ISO 27001 para pymes y startups: un SGSI liviano que igual pasa la auditoría
Una startup o pyme puede implementar ISO/IEC 27001:2022 con un SGSI liviano: los requisitos son los mismos para cualquier tamaño, pero la forma de cumplirlos se ajusta. Las cláusulas 4 a 10 no se pueden excluir (contexto, liderazgo, riesgos, apoyo, operación, evaluación y mejora); los controles del Anexo A se eligen según la evaluación de riesgos y los que se excluyan deben justificarse en la Declaración de Aplicabilidad. En una empresa de 5 a 50 personas lo clave es un alcance acotado y claro (muchas veces el producto y la plataforma en la nube), un responsable del SGSI con tiempo real y respaldo de la dirección, medidas compensatorias donde no hay gente suficiente para separar funciones y buen uso de los controles de los proveedores de nube. El tiempo de auditoría también se ajusta: los organismos de certificación lo fijan principalmente por el número de personas dentro del alcance.
Lo que no cambia con el tamaño
- Todas las cláusulas 4 a 10: contexto y alcance, liderazgo y política, evaluación y tratamiento de riesgos, competencia y concientización, operación, seguimiento, auditoría interna, revisión por la dirección y mejora continua.
- La información documentada obligatoria (alcance, política, metodología de riesgos, Declaración de Aplicabilidad, plan de tratamiento, objetivos, registros de competencia, seguimiento, auditoría interna y revisión por la dirección).
- Evidencia de que los controles funcionan durante un tiempo antes de la auditoría de certificación, no solo documentos aprobados.
Lo que sí se ajusta
| Área | Cómo lo resuelve normalmente una empresa pequeña |
|---|---|
| Alcance (cláusula 4.3) | Limitarlo a lo que preguntan los clientes, por ejemplo el producto, su plataforma en la nube y las personas que la operan |
| Roles (5.3 y control 5.2) | Un responsable del SGSI (a menudo el CTO o el gerente de operaciones) y un comité pequeño con los fundadores; responsabilidades en una tabla RACI |
| Segregación de funciones (control 5.3) | Si no hay gente suficiente, compensar con registros, alertas, revisión de cambios por pares y revisión periódica de la dirección, y dejar esa decisión en la evaluación de riesgos |
| Nube (control 5.23) | Usar el modelo de responsabilidad compartida del proveedor y sus informes; lo tuyo es la configuración, los accesos, los respaldos y el monitoreo |
| Seguridad física (controles 7.1 a 7.14) | Con trabajo remoto o cowork, muchos aplican a los centros de datos del proveedor y a los notebooks; justificar las exclusiones en la Declaración de Aplicabilidad |
| Trabajo remoto (control 6.7) | Reglas breves para equipos, cifrado de disco, bloqueo de pantalla y redes domésticas |
| Auditoría interna (9.2) | La puede hacer una persona capacitada que no audite su propio trabajo, o un auditor externo por unos días |
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001Errores frecuentes en empresas pequeñas
- Copiar el alcance y los controles de una empresa grande y terminar con políticas que nadie sigue.
- Excluir controles del Anexo A sin una justificación ligada a la evaluación de riesgos.
- Dejar el SGSI a una sola persona sin tiempo ni autoridad: el plan se detiene en el primer plazo.
- Escribir los documentos y pasar a la auditoría sin meses de registros (revisión de accesos, respaldos probados, incidentes, indicadores).
- Suponer que el certificado del proveedor de nube cubre a tu empresa: cubre su parte, no tu configuración ni tu gente.
Un plan realista para 5 a 50 personas
- Haz un análisis de brechas contra las cláusulas y los 93 controles del Anexo A para ver dónde estás de verdad.
- Acuerda un alcance acotado con los fundadores y nombra al responsable del SGSI.
- Evalúa los riesgos con quienes conocen el producto y la infraestructura, y decide desde ahí el tratamiento y la Declaración de Aplicabilidad.
- Implementa primero los controles técnicos prioritarios: MFA, revisión de accesos, respaldos probados, registros y alertas, configuración segura de la nube.
- Opera y registra evidencia durante algunos meses, haz la auditoría interna y la revisión por la dirección, y luego agenda la etapa 1 y la etapa 2.
El plan de referencia de NexoDocs llega a la etapa 2 en unas 30 semanas para 20 a 100 personas; un equipo muy pequeño con alcance acotado puede avanzar más rápido en la documentación, pero no en el tiempo que los controles necesitan funcionar.
Plantilla: el kit ISO 27001 para un SGSI liviano
El kit ISO 27001 de NexoDocs le da a un equipo pequeño los documentos ya estructurados en Word y Excel editables, con un caso de ejemplo: autodiagnóstico de brechas (SGSI-DIA-01), plan del proyecto con Gantt (SGSI-PRY-01), metodología y matriz de riesgos, plan de tratamiento, Declaración de Aplicabilidad con los 93 controles, políticas del Anexo A y programa de auditoría interna. Los adaptas a tu alcance en vez de escribir desde cero; el kit no reemplaza la operación de los controles ni la auditoría del organismo de certificación, y ningún kit puede garantizar el resultado.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿Vale la pena ISO 27001 para una startup?
Sí, cuando los clientes o las licitaciones lo piden, o cuando los cuestionarios de seguridad están frenando las ventas. Si nadie lo pide aún, armar lo básico (riesgos, accesos, respaldos, incidentes) ya te prepara para cuando lo pidan.
¿Se puede certificar una empresa de 5 personas?
Sí. La norma no tiene tamaño mínimo. Se aplican las mismas cláusulas y la auditoría es más corta porque depende principalmente del número de personas en el alcance.
¿Qué controles del Anexo A puede excluir una pyme?
Cualquier control se puede excluir si la evaluación de riesgos muestra que no hace falta y la exclusión se justifica en la Declaración de Aplicabilidad. Las cláusulas 4 a 10 no se pueden excluir.
¿Necesito una persona de seguridad a tiempo completo?
Normalmente no. Necesitas un responsable con horas dedicadas cada semana y respaldo de la dirección; tareas puntuales como la auditoría interna se pueden externalizar.
Guías relacionadas
Cuánto cuesta implementar ISO 27001: kit, consultor o software
Costos reales de implementar y certificar ISO 27001 en una pyme: auditoría, consultor, software o kit de plantillas, comparados en una tabla.
Leer la guía →Cuánto tarda implementar ISO 27001: plan por fases para una pyme
Cuánto tarda implementar y certificar ISO/IEC 27001:2022 en una pyme: las 8 fases semana a semana, qué alarga el proyecto y cómo acortarlo sin saltarse requisitos.
Leer la guía →Análisis de brechas ISO 27001: cómo saber cuánto le falta a su SGSI
Cómo hacer el análisis de brechas ISO/IEC 27001:2022: los requisitos de las cláusulas 4 a 10, los 93 controles del Anexo A, cómo puntuar y qué hacer después.
Leer la guía →Actualizado: 2026-10-29