La mayoría de las organizaciones medianas debería presupuestar entre 15.000 y 45.000 $ en costes del primer año y planificar un plazo de 6 a 9 meses hasta la certificación, aunque equipos pequeños con un alcance reducido pueden gastar menos de 10.000 $ y entornos complejos con múltiples sedes pueden superar los 80.000 $. El factor determinante más importante no es la plantilla; es el alcance: cuántos sistemas, sedes y unidades de negocio quedan dentro del límite del SGSI. Antes de fijar un presupuesto, realiza una evaluación de brechas frente a tu madurez de partida real, no la que crees tener.
En resumen:
- Los costes de certificación para la mayoría de las organizaciones medianas oscilan entre 15.000 y 45.000 $ en el primer año, con gastos más elevados en entornos complejos o con múltiples sedes.
- El plazo de certificación suele ser de 6 a 9 meses, aunque los proyectos de mayor envergadura o con varias sedes pueden durar más de un año, dependiendo del alcance y la madurez.
- El esfuerzo interno, a menudo subestimado, representa aproximadamente entre 105 y 340 días-persona para un alcance de 50 personas, lo que influye significativamente en el coste total.
- Las auditorías de seguimiento en el segundo y tercer año añaden aproximadamente entre 3.000 y 5.000 $ anuales, además de los costes continuos de herramientas y trabajo interno.
- Una presupuestación precisa requiere una evaluación del alcance y las brechas desde el principio; el uso de calculadoras adaptadas ayuda a obtener estimaciones defendibles basadas en los factores específicos de cada empresa.
Índice de contenidos
- ¿Qué determina la estimación de esfuerzo para ISO 27001 según el tamaño de la organización?
- ¿Cuánto tiempo suele tardar la certificación ISO 27001?
- ¿Cuántas horas-persona requiere realmente ISO 27001?
- ¿Cuál es el coste real a tres años de ISO 27001?
- ¿Qué factores de alcance modifican más la estimación?
- ¿Cómo se construye una estimación fiable para ISO 27001?
- Errores habituales en la estimación y cómo corregirlos
- Obtén tu estimación personalizada para ISO 27001 en dos minutos
- Fuentes
- Preguntas frecuentes
¿Qué determina la estimación de esfuerzo para ISO 27001 según el tamaño de la organización?
El tamaño de la empresa es el indicador más rápido del coste, pero también el más impreciso. Dos empresas de 40 personas pueden diferir en 20.000 $ dependiendo de si operan únicamente en la nube o gestionan una combinación de infraestructura en nube e infraestructura local heredada distribuida en tres oficinas.
A continuación se muestran los rangos habituales para un primer ciclo de certificación, asumiendo una madurez de partida intermedia (existen algunas políticas, pero los controles no están documentados ni aplicados de forma consistente):
| Tamaño de la organización | Coste típico del primer año | Qué suele incluir |
|---|---|---|
| Microempresa (1–10 empleados) | 6.000–15.000 $ | Consultoría ligera, políticas basadas en plantillas, preparación de auditoría autogestionada |
| Pequeña (10–25 empleados) | 15.000–45.000 $ | Soporte de consultor a tiempo parcial, herramientas básicas, un ciclo de auditoría |
| Mediana (25–50 empleados) | 20.000–54.000 $ | Responsable de proyecto dedicado, soporte en evaluación de riesgos, tasas de auditoría, software de cumplimiento |
| Media-grande (más de 50 empleados) | 45.000–80.000 $+ | Coordinación entre equipos, pruebas de penetración, programa formal de auditoría interna |
Los análisis sectoriales del proceso ISO 27001 sitúan los totales habituales del primer año para organizaciones pequeñas y medianas en una horquilla aproximada de entre 6.000 y 54.000 $, lo que coincide con lo que la mayoría de los consultores suelen presupuestar en la práctica.
Varios factores influyen en los costes dentro de cada banda, entre ellos las tasas de auditoría en función del número de empleados y sedes, la elección entre consultores externos o personal interno con herramientas propias, y los costes de trabajo interno, que habitualmente se subestiman.
¿Cuánto tiempo suele tardar la certificación ISO 27001?
La certificación funciona con dos relojes: el trabajo que puedes comprimir y el tiempo de calendario que no puedes. Puedes contratar más consultores para redactar políticas. No puedes obligar a un auditor a revisar seis meses de registros de seguridad en tres semanas.
A continuación se muestra el desglose típico de fases para una implementación en el mercado intermedio:
- Alcance y planificación del proyecto (2–4 semanas): definición de los límites del SGSI, designación de un responsable y aprobación del presupuesto.
- Análisis de brechas respecto a los controles del Annex A (1–3 semanas): identificación de lo que ya está implantado frente a lo que hay que construir.
- Evaluación y tratamiento de riesgos (3–5 semanas): catalogación de activos, puntuación de riesgos y decisión sobre qué controles los abordan.
- Implementación de controles y documentación (4–12 semanas): redacción de políticas, configuración de controles técnicos y formación del personal.
- Acumulación de registros y auditoría interna (8–12+ semanas): funcionamiento del SGSI el tiempo suficiente para generar evidencias reales y, a continuación, auditarlo internamente.
- Intervalo entre la Fase 1 y la Fase 2 (4–8 semanas): pausa estructural entre la revisión documental y la auditoría presencial.
La propia guía de certificación de ISO confirma esta estructura en dos fases: la Fase 1 revisa la documentación y la Fase 2 audita si realmente se cumple lo documentado. Los plazos publicados muestran implementaciones rápidas que se cierran en 3 o 4 meses, implementaciones estándar que se sitúan en 6 a 9 meses y proyectos de mayor duración (múltiples sedes, baja madurez de partida, responsabilidad a tiempo parcial) que se extienden más de un año.
Reserva tu fecha para la auditoría de Fase 2 con antelación. Los organismos de certificación suelen tener listas de espera de varios meses, y una reserva tardía puede añadir semanas que no tenías previstas.
¿Cuántas horas-persona requiere realmente ISO 27001?
Las cifras en dinero ocultan el coste real: el tiempo interno. Alguien tiene que redactar el registro de riesgos, recopilar evidencias y asistir a la auditoría. Convertir ese tiempo en días-persona por rol proporciona una estimación de recursos más honesta que un presupuesto global.
Para un alcance típico de 50 personas, se puede esperar aproximadamente:
- Responsable del proyecto / propietario del SGSI: 40–120 días-persona a lo largo del proyecto
- Ingeniero de seguridad o arquitecto de TI: 30–90 días-persona
- Personal de operaciones de TI: 20–80 días-persona, principalmente durante la implementación de controles
- Coordinadores de RRHH y formación: 10–30 días-persona para la formación en concienciación y la actualización del proceso de incorporación
- Personal legal o de cumplimiento: 5–20 días-persona revisando contratos y el mapeo regulatorio
Sumando todo, se obtienen aproximadamente entre 105 y 340 días-persona para una organización de 50 personas, lo que explica por qué muchas empresas subestiman el coste por un factor de dos: calculan la factura del consultor y se olvidan por completo de las horas internas. Un modelo de esfuerzo basado en encuestas para la implementación de SGSI respalda este patrón, mostrando que el esfuerzo se concentra principalmente en el responsable del proyecto y los roles técnicos, en lugar de distribuirse uniformemente entre el personal.
Un propietario a tiempo parcial que comparte dedicación con otro puesto suele duplicar el tiempo de calendario, aunque el total de días-persona sea similar.
Consejo práctico: Si no puedes dedicar un propietario a tiempo completo, protege como mínimo un bloque fijo de horas cada semana. El trabajo fragmentado e interrumpido en el SGSI es la causa más habitual de retrasos en los plazos de certificación.
¿Cuál es el coste real a tres años de ISO 27001?
El coste del primer año acapara toda la atención, pero la certificación no es un gasto puntual. Es un compromiso recurrente con auditorías de seguimiento en el segundo y tercer año, además de costes continuos de herramientas y trabajo interno.
Los análisis de costes sectoriales señalan sistemáticamente que el trabajo interno y el coste de oportunidad, y no las tasas de auditoría, constituyen el gasto oculto más elevado a lo largo de un ciclo ISO 27001 de tres años.
Un ejemplo práctico: si el coste del primer año es de 15.000 $, cabe esperar:
- Año 2 (auditoría de seguimiento): aproximadamente entre 2.250 y 3.750 $
- Año 3 (seguimiento más preparación anticipada de la recertificación): aproximadamente entre 3.000 y 5.000 $
- Renovaciones de herramientas y licencias: a menudo entre 2.000 y 6.000 $ anuales según la plataforma elegida
- Trabajo interno: continuo, típicamente entre 10 y 20 días-persona anuales para el mantenimiento
Esto sitúa el TCO realista a tres años para un proyecto con un coste de primer año de 15.000 $ en algún punto entre 25.000 y 35.000 $, una vez sumadas las auditorías de seguimiento y las herramientas. Omitir este cálculo es la razón por la que las organizaciones se exceden en su presupuesto de cumplimiento en el segundo año.
¿Qué factores de alcance modifican más la estimación?
Las decisiones de alcance tomadas en la primera semana repercuten en todo el proyecto. Algunos factores mueven las estimaciones más que cualquier otro:
- Amplitud del alcance: certificar una línea de producto cuesta mucho menos que certificar toda la empresa.
- Número de sedes: cada ubicación física adicional suele añadir días de auditoría y sobrecarga de coordinación.
- Infraestructura en nube frente a infraestructura heredada: los sistemas locales suelen requerir una recopilación de evidencias más manual que las plataformas en nube con registros integrados.
- Certificaciones existentes: las organizaciones que ya disponen de SOC 2 o ISO 9001 suelen reutilizar políticas y documentación de riesgos, lo que reduce varias semanas del plazo.
- Apoyo de la dirección: un propietario dedicado con autoridad real avanza más rápido que un comité sin un responsable claro.
Trata cualquier cambio de alcance a mitad del proyecto como una solicitud de cambio formal, no como una ampliación silenciosa. La desviación del alcance es la forma más rápida de agotar tanto el presupuesto como el plazo.
¿Cómo se construye una estimación fiable para ISO 27001?
Una estimación defendible sigue una secuencia, no una suposición. Saltarse pasos es la razón por la que las organizaciones se exceden en 20.000 $ a los cuatro meses.
- Realiza primero una evaluación de brechas o de preparación. Esto te indica tu madurez de partida real, no la que supones tener, y señala qué controles del Annex A faltan por completo.
- Fija el alcance e identifica los controles necesarios. Decide qué sistemas, sedes y unidades de negocio quedan dentro del límite del SGSI antes de presupuestar cualquier cosa.
- Asigna roles a horas-persona y añade después los costes de consultoría y auditoría. Utiliza las estimaciones por rol anteriores como referencia de trabajo interno.
- Valida con referencias de mercado y convierte todo en un TCO a tres años. Un consultor merece la inversión cuando tu equipo carece de experiencia en el Annex A; una calculadora de autoservicio funciona bien cuando ya dispones de experiencia interna en seguridad y solo necesitas cifras para defender un presupuesto.
Un plan de proyecto de 12 semanas es una comprobación útil frente a cualquier plazo que proponga tu consultor o equipo interno.
Errores habituales en la estimación y cómo corregirlos
La mayoría de las estimaciones fracasan por dos razones: los equipos subestiman las horas internas, tratando los honorarios del consultor como el coste total, y omiten por completo las auditorías de seguimiento, presupuestando el año uno y olvidando que existen el año dos y el tres. Designa un propietario dedicado y presupuesta el TCO completo a tres años antes de empezar, no después de que la primera factura te sorprenda.
— Martin
Obtén tu estimación personalizada para ISO 27001 en dos minutos
Las referencias genéricas te acercan al objetivo. Una cifra personalizada te proporciona un presupuesto que puedes defender realmente ante un director financiero. Una calculadora diseñada específicamente para cubrir esa brecha tiene en cuenta el tamaño de tu empresa, el sector y la madurez de seguridad actual para generar una estimación de costes y plazos que refleja tu punto de partida real, no uno genérico.
Introduce el tamaño de tu empresa, el alcance y el nivel de madurez, y la calculadora devuelve un rango de costes, un plazo estimado y un diagrama de Gantt exportable que puedes entregar directamente a la dirección como plan de proyecto. También puntúa los cuatro temas de control del Annex A para que sepas exactamente dónde están tus brechas antes de que ningún consultor te presupueste nada. La verificación de preparación gratuita lleva unos dos minutos, y puedes guardar varios escenarios para comparar, por ejemplo, un alcance reducido de un solo producto frente a una certificación de toda la empresa, antes de comprometer el presupuesto en cualquiera de ellas.
Fuentes
Para la orientación principal sobre el propio proceso de certificación, consulta la descripción general de certificación de ISO. Para una guía de presupuestación enfocada en el mercado estadounidense, véase este desglose de costes de certificación de un partner.
- ISO — Certificación (cómo funciona la certificación)
- Plazo para ISO 27001: ¿Cuánto tarda la certificación? | GovernanceDocs
- Uso de encuestas para estimar el esfuerzo de implantación de un SGSI (IEEE)
- Coste de la certificación ISO 27001: desglose completo | Cycore
Preguntas frecuentes
¿Cuánto cuesta habitualmente una auditoría ISO 27001?
Las tasas del organismo de certificación por la auditoría (excluyendo consultoría y trabajo interno) suelen oscilar entre 3.000 y 15.000 $ para organizaciones pequeñas y medianas, en función del número de empleados y sedes, según los análisis de costes sectoriales.
¿Es difícil el proceso de certificación ISO 27001?
La propia norma no es técnicamente compleja, pero el esfuerzo de documentar los controles de forma consistente y recopilar meses de evidencias operativas supera a la mayoría de las organizaciones en su primera certificación, especialmente a aquellas sin un propietario de SGSI dedicado.
¿Cómo se implementa ISO 27001 paso a paso?
Comienza con un análisis de brechas, fija el alcance, completa una evaluación de riesgos, implementa y documenta los controles del Annex A, realiza una auditoría interna y, a continuación, avanza por las auditorías de certificación de Fase 1 y Fase 2, siguiendo el proceso de certificación definido por ISO.
¿Cuánto tiempo se tarda en obtener la certificación ISO 27001?
La mayoría de las organizaciones medianas completan la certificación en 6 a 9 meses, aunque los proyectos acelerados con un alcance reducido pueden terminarse en 3 o 4 meses y las implementaciones complejas con múltiples sedes pueden tardar más de un año.
¿Cuál es la forma más rápida de obtener una estimación de costes fiable?
Realizar una evaluación de preparación como la que ofrece ISMS Calculator te proporciona un rango de costes y plazos personalizado basado en tu tamaño real, sector y madurez, en lugar de un valor de referencia genérico.