ISO/IEC 27001: la seguridad de la información, demostrada.
La ISO/IEC 27001 pide evaluar los riesgos sobre la información, elegir los controles para tratarlos y demostrar que funcionan. La piden los clientes y la Administración pública italiana para la nube, y ayuda a quien tiene que responder de NIS2.
Qué es
Riesgos evaluados, controles elegidos, pruebas reunidas.
La norma pide un sistema de gestión que proteja la confidencialidad, la integridad y la disponibilidad de la información mediante un proceso de gestión del riesgo. Vale para todos los sectores; la informática es el que tiene más certificados. Los certificados sobre la edición 2013 ya no son válidos desde el 31/10/2025.
A quién le sirve
- Quien desarrolla software o gestiona datos por cuenta de sus clientes
- Quien ofrece servicios en la nube a la Administración pública italiana
- Quien está dentro de NIS2 y quiere un método reconocido para las medidas de seguridad
- Quien recibe cuestionarios de seguridad de sus clientes y quiere responder con un certificado
Qué te aporta
Para cualificar un servicio en la nube para la Administración pública en el nivel QC1, la ACN, la Agencia Nacional de Ciberseguridad italiana, pide la ISO/IEC 27001 con las extensiones 27017 y 27018, o CSA STAR nivel 2.
ACN, medidas para los servicios en la nube, nivel QC1Quien está certificado tiene un puente hacia las medidas básicas NIS: la UNI/PdR 174:2025, desarrollada con el apoyo de la ACN.
ACN, UNI/PdR 174:2025En las licitaciones italianas que lo prevén, la garantía se reduce hasta un 20%: la ISO/IEC 27001 está entre las certificaciones del anexo II.13.
D.Lgs. 36/2023, art. 106 c. 8 y allegato II.13
El camino
Del análisis al certificado, en cuatro pasos.
- 1
Alcance y riesgos
Se decide qué proteger —sedes, sistemas, procesos— y se evalúan los riesgos sobre la información.
- 2
Controles y aplicabilidad
Se eligen los controles, se escribe por qué cada uno se aplica o se excluye, y se ponen en marcha.
- 3
Auditoría interna y revisión
Antes de llamar a la entidad, una auditoría interna y la revisión por la dirección dicen si el sistema se sostiene.
- 4
Auditoría de certificación
La entidad acreditada la hace en dos fases, la segunda en las instalaciones de la empresa. El certificado dura tres años, con un seguimiento cada año.
10ISO
Cómo te ayudará 10ISO
El trabajo que se repite lo harán los agentes; las decisiones siguen siendo tuyas y de quien te acompaña. 10ISO está por llegar: esto es lo que estamos construyendo.
- El análisis de riesgos y los controles elegidos, alineados cuando algo cambiaPróximamente
- Las evidencias de los controles recogidas donde nacen: accesos, copias de seguridad, formación, proveedoresPróximamente
- Las medidas NIS que la 27001 ya cubre, y las que faltanPróximamente
- Una norma más, 22301 o 9001, sobre los mismos capítulosPróximamente
Preguntas
Las primeras preguntas que llegan sobre ISO/IEC 27001.
¿La ISO/IEC 27001 basta para cumplir con NIS2?
No. La ACN mide la conformidad sobre la aplicación de todos los requisitos de sus medidas básicas, no sobre un certificado. Quien está certificado parte con ventaja, y la UNI/PdR 174:2025 ayuda a ver qué falta.
¿Con la 27001 cumplo el GDPR?
No. Accredia lo escribe claramente: un certificado de sistema no garantiza la conformidad legal. Para el GDPR, las únicas certificaciones son las previstas en el art. 42.
Todavía tengo un certificado ISO/IEC 27001:2013: ¿es válido?
No. Los certificados sobre la edición 2013 caducaron o se retiraron el 31/10/2025: hace falta una certificación sobre la edición 2022.
Fuentes
Cada referencia de esta ficha procede de una de estas fuentes, comprobadas el 28/09/2026. Si una ley o una norma cambia, la ficha se actualiza.
Fuentes
- ISO — ISO/IEC 27001:2022, Information security management systems (se abre en una pestaña nueva)
- IAF MD 26 — Transition requirements for ISO/IEC 27001:2022 (se abre en una pestaña nueva)
- ACN — servizi cloud per la PA, misure del livello QC1 (se abre en una pestaña nueva)
- ACN — UNI/PdR 174:2025 per i soggetti NIS certificati ISO/IEC 27001 (se abre en una pestaña nueva)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (se abre en una pestaña nueva)
- Accredia — Organismi di certificazione dei sistemi di gestione (se abre en una pestaña nueva)
- D.Lgs. 36/2023, art. 106 — garanzie per la partecipazione (Normattiva) (se abre en una pestaña nueva)
- D.Lgs. 36/2023, allegato II.13 — certificazioni per la riduzione delle garanzie (testo della GU n. 77 del 31/03/2023) (se abre en una pestaña nueva)
Lista de espera
Te escribimos cuando 10ISO abra.
Un minuto: quién eres, tu email y la norma que te interesa. No es una suscripción y no te pedimos tarjeta.