§ Normativa · Actualizado 20/10/2026
ISO/IEC 27001: certificar sin burocracia inútil.
ISO/IEC 27001 es la norma internacional para sistemas de gestión de seguridad de la información (SGSI). La edición vigente es la 2022, con la enmienda de 2024, y en Uruguay UNIT la adoptó como UNIT-ISO/IEC 27001:2022.
En 30 segundos
- Edición vigente
- ISO/IEC 27001:2022 + Amd 1:2024
- Controles
- 93 en 4 temas (Anexo A)
- En Uruguay
- UNIT-ISO/IEC 27001:2022
- Validez del certificado
- 3 años, con auditorías anuales
- Versión 2013
- Sin certificados válidos desde el 31/10/2025
Qué cambió en la edición 2022
El Anexo A pasó de 114 a 93 controles, agrupados en 4 temas: organizacionales (37), de personas (8), físicos (14) y tecnológicos (34). Se sumaron 11 controles nuevos:
- Inteligencia de amenazas
- Seguridad en servicios en la nube
- Preparación de las TIC para la continuidad del negocio
- Monitoreo de la seguridad física
- Gestión de la configuración
- Eliminación de información
- Enmascaramiento de datos
- Prevención de fuga de datos
- Actividades de monitoreo
- Filtrado web
- Codificación segura
La enmienda de 2024 incorpora el cambio climático como una cuestión a considerar en el contexto de la organización; no agrega controles.
Fin de la versión 2013
Los certificados bajo ISO/IEC 27001:2013 vencieron el 31 de octubre de 2025. Una organización que no hizo la transición a tiempo vuelve a empezar con una auditoría de certificación inicial completa.
Cómo es la certificación
- Etapa 1: revisión de la documentación y de la preparación del SGSI.
- Etapa 2: evaluación de la implementación y su eficacia.
- Certificado válido por 3 años, con auditorías de seguimiento en el primer y segundo año.
- Recertificación en el tercer año.
La guía de implementación de los controles es ISO/IEC 27002:2022, y la gestión de riesgos se apoya en ISO/IEC 27005:2022.
Cómo se prepara bien
El error más común es empezar por las políticas. Lo que funciona es definir bien el alcance, hacer un análisis de riesgos real y elegir los controles que reducen esos riesgos. Así el SGSI sirve para operar mejor, no solo para pasar la auditoría.
⏱ Plazos y frecuencias
| Plazo | Qué | Norma |
|---|---|---|
| Etapa 1 → Etapa 2 | Revisión documental y luego evaluación de la implementación | ISO/IEC 17021-1 |
| Años 1 y 2 | Auditorías de seguimiento | Ciclo de certificación |
| Año 3 | Recertificación | Ciclo de certificación |
→ Cómo te ayudo
- Análisis de brechas contra ISO/IEC 27001:2022 y definición del alcance del SGSI.
- Análisis y tratamiento de riesgos que la dirección entienda y pueda priorizar.
- Implementación de controles con foco en los 11 nuevos (nube, monitoreo, DLP, codificación segura).
- Auditoría interna (como Auditor Interno ISO 27001) y preparación para la certificación.
? Preguntas frecuentes
¿Cuántos controles tiene ISO 27001:2022?
93 controles en el Anexo A, agrupados en 4 temas: organizacionales, de personas, físicos y tecnológicos.
¿Sigue siendo válida la ISO 27001:2013?
No. Los certificados 2013 vencieron el 31 de octubre de 2025. Hoy toda certificación se hace contra la edición 2022.
¿Cuánto dura un certificado ISO 27001?
Tres años, con auditorías de seguimiento anuales y una recertificación al tercer año.
Fuentes oficiales
- UNIT-ISO/IEC 27001:2022 ↗
- UNIT-ISO/IEC 27001:2022/Amd.1:2024 ↗
- ISO/IEC 27001:2022 (ISO) ↗
- Política de transición ISO/IEC 27001:2022 (NSAI) ↗
Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso.