ISO 27001 para pymes: coste real y cómo empezar sin morir en el intento

«La ISO 27001 es para grandes empresas.» Es la objeción que más escuchamos, y es falsa: el registro español de certificados está lleno de consultoras de 15 personas, SaaS de 8 y agencias de desarrollo de 30. La pregunta correcta no es si una pyme puede certificarse —puede—, sino cuánto cuesta de verdad, cuánto esfuerzo interno exige y cuándo compensa. De eso va este capítulo: números reales, calendario realista y los trucos legítimos para no sobredimensionar el proyecto.

Cerramos con él los satélites de nuestra guía completa de certificación ISO 27001: si vienes directo a este artículo porque tu empresa es pequeña y el deal enterprise de turno te pide el certificado, aquí tienes el mapa; para el detalle de cada fase, la serie completa te espera enlazada por el camino.

1. ¿Tiene sentido para tu pyme? El test rápido

Certificarse compensa cuando el negocio lo pide. Señales claras de que sí:

• Tus clientes (o los que quieres tener) te mandan cuestionarios de seguridad cada vez más largos, o el certificado aparece como requisito o criterio puntuable en sus procesos de compra.
• Compites por licitaciones —públicas o de grandes corporaciones— donde la certificación suma puntos o descalifica su ausencia.
• Manejas datos sensibles de terceros: plataformas con datos personales a escala, información financiera o de salud, propiedad intelectual de clientes.
• Tu sector se está regulando (NIS2 y su cascada de exigencias a proveedores) y quieres adelantarte con un marco reconocido.

Y señales de que todavía no: nadie te lo ha pedido, tu prioridad es sobrevivir al product-market fit, o buscas «un sello para la web» sin intención de operar el sistema. En ese caso empieza por los fundamentos —los de nuestra guía de por dónde empezar con la ciberseguridad— y deja la certificación para cuando el mercado la exija: implantar bien cuesta lo mismo entonces, y el dinero mientras tanto trabaja en otra cosa.

2. El presupuesto real, desglosado

Para una pyme tecnológica de 10 a 50 empleados con un alcance razonable, estos son los números que manejamos en 2026:

• Consultoría de implantación: 6.000–15.000 €. La horquilla depende de tu madurez de partida y de cuánto hagas internamente. Con un CTO implicado que asuma la coordinación, la parte baja es alcanzable; delegarlo todo te lleva a la alta.
• Entidad de certificación: 3.500–7.000 € la certificación inicial (fases 1+2) y 2.000–3.500 € cada vigilancia anual. En empresas muy pequeñas (menos de 10 personas en alcance) puede bajar algo más.
• Herramientas: 0–3.000 €/año. Si ya pagas Google Workspace o Microsoft 365, un gestor de contraseñas y tu stack de desarrollo, quizá no necesites nada nuevo. Las plataformas de compliance automatizado (Vanta, Drata y compañía) ahorran horas pero cuestan varios miles al año: en pymes suelen ser prescindibles en la primera certificación.
• Coste interno: el grande y el invisible. Entre 200 y 400 horas del equipo durante la implantación (repartidas en 6-9 meses), concentradas en el responsable interno. Ponles precio/hora y súmalas: es la partida que decide si el proyecto sale bien.

Total primer año: entre 12.000 y 25.000 € todo incluido para la mayoría de pymes tecnológicas, y 4.000–8.000 €/año de mantenimiento después (vigilancia + horas internas). Contra eso, la cuenta comercial: ¿cuánto vale el contrato que hoy no puedes firmar? En B2B tech, un solo cliente enterprise suele pagar el ciclo completo.

2.1 Tres escenarios tipo, para ubicarte

• Micro (5-12 personas, buena base técnica): consultoría ligera 6.000-9.000 € + certificadora ~4.000 € + 150-250 horas internas. Total primer año: 12.000-16.000 €. Viable en 6-7 meses si el CTO lidera.
• Pyme estándar (15-40 personas, madurez media): consultoría 9.000-14.000 € + certificadora 4.500-6.000 € + 250-350 horas. Total: 16.000-22.000 € y 7-9 meses.
• Pyme compleja (40-80 personas, varias líneas de negocio o legado importante): consultoría 12.000-18.000 € + certificadora 6.000-8.000 € + 350-450 horas, posiblemente con herramienta GRC. Total: 20.000-30.000 € y 9-12 meses.

Si te ofertan muy por debajo de estos rangos, pregunta qué incluye de verdad (spoiler: plantillas). Si muy por encima, pregunta por qué: puede haber un sobredimensionamiento que tú mismo puedes recortar acotando el alcance.

3. El calendario pyme: 6-9 meses sin ahogarse

Con recursos limitados, el enemigo es la parálisis por acumulación. El calendario que funciona reparte el esfuerzo en olas pequeñas:

• Mes 1: decisión, alcance acotado y responsable nombrado (con horas reservadas de verdad en su agenda: 1-2 días/semana).
• Meses 2-3: análisis de riesgos en talleres cortos + SoA primera versión. En una pyme, tres sesiones de dos horas bastan para la foto inicial.
• Meses 3-6: implantación por prioridad de riesgo: primero los controles técnicos de máximo retorno (MFA, backups probados, parcheo), en paralelo las políticas cortas del bloque organizativo.
• Mes 7: rodaje con evidencias + auditoría interna (externa si no hay independencia posible dentro).
• Meses 8-9: revisión por dirección, fase 1, correcciones y fase 2 — el detalle está en el capítulo de la auditoría de certificación.

La variable crítica no es el tamaño de la empresa sino la constancia: media jornada semanal sostenida gana siempre a los atracones trimestrales.

4. Recursos mínimos: lo que de verdad necesitas

• Un responsable interno con mandato — en pymes tech, el CTO o un lead senior al 20-30%. Sin esta pieza, ninguna consultora te salva.
• Dirección que firme y aparezca — el CEO dedica pocas horas, pero en los momentos que cuentan: política, apetito de riesgo, revisión anual, sesión con el auditor.
• Herramientas que ya tienes, bien configuradas — Workspace/M365 con MFA y grupos bien gestionados cubre una cantidad sorprendente de controles: accesos, retención, DLP básico, auditoría de eventos. Tu repositorio y CI cubren buena parte del desarrollo seguro.
• Documentación mínima viable — el kit de ~15 documentos cortos que listamos en el capítulo organizativo. Ni uno más al empezar.
• Apoyo externo quirúrgico — donde más rinde: enfocar el análisis de riesgos, revisar la SoA antes de fase 1 y hacer la auditoría interna con ojos independientes (idealmente con pentest incluido para validar la parte técnica con hechos).

5. Para startups: el cuándo importa tanto como el cómo

En startups la pregunta tiene una dimensión extra: el momento. Demasiado pronto (pre-producto, sin clientes que lo pidan) es capital quemado en compliance que quizá haya que rehacer cuando el producto pivote. Demasiado tarde —cuando el deal enterprise ya está en la mesa con el certificado como condición— significa correr, pagar tarifas de urgencia y responder cuestionarios «a mano» mientras tanto.

El punto óptimo suele llegar con las primeras conversaciones enterprise serias: cuando los cuestionarios de seguridad empiezan a frenar el pipeline, arranca. Y una vía intermedia inteligente: implanta los controles y el SGSI ligero sin certificarte aún — respondes cuestionarios con solvencia, reduces riesgo real (los errores técnicos que frenan startups los conocemos bien de acompañar MVPs hacia producto escalable) y, cuando el mercado exija el papel, la auditoría es el último paso y no el primero.

6. Mientras llega el certificado: sobrevivir a los cuestionarios

Entre que decides certificarte y tienes el papel pasan meses, y los cuestionarios de seguridad de tus clientes no esperan. Estrategia para ese periodo:

• Sé transparente con el roadmap: «estamos en proceso de certificación ISO 27001, con auditoría prevista en [trimestre]» es una respuesta que la mayoría de departamentos de compras acepta, especialmente acompañada de evidencias parciales.
• Prepara un paquete de seguridad reutilizable: una página o PDF con tu postura — arquitectura, cifrado, backups, control de accesos, gestión de incidentes, subprocesadores. Responde el 70% de cualquier cuestionario y ahorra decenas de horas al año.
• Responde con hechos verificables, no con adjetivos: «MFA obligatorio en el 100% de accesos administrativos desde marzo» convence; «nos tomamos la seguridad muy en serio» no.
• Registra cada cuestionario respondido: además de reciclar respuestas, es la mejor fuente de requisitos reales de tu mercado para priorizar controles.

Efecto colateral positivo: este ejercicio te dice exactamente qué controles valoran tus clientes, que es información de oro para ordenar la implantación.

7. Cómo abaratar sin hacer trampas

• Acota el alcance con cabeza: el servicio que tus clientes compran y los sistemas que lo soportan. Ni «toda la empresa» ni un alcance-trampa que excluya lo que importa (el auditor y tus clientes lo detectan igual).
• Agrupa activos y simplifica el método de riesgos: matriz 5×5, escalas definidas, 30-50 riesgos. La sofisticación no puntúa; la coherencia sí.
• Hereda controles de tus proveedores: tu cloud ya tiene datacenter certificado — referencia sus certificados para los controles físicos en lugar de reinventarlos. Es legítimo y esperado.
• Evidencias automáticas desde el día uno: cada proceso que diseñes debe dejar rastro solo (tickets, issues recurrentes, actas plantilla). El coste de mantenimiento se desploma.
• No pagues dos veces por lo mismo: si ya haces revisiones de código, CI/CD y backups gestionados, documenta lo existente en lugar de montar procesos paralelos «para la ISO».
• Compara certificadoras por ciclo de 3 años y negocia: en pymes hay más flexibilidad de la que se cree.

8. Alternativas y complementos: no siempre es ISO-o-nada

Según tu mercado, valora el mapa completo antes de decidir:

• SOC 2 (Tipo II): si tu mercado es EE. UU. o clientes SaaS americanos, puede pesar más que la ISO. Controles muy solapados: hacer los dos después del primero es incremental.
• Esquema Nacional de Seguridad (ENS): si vendes (o quieres vender) a la administración pública española, es obligatorio en su ámbito — y para muchas pymes tech españolas es incluso más urgente que la ISO. Es la segunda parada de esta serie: la guía completa del ENS.
• Certificado de Ciberseguridad / esquemas ligeros: esquemas nacionales tipo «Esquema de Certificación de Ciberseguridad para pymes» o sellos sectoriales pueden servir de peldaño intermedio, pero verifica siempre que quien te lo pide los acepta.
• Solo cuestionarios + mejores prácticas: perfectamente válido mientras nadie exija el certificado. La ISO no es un fin: es un formato estandarizado de demostrar lo que ya deberías hacer.

9. Errores de pyme (los hemos visto todos)

• Comprar «la ISO en 30 días». Documentación de plantilla + auditoría amistosa = un papel que no sobrevive al primer cuestionario técnico serio de un cliente, ni a la primera vigilancia estricta.
• Sobredimensionar como una gran empresa. Comité de seguridad de seis personas en una empresa de doce. La norma pide proporcionalidad; úsala.
• El responsable sin horas. Nombrar al CTO «responsable del SGSI» sin quitarle nada de encima. A los tres meses, el proyecto está muerto y la consultora facturando.
• Certificar el alcance equivocado. Certificar «las oficinas» cuando vendes una plataforma cloud. Dinero gastado en un certificado que no sirve para vender.
• Descuidar el año dos. Sin ritmo de mantenimiento, la primera vigilancia se convierte en una segunda implantación. Las evidencias automáticas son el seguro de vida.

10. Caso práctico: agencia de desarrollo, 14 personas

Perfil real (anonimizado): agencia de desarrollo web y ecommerce, 14 personas, clientes corporativos, un deal importante condicionado al certificado. Punto de partida: buena higiene técnica (Git, CI, backups) y cero documentación formal.

Cómo fue: alcance acotado a los servicios de desarrollo y mantenimiento de plataformas (excluyendo una línea menor de formación); análisis de riesgos en tres talleres; 28 riesgos registrados; implantación en cuatro meses aprovechando Workspace + GitHub + su stack de monitorización existente; políticas: 11 documentos, ninguno de más de dos páginas; auditoría interna externa con pentest incluido (dos menores detectadas y corregidas antes de la certificación).

Números finales: 9.800 € de consultoría, 4.600 € de certificadora (fases 1+2), 0 € en herramientas nuevas, unas 260 horas internas en 8 meses. Resultado: certificado con tres no conformidades menores, deal firmado (que multiplicaba por cuatro la inversión total) y —palabras del CTO— «el inventario de accesos ordenado nos ha ahorrado más sustos que el certificado».

11. FAQ pyme: las dudas que siempre salen

¿Podemos hacerlo completamente solos, sin consultora?

Sí, si alguien del equipo dedica tiempo a estudiar la norma (la propia ISO 27001 + la 27002 como guía de controles) y tenéis disciplina de proyecto. Cuenta con 2-3 meses extra de curva de aprendizaje. Lo único no negociable: la auditoría interna la debe hacer alguien que no haya implantado — ahí sí necesitarás al menos una intervención externa puntual.

¿Cuánta gente tiene que «saber de ISO» en la empresa?

Una entiende el sistema completo (el responsable); dirección entiende su papel; y el resto del equipo conoce las políticas que le afectan y el canal de incidentes. Nada más. El error es intentar que todos sepan de la norma: genera rechazo y no aporta.

Somos 100% remoto, sin oficina. ¿Cómo afecta?

Simplifica los controles físicos (se heredan del datacenter de tu cloud y se reducen al puesto de trabajo remoto: cifrado de disco, bloqueo de pantalla, red doméstica) y sube el peso del control de accesos, el endpoint y el teletrabajo. Las certificadoras están perfectamente habituadas; la auditoría será remota con normalidad.

¿El certificado cubre también a nuestros freelance habituales?

Si tocan sistemas o información dentro del alcance, deben cumplir tus políticas: acuerdo de confidencialidad, accesos nominales y las mismas reglas de desarrollo seguro. Documenta su encaje en el registro de proveedores. Es de las preguntas favoritas de los auditores en agencias.

¿Y si suspendemos… digo, si salen muchas no conformidades?

Las menores se gestionan con plan de acción sin drama (revisa el capítulo de la auditoría). El escenario de mayores en cadena solo aparece cuando el sistema es fachada — y si has llegado hasta aquí siguiendo la serie, no será tu caso.

Conclusión: proporcional, constante y con motivo

La ISO 27001 en una pyme ni es inalcanzable ni es un trámite: es un proyecto de 12.000-25.000 € y 6-9 meses que compensa exactamente cuando el negocio lo pide. Las claves son las mismas que llevamos repitiendo toda la serie, elevadas al cuadrado por la escala: alcance con cabeza, riesgos honestos, controles proporcionales, evidencias automáticas y un responsable con horas de verdad.

Con este capítulo cerramos el sub-cluster ISO 27001. La serie continúa con el otro gran marco español —obligatorio si trabajas con el sector público—: el Esquema Nacional de Seguridad (ENS), explicado de arriba abajo.