Norma ISO/IEC 27001:2022: qué exige y cómo se aplica
ISO/IEC 27001 es la norma internacional que establece los requisitos para crear, implantar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Es la única norma de la familia ISO 27000 frente a la que una organización puede certificarse.
La versión vigente es ISO/IEC 27001:2022, modificada por la enmienda Amd 1:2024 sobre cambio climático. En España se publica como UNE-EN ISO/IEC 27001:2023. Desde el 31 de octubre de 2025 ya no existen certificados válidos según la versión de 2013.
La norma ISO 27001 en datos
| Dato | Valor |
| Título oficial | Information security, cybersecurity and privacy protection — Information security management systems — Requirements |
| Edición vigente | ISO/IEC 27001:2022 (3.ª edición), publicada el 25 de octubre de 2022 |
| Enmienda | ISO/IEC 27001:2022/Amd 1:2024, publicada en febrero de 2024 (cambio climático) |
| Versión española | UNE-EN ISO/IEC 27001:2023 y UNE-EN ISO/IEC 27001:2023/A1:2024 |
| Organismo responsable | ISO/IEC JTC 1/SC 27 |
| Estructura | 10 cláusulas (requisitos en la 4 a la 10) y Anexo A con 93 controles |
| Certificable | Sí, por entidades de certificación acreditadas |
| Carácter | Voluntaria, salvo que la exija un contrato, un cliente o un pliego |
| Versiones anteriores | ISO/IEC 27001:2005 e ISO/IEC 27001:2013, ambas retiradas |
Estructura de la norma ISO 27001:2022
La norma sigue la estructura armonizada común a las normas ISO de sistemas de gestión, como ISO 9001 o ISO 22301. Esto facilita integrar el SGSI con otros sistemas. Las cláusulas 0 a 3 son introductorias (introducción, objeto, referencias normativas y términos). Los requisitos certificables están en las cláusulas 4 a 10:
4. Contexto de la organización
4.1. Conocimiento de la organización y de su contexto.
4.2. Comprensión de las necesidades y expectativas de las partes interesadas.
4.3. Determinación del alcance del Sistema de Gestión de la Seguridad de la Información.
4.4. Sistema de Gestión de Seguridad de la Información.
6. Planificación
6.1. Acciones para tratar riesgos y oportunidades.
6.2. Objetivos de seguridad de la información y planes para lograrlos.
6.3 Planificación de los cambios
7. Soporte
8. Operación
8.1. Planificación y control operacional.
8.2. Valoración de riesgos de la seguridad de la información.
8.3. Tratamiento de riesgos de la seguridad de la información.
9. Evaluación del desempeño
9.1. Seguimiento, medición, análisis y evaluación.
9.3. Revisión por la dirección.
