Si tu empresa está certificada en ISO 27001:2013, La norma internacional para Sistemas de Gestión de Seguridad de la Información (SGSI), que detalla las buenas prácticas para proteger la confidencialidad, integridad y disponibilidad de la información, te conviene saber que el reloj ya está corriendo. El próximo 31 de octubre de 2025 esa versión dejará de ser válida. ¿Qué significa esto en la práctica? Que todas las organizaciones deberán migrar a la nueva ISO 27001:2022 si quieren mantener su certificación y la confianza de clientes y proveedores.
La norma ISO 27001 es el estándar internacional más reconocido en gestión de la seguridad de la información. Su versión 2013 marcó un antes y un después, pero la tecnología, las amenazas y las exigencias regulatorias han evolucionado. Por eso, en 2022 se publicó la nueva actualización.
¿Qué cambia con ISO 27001:2022?
Los principales ajustes se concentran en el Anexo A, que ahora se alinea con la ISO 27002:2022. Se reorganizan los controles, pasando de 114 a 93, agrupados en 4 bloques temáticos:
- Organizativos
- Personas
- Físicos
- Tecnológicos
Además, se incorporan controles clave en áreas como seguridad en la nube, inteligencia de amenazas, monitorización, privacidad y resiliencia.
¿Qué pasa si no actualizas a tiempo?
Si tu certificación actual expira después del 31 de octubre de 2025, ya no será reconocida. Esto puede tener consecuencias graves:
- Pérdida de confianza de clientes que exigen una certificación vigente.
- Riesgos en licitaciones públicas o contratos con cláusulas de cumplimiento.
- Costes adicionales por retrasar el proceso de transición.
¿Qué debes hacer ahora?
El cambio no es solo “actualizar papeles”. Requiere una revisión profunda del Sistema de Gestión de Seguridad de la Información (SGSI), incluyendo:
- Actualizar el análisis de riesgos.
- Revisar políticas y procedimientos.
- Incorporar los nuevos controles y evidencias.
- Capacitar a los equipos en los cambios.
Una buena práctica es comenzar cuanto antes con un análisis GAP, que identifique las brechas (gaps) o diferencias para definir las acciones necesarias para solucionarlas: identificar qué tienes cubierto y qué te falta respecto a la versión 2022. Esto te permitirá planificar la transición con tiempo, sin prisas de última hora.
El mensaje es claro: La norma ISO 27001:2013 tiene fecha de defunción, y esa fecha es el 31/10/25. No se trata solo de cumplir con una norma, sino de mantener la confianza, competitividad y resiliencia de tu organización. Nuestra Mi recomendación: empieza hoy mismo a preparar tu migración. No lo dejes para el final.