Cuánto tarda implementar ISO 27001: plan por fases para una pyme
En una pyme de 20 a 100 personas, implementar ISO/IEC 27001:2022 y llegar a la auditoría de certificación suele tomar entre 4 y 9 meses. El plan de referencia del kit NexoDocs llega a la etapa 2 de la certificación en la semana 30 (unos 7 meses): 2 semanas de preparación, 2 de contexto y alcance, 6 de riesgos, unas 8 de implementación de controles, unas 12 de operación con evidencia (en parte superpuestas con la implementación) y la auditoría interna y la revisión por la dirección antes de la etapa 1. Lo que más alarga el proyecto no es escribir documentos, sino la disponibilidad de las personas y el tiempo que los controles deben funcionar antes de auditarlos.
Las 8 fases y su duración
Estas son las fases del plan del proyecto con diagrama de Gantt del kit ISO 27001 de NexoDocs (SGSI-PRY-01). Las semanas son referenciales para una pyme de 20 a 100 personas y se ajustan al ingresar la fecha de inicio:
| Fase | Qué se hace | Semanas del plan |
|---|---|---|
| 1 · Preparación | Autodiagnóstico de brechas, caso de negocio y patrocinio, nombrar al responsable del SGSI y al comité | 1-2 |
| 2 · Contexto y alcance | Contexto (incluido el cambio climático de la enmienda de 2024), partes interesadas, alcance y mapa de procesos | 3-4 |
| 3 · Política y objetivos | Aprobar la política de seguridad y los objetivos | 5 |
| 4 · Riesgos | Inventario de activos, metodología, talleres de evaluación de riesgos, plan de tratamiento y Declaración de Aplicabilidad | 5-10 |
| 5 · Implementación | Políticas del Anexo A, controles técnicos prioritarios, proveedores y nube, concientización, control documental | 10-17 |
| 6 · Operación y medición | Operar los controles, registrar evidencias e incidentes, medir indicadores y reunir al comité | 14-25 |
| 7 · Auditoría interna | Auditoría interna completa, acciones correctivas y revisión por la dirección | 24-27 |
| 8 · Certificación | Contratar un organismo certificador acreditado (desde la semana 20), auditoría etapa 1 y etapa 2 | 20-30 |
Las fases 5 y 6 se superponen a propósito: cada control empieza a generar evidencia apenas se implementa, en vez de esperar a que todos estén listos. Por eso el plan no es una suma de fases en serie.
Por qué no se puede comprimir a pocas semanas
Los documentos se pueden tener en pocas semanas, sobre todo partiendo de plantillas. Lo que no se puede acelerar tanto es lo que el auditor quiere ver funcionando:
- Registros de operación: evidencias de que los controles se aplican (accesos revisados, respaldos probados, incidentes registrados), no solo políticas aprobadas.
- Seguimiento y medición (cláusula 9.1): indicadores medidos al menos en algunos ciclos.
- Auditoría interna (9.2) y revisión por la dirección (9.3) completas, con sus acciones correctivas en curso, antes de la auditoría de certificación.
- Concientización (7.3) llegando a todo el personal del alcance, no solo al equipo de TI.
- La agenda del organismo certificador, que conviene reservar con semanas de anticipación.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001Qué alarga o acorta el proyecto
| Factor | Efecto en el plazo |
|---|---|
| Alcance amplio (varias sedes, muchos sistemas o servicios) | Alarga riesgos, implementación y auditorías |
| Dedicación del responsable del SGSI | Con menos de un día por semana, el plan se estira varios meses |
| Patrocinio real de la dirección | Sin él se frenan aprobaciones, presupuesto y cambios de proceso |
| Controles técnicos que no existen (MFA, respaldos probados, registros) | Suele ser el tramo más largo de la implementación |
| Otra norma ISO de gestión ya implementada | Acorta las cláusulas 4 a 10 (documentos, auditoría interna, revisión por la dirección) |
| Partir de plantillas con ejemplos resueltos | Acorta la redacción; no reemplaza la operación ni la evidencia |
Cómo estimar su propio plazo
- Haga el análisis de brechas: el porcentaje por cláusula y por tema del Anexo A muestra cuánto trabajo hay de verdad.
- Defina el alcance con la dirección: es la decisión que más cambia el plazo.
- Cargue la fecha de inicio en el plan y ajuste la duración de las tareas donde el diagnóstico salió en rojo.
- Reserve desde el principio el tramo de operación con evidencia y la auditoría interna: es lo que más se suele subestimar.
- Revise el avance cada dos semanas y mueva fechas con datos, no con optimismo.
Plantilla: el plan del proyecto del kit ISO 27001
El kit ISO 27001 de NexoDocs incluye el plan del proyecto SGSI-PRY-01: un Excel sin macros con las 23 tareas de las 8 fases ya cargadas, responsable sugerido, semana de inicio y duración, carta Gantt que se recalcula con la fecha de inicio, estado de cada tarea (atrasada, en curso, terminada) y avance total ponderado. La primera tarea es el autodiagnóstico de brechas del mismo kit, y cada tarea indica el documento del kit que se usa. Si quiere ver el formato antes, puede descargar gratis la muestra del checklist de auditoría interna.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿Se puede certificar ISO 27001 en 3 meses?
Es poco frecuente. Con un alcance muy acotado, controles técnicos ya en marcha y dedicación alta podría acercarse, pero la auditoría de certificación necesita evidencia de operación, auditoría interna y revisión por la dirección ya realizadas.
¿Cuánto tiempo pasa entre la etapa 1 y la etapa 2?
Lo define el organismo certificador. En la práctica suelen pasar algunas semanas, para corregir lo que encuentre la etapa 1; el plan de referencia deja dos.
¿Cuántas horas internas requiere?
Depende del alcance. Como referencia, el responsable del SGSI necesita una parte importante de su semana durante el proyecto, y los dueños de procesos y TI participan en talleres y en la implementación de controles.
¿El plazo cambia con la versión 2022 de la norma?
No en lo esencial. La versión 2022 reordenó el Anexo A en 93 controles y agregó algunos nuevos, que suelen requerir trabajo técnico adicional si la organización venía de la versión 2013.
¿Usar un kit de plantillas asegura terminar en el plazo?
No. Un kit acorta la redacción y ordena el trabajo, pero el plazo depende del alcance, de la dedicación interna y del tiempo que los controles necesitan para generar evidencia.
Guías relacionadas
Análisis de brechas ISO 27001: cómo saber cuánto le falta a su SGSI
Cómo hacer el análisis de brechas ISO/IEC 27001:2022: los requisitos de las cláusulas 4 a 10, los 93 controles del Anexo A, cómo puntuar y qué hacer después.
Leer la guía →Cuánto cuesta implementar ISO 27001: kit, consultor o software
Costos reales de implementar y certificar ISO 27001 en una pyme: auditoría, consultor, software o kit de plantillas, comparados en una tabla.
Leer la guía →Documentos y registros obligatorios de ISO 27001:2022: checklist por cláusula
Checklist de documentos y registros que exige ISO/IEC 27001:2022, cláusula por cláusula, qué documentos del Anexo A aplican y fallas típicas de auditoría.
Leer la guía →Actualizado: 2026-10-29