ISO 27001 Obligatoria en España: ¿Cuándo y Para Quién?

La respuesta corta es que ninguna ley española obliga, de forma general, a certificarse en ISO 27001. La respuesta útil es que cada vez más empresas están obligadas en la práctica: por el sector en el que operan, por el cliente que les contrata o por la normativa europea que les aplica. Esta guía separa una cosa de la otra. Normapymes es una consultora española de cumplimiento normativo especializada en la implantación y certificación de normas ISO, con sede en Sevilla y servicio en toda España.

Qué dice la ley: ISO 27001 no es obligatoria por sí misma

La ISO/IEC 27001 es una norma internacional voluntaria. No existe en España ningún texto legal que diga «las empresas de tal tamaño deben certificarse en ISO 27001». Lo que sí existe es un conjunto de obligaciones legales de seguridad de la información que la norma ayuda a cumplir, y que en muchos casos son difíciles de acreditar sin un sistema de gestión formal.

El caso más claro es el artículo 32 del RGPD, que exige aplicar medidas técnicas y organizativas apropiadas al riesgo. No nombra a la ISO 27001, pero sí menciona la adhesión a un mecanismo de certificación como forma de demostrar el cumplimiento. Ahí está la diferencia entre decir que se es seguro y poder probarlo ante la AEPD.

Cuándo pasa a ser obligatoria en la práctica

1. Contratación pública y el Esquema Nacional de Seguridad

Si su empresa presta servicios a la Administración que impliquen tratar información del sector público, lo que aplica es el ENS, regulado por el Real Decreto 311/2022. Eso sí es obligatorio, y no es lo mismo que la ISO 27001. La buena noticia es que ambos comparten enfoque de análisis de riesgos y controles, así que un sistema ya montado bajo ISO 27001 acorta mucho la adecuación al ENS.

Además, muchos pliegos de licitación incluyen la ISO 27001 como criterio de solvencia técnica o como puntuación adicional. Formalmente es voluntaria; si sin ella no se puede competir, la distinción es académica.

2. La directiva NIS2

La NIS2 amplía enormemente el número de entidades sujetas a obligaciones de ciberseguridad: energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública, y también sectores como la fabricación, la alimentación o los residuos. Impone medidas de gestión de riesgos, notificación de incidentes y, esto es lo relevante, responsabilidad directa de los órganos de dirección.

NIS2 no exige literalmente la ISO 27001, pero el catálogo de medidas que enumera se solapa casi punto por punto con los controles del Anexo A. Para una entidad afectada, certificarse es la vía más reconocible de acreditar diligencia.

3. DORA en el sector financiero

El reglamento DORA impone a entidades financieras y a sus proveedores tecnológicos críticos requisitos de resiliencia operativa digital: gestión del riesgo TIC, pruebas, control de terceros y notificación de incidentes. De nuevo, la certificación no es el requisito legal, pero sí la forma habitual de demostrarlo frente al supervisor.

4. La exigencia del cliente

Es, con diferencia, el motivo más frecuente por el que una pyme española acaba certificándose. Las grandes corporaciones trasladan sus requisitos de seguridad a toda la cadena de suministro mediante cuestionarios y cláusulas contractuales. Cuando un cliente importante pide la certificación como condición para renovar, deja de ser una decisión estratégica y pasa a ser una condición de negocio.

Entonces, ¿le aplica a su empresa?

Una forma rápida de situarse:

• Trata datos personales a escala relevante: no está obligada a certificarse, pero el artículo 32 del RGPD le obliga a tener medidas proporcionadas y a poder demostrarlas.
• Presta servicios a la Administración: revise primero el ENS, que sí es obligatorio. La ISO 27001 le facilitará el camino.
• Opera en un sector cubierto por NIS2: tendrá obligaciones de gestión de riesgos y notificación con responsabilidad de la dirección. La certificación es la vía más limpia de acreditarlas.
• Es entidad financiera o proveedor TIC crítico: le aplica DORA, con requisitos propios de resiliencia.
• Vende a grandes cuentas: aunque nada le obligue legalmente, es probable que se lo exija su cliente antes que el legislador.

Qué implica certificarse

Implantar la ISO 27001 supone definir el alcance del sistema, hacer un análisis de riesgos, seleccionar los controles aplicables y justificar en la declaración de aplicabilidad los que se descartan y por qué. Después hay que operarlo: formación, gestión de incidentes, indicadores, auditoría interna y revisión por la dirección. La certificación la emite una entidad acreditada tras una auditoría en dos fases, y el certificado dura tres años con seguimientos anuales.

Para una pyme con un alcance bien acotado, el plazo habitual va de tres a seis meses. El error más común es abrir un alcance demasiado amplio al principio: multiplica el trabajo sin aportar nada frente al cliente que pide el certificado.

Conclusión

La ISO 27001 no es obligatoria en España por ley general, pero la pregunta correcta no es esa. Es si su empresa está dentro del ENS, de NIS2 o de DORA, si necesita acreditar el artículo 32 del RGPD, o si su cliente se lo va a pedir. Si la respuesta a alguna es que sí, la certificación deja de ser opcional en términos prácticos.

Si quiere salir de dudas sobre su caso concreto, puede consultar nuestra página de consultoría ISO 27001, la de adecuación al ENS o las de NIS2 y DORA.