Publicado el 10/09/2026
Consultoría ISO 27001 en México: su SGSI implantado y listo para el certificado
Al terminar el proyecto usted tiene un Sistema de Gestión de Seguridad de la Información funcionando conforme a la ISO/IEC 27001:2022: los activos inventariados, los riesgos evaluados con una metodología propia, la Declaración de Aplicabilidad justificada control por control, las políticas escritas en un lenguaje que su equipo entiende y las evidencias ordenadas para la auditoría. Trabajamos con su gente y nos quedamos a su lado hasta que el organismo certificador emite el certificado.Conviene decir una cosa desde el arranque: el sistema no se le entrega en una carpeta de documentos.
Si usted así lo decide y no dispone de otro software, lo tendrá cargado y en operación dentro de ISOAPPWEB, la plataforma que desarrollamos en Grupo ACMS, con sus activos, sus riesgos y su Declaración de Aplicabilidad ya configurados y con su equipo capacitado para usarla.
Solicite su diagnóstico ISO 27001 sin costo. Un consultor de Grupo ACMS México revisa en dónde está su empresa hoy y le dice qué le falta para certificarse. Sin compromiso
Quién hace qué en un proyecto ISO 27001
Una duda razonable antes de contratar es cuánto trabajo le va a caer encima a su gente. Se lo ponemos por escrito desde el principio, porque un proyecto en el que no queda claro quién hace qué termina retrasándose.Lo hacemos nosotros | El diagnóstico de brechas, la metodología de riesgos, la redacción de políticas y procedimientos, la Declaración de Aplicabilidad, la auditoría interna, la preparación de la revisión por la dirección y el acompañamiento en la auditoría de certificación. |
Lo hacemos juntos | La decisión del alcance, el inventario de activos con cada área, la valoración de los riesgos y el plan de tratamiento. Aquí necesitamos a su gente: nadie conoce su operación mejor que ellos. |
Lo hace su empresa | Aprobar la política en dirección, aplicar los controles técnicos que le toquen a sistemas y sostener el sistema después. Le capacitamos para eso durante el proyecto, no al final. |
Lo hace un tercero | La auditoría y la emisión del certificado, que corren por cuenta de un organismo de certificación independiente. Nosotros le ayudamos a elegirlo y le acompañamos en las dos etapas. |
| Grupo ACMS Consultores. Consultora especializada en diseño, implantación y mantenimiento de Sistemas de gestión | |
Qué es la ISO/IEC 27001 y qué le va a pedir
La ISO/IEC 27001 es la norma internacional que define los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI). Dicho en corto: un método ordenado para saber qué información tiene, qué le puede pasar, qué decidió hacer al respecto y cómo demuestra que lo está haciendo.La norma se divide en dos partes que conviene no confundir:
Los requisitos del sistema (capítulos 4 al 10). Son obligatorios y no se negocian: contexto de la organización, liderazgo de la dirección, planificación, recursos, operación, evaluación del desempeño y mejora. Aquí es donde la mayoría de los proyectos se atoran, porque exige decisiones de dirección, no configuraciones técnicas.
El Anexo A. Es un catálogo de controles, no una lista de pendientes. Su trabajo no consiste en encenderlos todos, sino en decidir: para cada control responde una de dos cosas, «lo aplico, y así lo hago» o «no lo aplico, y esta es la razón». Ese ejercicio de decisión, escrito y aprobado, es la Declaración de Aplicabilidad, y es el primer documento que abre el auditor.
Tema del Anexo A | Controles | De qué va |
Organizacionales | 37 | Políticas, roles, proveedores, información en la nube, continuidad. |
De personas | 8 | Contrataciones, confidencialidad, concientización, salidas de personal. |
Físicos | 14 | Accesos a instalaciones, equipos, escritorio limpio, medios de almacenamiento |
Tecnológicos | 34 | Accesos lógicos, cifrado, respaldos, registro y monitoreo, desarrollo seguro. |
Qué es la ISO/IEC 27001 y qué le va a pedir
La versión vigente y lo que cambióDato | Situación |
Versión vigente | ISO/IEC 27001:2022, publicada el 25 de octubre de 2022. |
Enmienda | Amd 1:2024 (febrero de 2024): añade un requisito en el apartado 4.1 —determinar si el cambio climático es un asunto relevante— y una nota en el 4.2. |
Versión anterior | ISO/IEC 27001:2013 — la ventana de transición cerró el 31 de octubre de 2025. |
Situación en 2026 | No se ha publicado ninguna edición nueva; la de 2022 sigue siendo la vigente. |
La parte buena es que el trabajo hecho no se tira: normalmente se conserva la mayor parte del sistema y lo que hay que rehacer es el análisis de riesgos y la Declaración de Aplicabilidad contra la estructura de la 2022. En el diagnóstico le decimos cuánto se aprovecha en su caso concreto.
La ISO 27001 en México es voluntaria… hasta que deja de serlo
Esta es la parte que casi nadie le explica bien, y vale la pena entenderla porque cambia la conversación con su cliente y con su área jurídica.La Ley de Infraestructura de la Calidad, publicada en el Diario Oficial de la Federación el 1 de julio de 2020 —y que abrogó la antigua Ley Federal sobre Metrología y Normalización—, separa dos cosas. Por un lado, las Normas Oficiales Mexicanas (NOM), que son regulación técnica de observancia obligatoria. Por otro, los Estándares, entre los que entra la ISO 27001, y que según el artículo 73 «por regla general, son de aplicación voluntaria».
Hasta ahí, lo esperado. Lo interesante viene después, porque ese mismo artículo 73 enumera cinco supuestos en los que un Estándar deja de ser voluntario. Dos le tocan de cerca a cualquier empresa mexicana:
- Fracción III — cuando las dependencias y entidades públicas de cualquier orden de gobierno lo hacen exigible «para los bienes o servicios que adquieran, liciten, arrienden o contraten».
- Fracción IV — cuando «las personas manifiesten que sus bienes, productos, procesos y servicios son conformes con los Estándares».
Por ello «la ISO 27001 no es obligatoria en México» es cierta solo a medias. Nadie le va a multar por no tenerla. Pero en cuanto entra a un concurso, firma un contrato con una cláusula de seguridad o presume el cumplimiento en su publicidad, la norma se le vuelve exigible por una vía o por otra.
Tres frentes donde en México ya se la están pidiendo
Si le vende al gobierno federal
El 17 de diciembre de 2025 se publicó en el DOF la Política General de Ciberseguridad para la Administración Pública Federal, emitida por la Agencia de Transformación Digital y Telecomunicaciones (ATDT), en vigor desde el día siguiente.Es una política dirigida a las dependencias y entidades federales, no a las empresas privadas. Pero uno de sus ejes es la cadena de suministro, y ahí sí le llega a usted.El documento parte de que «la seguridad de la Administración Pública Federal no depende únicamente de sus propias capacidades, sino también de la solidez de los terceros y proveedores que participan en la provisión de productos y servicios tecnológicos», y pide incorporar a la relación con esos proveedores requisitos contractuales mínimos, cláusulas de auditoría y verificación, y la obligación de aportar evidencias de cumplimiento y certificaciones.
La propia política incluye a la ISO/IEC 27001 en su glosario y la describe como «norma global reconocida en materia de Sistema de Gestión de la Seguridad de la Información (SGSI), ciberseguridad y privacidad publicada por la ISO y la Comisión Electrotécnica Internacional (IEC)».Traducción comercial: si su empresa provee tecnología o servicios al sector público federal, la pregunta sobre cómo acredita su seguridad va a llegar. Un certificado ISO 27001 la responde en una hoja.
Si está en el sector financiero o fintech
Aquí la exigencia ya es regulación dura, y lleva años.Bancos. Las Disposiciones de carácter general aplicables a las instituciones de crédito —la Circular Única de Bancos de la CNBV— establecen en sus artículos 168 Bis 11 a 168 Bis 17 un sistema de control interno en materia de seguridad de la información que «procure su confidencialidad, integridad y disponibilidad», la obligación de designar un CISO nombrado por el director general y con reporte directo a él, y una cadena de avisos ante incidentes: notificación inmediata a la Comisión, el detalle en 5 días hábiles, el plan de trabajo correctivo en 15 días hábiles y el aviso a los clientes en 48 horas cuando se comprometió información sensible.
Fintech. La Ley para Regular las Instituciones de Tecnología Financiera (DOF, 9 de marzo de 2018) pide en su artículo 39, fracción VI, «las medidas y políticas en materia de control de riesgos operativos, así como de seguridad de la información, incluyendo las políticas de confidencialidad…». Las disposiciones secundarias van más lejos y suman CISO, Plan de Continuidad de Negocio, escaneos de vulnerabilidades periódicos y pruebas de penetración realizadas por un tercero independiente.
Ninguna de estas reglas le exige certificarse en ISO 27001. Lo que hacen es pedirle, por separado y sin manual de instrucciones, casi todos los ingredientes que la ISO 27001 ya trae ordenados: análisis de riesgos, controles, roles, gestión de incidentes, continuidad, evidencias y revisión periódica. Implantar el SGSI le da la estructura para sostener el cumplimiento regulatorio sin reinventarlo cada año, y de paso le deja un certificado que sus clientes entienden.
Si sus clientes son corporativos o está exportando servicios
Este es el frente más común y el que menos aviso da. Llega en forma de cuestionario de proveedor de veinte páginas, de una cláusula de seguridad en un contrato o de una pregunta directa en la mesa: ¿están certificados en ISO 27001?Si la respuesta es no, casi siempre viene una auditoría de segunda parte, un plan de remediación y meses de ida y vuelta. Si la respuesta es sí, la conversación se acaba ahí.
Para las empresas mexicanas que exportan servicios de tecnología, BPO, desarrollo de software o call center, el certificado dejó de ser un diferenciador y se volvió un requisito de entrada.
ISO 27001 y la Ley Federal de Protección de Datos Personales
Desde el 21 de marzo de 2025 está en vigor la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025.Para lo que nos ocupa aquí, tres artículos importan:- Artículo 18 — «Todo responsable deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.»
- Artículo 19 — las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los titulares deben informárseles de forma inmediata.
- Artículo 20 — obligación de establecer controles para que todas las personas que intervienen en el tratamiento guarden confidencialidad.
Ahora, seamos exactos, porque en el mercado se promete de más: la ley no le exige certificarse en ISO 27001. Lo que le exige es tener medidas de seguridad y poder demostrarlas ante la autoridad. La ISO 27001 es, hoy por hoy, la manera más reconocida de tenerlas ordenadas y de que un tercero independiente dé fe de que existen y funcionan.
El certificado que sí le sirve: acreditación en México
Aquí hay una distinción que le puede ahorrar un disgusto en una licitación.Conviene aclararlo de entrada: Grupo ACMS no emite certificados. Somos la consultora que prepara e implanta el sistema; el certificado lo firma un organismo de certificación independiente. Y así tiene que ser, porque un certificado emitido por quien implantó el sistema no probaría nada.
La segunda advertencia es que hay certificados que no le van a servir. Lo que respalda a uno frente a un cliente o frente a una convocatoria es que el organismo que lo emite esté acreditado. En México, esa acreditación la otorgan entidades autorizadas por la Secretaría de Economía:
Entidad de acreditación | Autorización |
ema — Entidad Mexicana de Acreditación, a.c. | 15 de enero de 1999 — primera entidad de acreditación de gestión privada del país. |
MAAC — Mexicana de Acreditación, a.c. | 2020 y 2022 |
SIAAC — Sociedad Internacional de Acreditación, a.c. | 2022 |
ISOAPPWEB: dónde va a vivir su sistema
En una auditoría de seguimiento hay una petición que se repite casi palabra por palabra: muéstreme la evidencia. No el procedimiento, la evidencia. La revisión de accesos del trimestre pasado, el acta de la última revisión por la dirección, el incidente que se cerró en marzo y quién lo cerró.Cuando eso está repartido entre correos, carpetas compartidas y la computadora de quien llevaba el tema, la auditoría se convierte en una búsqueda contrarreloj.ISOAPPWEB es la plataforma que desarrollamos en Grupo ACMS para que esa petición se resuelva abriendo una pantalla. Su módulo de ISO 27001 guarda, en un solo sitio y con fecha:
- El inventario de activos, con su responsable y su clasificación, actualizable por cada área.
- La matriz de riesgos conectada con la Declaración de Aplicabilidad, de modo que se ve qué controles toca cada riesgo.
- Cada documento con su número de versión, su fecha de aprobación y quién la firmó.
- El registro de incidentes, no conformidades y acciones correctivas, con su seguimiento hasta el cierre.
- Los objetivos e indicadores de seguridad, con su histórico para la revisión por la dirección.
- El plan de capacitación y la constancia de quién la recibió y cuándo.
- Perfiles de acceso por área, para que cada quien vea únicamente lo suyo.
Capacitamos a su equipo en la plataforma durante el propio proyecto, no en la última semana. Para cuando llega el auditor, sus responsables llevan meses trabajando ahí y las evidencias se generaron solas.
¿Es obligatorio usarla? No. Si su empresa ya tiene una herramienta en la que quiere trabajar, nos adaptamos a ella y le montamos el sistema encima.
El recorrido del proyecto y a quién va a necesitar
Esta es la ruta habitual. La columna de la derecha es la que suele sorprender: la ISO 27001 no es un proyecto del área de sistemas, y conviene saber desde el día uno a quién va a tener que sentar en la mesa.Etapa | Qué queda documentado | Quién de su empresa participa |
Diagnóstico y decisión de alcance | Informe de brechas y alcance del SGSI aprobado | Dirección general y responsable del área que se certifica |
Contexto y partes interesadas | Análisis de contexto y requisitos aplicables | Dirección, comercial y jurídico |
Mapa de activos y riesgos | Metodología, inventario de activos e informe de riesgos | Cada área dueña de su información, con sistemas de apoyo |
Selección de controles | Declaración de Aplicabilidad y plan de tratamiento | Dirección, sistemas y responsables de proceso |
Redacción y puesta en marcha | Políticas, procedimientos y registros en operación | Responsables de proceso, sistemas y recursos humanos |
Concientización del personal | Plan de capacitación y constancias de asistencia | Toda la plantilla dentro del alcance |
Verificación antes del auditor | Informe de auditoría interna y acta de revisión por la dirección | Dirección general, sin delegar |
Auditoría de certificación | Cierre de no conformidades y certificado emitido | El equipo del alcance, acompañado por nosotros |
Cuánto tarda y de qué depende la inversión
Poner aquí un precio de catálogo sería engañarle: dos empresas del mismo tamaño pueden llevar proyectos muy distintos. Lo que sí podemos anticiparle son las cinco variables que medimos en el diagnóstico y que explican casi toda la diferencia entre una cotización y otra.- Cuántas personas quedan dentro del alcance. Es el dato que más pesa, porque además es el que usan los organismos de certificación para calcular sus días de auditoría.
- Qué entra y qué se queda fuera. Un servicio en una sede no se parece a la operación completa repartida en cuatro estados.
- Cómo es su tecnología. Desarrollo propio, nube, terceros con acceso a sus sistemas y tratamiento de datos personales sensibles añaden controles y evidencias.
- De dónde parte. Si ya opera con ISO 9001, tiene políticas de sistemas escritas o lleva un control de accesos ordenado, buena parte del camino está andada.
- A qué ritmo puede avanzar su equipo. Es lo que más alarga los proyectos, y también lo único que está enteramente en su mano.
Una vez emitido, el certificado se mantiene en un ciclo de tres años con auditorías de seguimiento cada año y una recertificación al final del ciclo.Un apunte para que no haya sorpresas en el presupuesto: la consultoría y la auditoría de certificación son dos contrataciones separadas, con dos proveedores distintos y dos facturas distintas.
En el diagnóstico le damos las dos cifras por separado, aunque la segunda no la cobremos nosotros.
Si ya tiene otro sistema de gestión certificado
Las normas de sistemas de gestión comparten el mismo esqueleto, así que si su empresa ya está certificada en ISO 9001 o en ISO 14001 hay piezas que no se construyen otra vez: se amplían. El control de la documentación, el tratamiento de no conformidades, el programa de auditoría interna y la revisión por la dirección pueden ser los mismos, con la seguridad de la información añadida como un capítulo más.En la práctica eso significa tres cosas concretas para usted:
- Un solo programa de auditoría interna en lugar de dos calendarios que se pisan.
- Una sola revisión por la dirección al año, con un acta que cubre calidad y seguridad.
- La posibilidad de contratar auditorías combinadas con el mismo organismo certificador, que suele salir más barato que dos auditorías separadas.
La ISO 27001 también es el cimiento sobre el que después se construyen las demás normas de seguridad de la información y privacidad. Si cree que va a necesitar más de una, dígalo en el diagnóstico: planificarlas juntas cuesta menos que encadenarlas. El detalle de cuáles implantamos en México está en nuestra página de seguridad de la información.
Por qué contar con GRUPO ACMS
Compromisos y garantías de nuestro servicio | ||
Aspecto | Ventaja líder | |
Experiencia | Más de 25 años de trayectoria en consultoría y formación. Fundado en 1998, con más de 1.000 proyectos implantados con éxito. | |
Certificados propios | Disponemos de los certificados ISO 9001, ISO 27001 y Marca Madrid Excelente en ACMS España. | |
Porfolio y diversificación | Amplia gama de servicios de consultoría en certificación (ISO 9001, ISO 14001, ISO 45001, etc.) y acreditación (ISO 15189, ISO 17025, ISO 17020, entre otras). Capacidad para abordar proyectos integrados y multisectoriales. | |
Precio | Presupuestos personalizados con condiciones de pago adaptadas a las necesidades de cada cliente. | |
Garantía | Compromiso de acompañamiento hasta la certificación o acreditación, asegurando resultados tangibles. | |
Desarrollo y soporte | Asesoramiento continuo durante todo el proceso de implantación, desde el diagnóstico inicial hasta la auditoría final. | |
Referencias | El GRUPO ACMS trabaja con pequeñas y grandes empresas tanto del sector público como privado. Conozca los testimonios de nuestros clientes . | |
Oficinas | Presencia nacional e internacional con sedes en Madrid, Barcelona, Burgos, México y Chile, lo que permite cercanía y atención personalizada. | |
Software propio | Plataforma ISOAPPWEB desarrollada internamente para el mantenimiento y control de la norma ISO 9001 que agiliza procesos, reduce costes y facilita el control documental. | |
Plataforma formación | Campus online con cursos especializados en diversas áreas donde ofrecemos asesoramiento. Incluye programas actualizados y accesibles en modalidad e-learning. | |
Grupo ACMS Consultores. Consultora especializada en diseño, implantación y mantenimiento de Sistemas de gestión | ||