Checklist de Cumplimiento ISO 27001 para Empresas Colombianas en 2026

Cumplimiento y regulación

29 Sep 2026, 9:00 a.m. Por Juan Carlos Hernandez 💬 0

"Necesitamos la certificación ISO 27001 para el próximo contrato" es una frase que escuchamos constantemente de empresas colombianas que, hasta ese momento, nunca habían pensado en el tema. Suele llegar de la peor forma posible: un cliente grande, generalmente del sector financiero o gubernamental, la pide como requisito en el pliego de condiciones, y de repente hay tres meses para conseguir algo que normalmente toma entre seis y doce.

Este checklist no reemplaza el proceso formal de certificación, pero sí te da una idea realista de qué tan lejos o cerca está tu empresa, y qué pasos concretos vienen antes de siquiera llamar a un auditor externo.

Qué es realmente ISO 27001:2022

ISO 27001 es el estándar internacional para sistemas de gestión de seguridad de la información (SGSI). No certifica un producto ni una herramienta específica — certifica que tu empresa tiene un sistema de gestión, es decir, procesos documentados, roles asignados y mejora continua, alrededor de cómo protege la información. La versión 2022 actualizó el conjunto de controles del Anexo A, reduciéndolos y reorganizándolos en categorías más claras: organizacionales, de personas, físicos y tecnológicos.

El checklist, fase por fase

1. Definir el alcance. Antes de cualquier otra cosa, hay que decidir qué parte de la empresa entra en la certificación — toda la organización, un área específica, un servicio en particular. Un error común es intentar certificar todo desde el primer día, cuando empezar con un alcance más acotado suele ser más realista y más rápido de lograr.

2. Hacer un análisis de riesgos formal. Identificar los activos de información críticos, las amenazas que los afectan, y el nivel de riesgo asociado a cada uno. Este análisis es, en la práctica, el corazón de todo el sistema — sin él, no hay forma de justificar por qué se eligieron ciertos controles y no otros.

3. Seleccionar los controles del Anexo A que apliquen. No todos los 93 controles de la versión 2022 aplican a toda empresa. La selección debe basarse en el análisis de riesgos, no en copiar la lista completa por si acaso.

4. Documentar las políticas y procedimientos. Política de seguridad de la información, gestión de accesos, gestión de incidentes, continuidad del negocio, gestión de proveedores — cada control seleccionado necesita un procedimiento documentado que explique cómo se implementa en la práctica.

5. Implementar los controles técnicos y operativos. Aquí es donde la teoría se convierte en trabajo real: cifrado, segmentación de redes, gestión de accesos, capacitación del personal, procesos de respaldo. Una [auditoría de ciberseguridad](https://tirescue.com/auditoria-de-ciberseguridad/) previa ayuda a identificar exactamente qué brechas hay que cerrar antes de avanzar.

6. Capacitar al equipo. ISO 27001 no es solo un tema de TI — exige que todo el personal relevante entienda su rol dentro del sistema de gestión, desde quién reporta un incidente hasta quién aprueba un cambio de acceso.

7. Ejecutar una auditoría interna. Antes de llamar a un certificador externo, la norma exige una auditoría interna que evalúe si el sistema realmente funciona como está documentado. Es el momento de encontrar y corregir brechas sin la presión de una auditoría externa.

8. Revisión por la dirección. La alta gerencia debe revisar formalmente el desempeño del sistema de gestión, no delegarlo completamente al área técnica. Esto es, de hecho, uno de los puntos que más falla en organizaciones donde la seguridad de la información se ve como "un tema de sistemas" y no como una responsabilidad de toda la empresa.

9. Auditoría de certificación. Se hace en dos etapas: primero una revisión documental, luego una auditoría de implementación en sitio. El certificador emite la certificación si el sistema cumple los requisitos de la norma.

10. Mantenimiento continuo. La certificación no es un logro de una sola vez — exige auditorías de seguimiento anuales y una recertificación completa cada tres años.

Cuánto tiempo toma realmente

Para una empresa que empieza desde cero, sin ningún proceso documentado previo, un proceso realista toma entre seis y doce meses, dependiendo del tamaño de la organización y de qué tan maduros estén ya sus controles técnicos. Las empresas que ya tienen buenas prácticas de ciberseguridad implementadas — aunque no estén formalmente documentadas bajo el marco ISO — suelen avanzar más rápido, porque gran parte del trabajo es documentar y estructurar lo que ya existe, no construirlo desde cero.

Preguntas frecuentes

¿Es obligatoria la certificación ISO 27001 en Colombia?

No es obligatoria por ley de forma general, aunque en sectores regulados como el financiero se usa frecuentemente como marco de referencia para cumplir exigencias como la [Circular 007 de la SFC](https://tirescue.com/blog/circular-007-sfc-ciberseguridad/). Cada vez es más común que sea un requisito contractual exigido por clientes grandes o entidades públicas.

¿Puedo certificar solo un área de mi empresa?

Sí, y de hecho es una práctica común. Definir bien el alcance desde el inicio es una de las decisiones más importantes de todo el proceso.

¿ISO 27001 reemplaza el cumplimiento de la Ley 1581?

No los reemplaza, pero los complementa fuertemente. La [Ley 1581 de Habeas Data](https://tirescue.com/blog/ley-1581-habeas-data-empresas/) exige medidas de seguridad razonables; ISO 27001 le da a esas medidas una estructura formal y auditable.

¿Qué pasa si fallo la auditoría de certificación?

El certificador identifica las no conformidades encontradas, y la empresa tiene un plazo para corregirlas antes de una nueva revisión. No es un fracaso definitivo, es parte normal del proceso para muchas organizaciones.

¿Hablamos?

Prepararse para ISO 27001 sin apoyo especializado suele tomar más tiempo del necesario, y es fácil invertir esfuerzo en controles que no eran realmente prioritarios según tu análisis de riesgos. En T.I. RESCUE acompañamos este proceso completo, desde el diagnóstico inicial hasta la preparación para la auditoría de certificación, a través de nuestra [consultoría de ciberseguridad](https://tirescue.com/consultoria-de-ciberseguridad/). ¿Quieres saber qué tan lejos está tu empresa de la certificación? [Conversemos](https://tirescue.com/contacto-ti-rescue/).

Contactar