ISO 27001:2022 – Qué ha cambiado y cómo prepararse de forma eficaz

por Gemma Rufino | 2 Jun, 2025

La norma internacional ISO/IEC 27001:2022 representa una evolución clave en la gestión de la seguridad de la información. Con un enfoque más claro, actualizado y alineado con las necesidades reales de las organizaciones, esta versión sustituye a la edición de 2013 y será obligatoria para las certificaciones a partir de octubre de 2025.

Esta actualización no solo introduce ajustes técnicos: supone también un punto de inflexión estratégico para aquellas empresas que desean profesionalizar su modelo de seguridad, alinearse con normativas como NIS2, RGPD o DORA, y reforzar la confianza que proyectan al mercado.

Contenido del artículo

¿Qué es la ISO 27001 y por qué optar por su certificación?

ISO 27001 es el estándar internacional para establecer, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Proporciona una estructura sólida para proteger los datos, gestionar riesgos tecnológicos y aumentar la resiliencia empresarial. Además, ofrece garantías a clientes, inversores, partners y organismos públicos.

Principales cambios en la nueva versión de 2022

La revisión de 2022 mejora tanto la estructura como el lenguaje de la norma, facilitando su comprensión y alineación con otros estándares ISO. Aunque no implica rehacer el SGSI desde cero, sí exige una revisión minuciosa de procesos, documentación y controles existentes.

Es probable que, al buscar más información, hayas intentado acceder al contenido completo de la norma sin éxito. Esto se debe a que ISO/IEC 27001:2022 está protegida por derechos de autor y se considera una publicación comercial. Su distribución gratuita no está permitida, y solo puede adquirirse a través de organismos oficiales como AENOR o directamente desde ISO. Para ayudarte, te resumimos a continuación los cambios más relevantes:

Cláusula 4.4: exige definir los procesos del SGSI y sus interacciones.
Cláusula 6.2: los objetivos deben ser medibles, con responsables asignados y criterios de seguimiento.
Cláusula 8.1: se requiere control documentado sobre los procesos operativos.
Estilo más claro y coherente con otras normas ISO, lo que facilita su integración en sistemas de gestión existentes (como ISO 9001 o 14001).

Proceso de certificación ISO 27001:2022 como sistema de gestión de seguridad de la información en empresas

Anexo A de ISO 27001:2022 – Controles actualizados y nuevos requisitos

Uno de los cambios más visibles es la reestructuración del Anexo A, que reduce el número de controles (de 114 a 93) y los organiza en 4 bloques temáticos:

Organizacionales (37)
De personas (8)
Físicos (14)
Tecnológicos (34)

Entre los nuevos controles destacan:

Inteligencia de amenazas
Seguridad en entornos cloud
Gestión de identidades
Protección de datos en movilidad
Eliminación segura de información
Seguridad del código fuente

👉 Esta reorganización no relaja los requisitos: los hace más comprensibles y aplicables en entornos reales.

Cómo adaptar tu certificación ISO 27001 a la versión 2022

Si tu empresa ya está certificada con la versión 2013, deberás adaptarte a ISO 27001:2022 antes del 31 de octubre de 2025. A partir de abril de 2024, ya no podrán emitirse nuevas certificaciones con la versión anterior.

Recomendaciones prácticas:

Revisa el análisis de riesgos con los nuevos controles.
Actualiza la Declaración de Aplicabilidad (SoA).
Evalúa qué controles deben integrarse o reforzarse.
Documenta los procesos y políticas afectadas.
Forma a los equipos responsables.
Programa una auditoría interna de transición.

Qué implica implementar y certificar ISO 27001:2022 en tu empresa

Implantar un SGSI no es solo una cuestión de controles: requiere visión, estrategia y una implementación meticulosa:

Diagnóstico inicial y evaluación de madurez.
Diseño y documentación de procesos y políticas.
Aplicación técnica de medidas y controles.
Formación del equipo humano.
Auditoría interna y acompañamiento externo.

💡 En Edorteam llevamos más de 10 años acompañando a empresas en este proceso, con un enfoque que combina el cumplimiento legal con soluciones tecnológicas eficaces, adaptadas al tamaño y sector de cada organización.

¿Qué está en juego si no actúas?

La entrada en vigor de la Directiva NIS2 y otras regulaciones sectoriales aumenta la exigencia sobre seguridad de la información. No adaptarse a tiempo puede implicar:

Riesgo de sanciones o incumplimientos legales
Pérdida de confianza de clientes y socios
Bloqueo en licitaciones o grandes proyectos
Ser considerado el eslabón débil en la cadena de suministro

Consultoría ISO 27001: cómo transformar el cumplimiento en valor

Desde Edorteam ayudamos a transformar el cumplimiento normativo en un activo estratégico. Te acompañamos en todo el proceso, desde el diagnóstico hasta la auditoría final, con un equipo técnico y jurídico alineado contigo.