/IEC 27001; el organismo certificador verifica en la etapa 1 que se esté realizando y en la etapa 2 la evalúa. Llegar sin ella es llegar con una no conformidad segura.
¿El certificado ISO 27001 cubre toda la empresa?
Cubre el SGSI dentro del alcance definido, que puede ser la organización completa, una unidad, un servicio o un proceso. El alcance figura en el certificado, y afirmar una cobertura mayor es una afirmación falsa que cualquier cliente puede verificar.
¿Cuánto demora certificarse?
No hay un plazo universal: depende del estado inicial, del alcance, de las brechas, del tiempo que la evidencia necesita para existir y de la coordinación con el organismo certificador. Qué determina el plazo está en ¿Cuánto demora implementar ISO 27001 en Chile?.
Fuentes
- ISO/IEC 27001:2022, Information security management systems. Requirements: los requisitos del SGSI, incluida la auditoría interna y la revisión por la dirección.
- ISO/IEC 17021-1:2015, Requirements for bodies providing audit and certification of management systems: la auditoría inicial en dos etapas y sus objetivos, las auditorías de seguimiento y la recertificación, y los requisitos de imparcialidad que separan consultoría de certificación.
- ISO/IEC 27006-1:2024, Requirements for bodies providing audit and certification of information security management systems: los requisitos específicos para los organismos que certifican ISO/IEC 27001.
- Sistema de acreditación del Instituto Nacional de Normalización: el rol del INN como acreditador, no como certificador, y su condición de signatario del IAF.
Este artículo distingue los requisitos de ISO/IEC 27001:2022, las reglas de ISO/IEC 17021-1 para los organismos certificadores y la forma de trabajo de JanusNet, una empresa de ciberseguridad en Chile que acompaña la implementación de SGSI y la preparación para la certificación sin actuar como organismo certificador.