Antes de cotizar nada, hay una pregunta que decide el resto: ¿te están pidiendo el certificado, o te están pidiendo que demuestres que operas con ese nivel de control? No son lo mismo y la diferencia entre una y otra puede ser de un año de trabajo. En buena parte de los casos que vemos, lo que el cliente necesita se resuelve contestando bien su cuestionario de seguridad, y la certificación resulta ser una conclusión a la que llegó alguien de tu lado, no una exigencia que vino del otro.
Si después de preguntarlo resulta que sí es obligatoria, entonces conviene saber en qué te estás metiendo. Esto es lo que cuesta, lo que tarda y qué puedes ofrecer mientras tanto.
¿Qué te están pidiendo exactamente?
“Necesitamos que estén certificados” aparece de cuatro formas distintas, y solo una de ellas te obliga de verdad:
| Cómo llega | Qué significa en realidad |
|---|---|
| Requisito obligatorio en la licitación o el contrato | Binario. Sin certificado vigente, no participas |
| Criterio de evaluación con puntos | Puedes perder puntos y aun así ganar. Se compensa con otras cosas |
| “Prácticas alineadas a ISO 27001” | No piden certificado. Piden evidencia. Se contesta con un cuestionario bien respondido |
| Una pregunta en un cuestionario de seguridad | Es una casilla entre cientos. Un “no, con este plan” normalmente pasa |
La acción más rentable de todo este artículo es un correo de tres líneas a tu contacto en el cliente: ¿la certificación es un requisito obligatorio para este contrato, o se puede acreditar el cumplimiento con evidencia? ¿Para qué fecha la necesitan? Pedirlo por escrito no te quema con nadie —es una pregunta normal de proveedor serio— y la respuesta te ahorra meses de trabajo mal dirigido. Nos ha tocado ver empresas arrancando un proyecto de certificación completo para un requisito que nunca fue obligatorio.
¿Cuánto cuesta de verdad?
El costo tiene cuatro partidas y la que te van a cotizar es la más chica:
- El organismo certificador. La auditoría de Etapa 1 y Etapa 2. Se cotiza por días-auditor y depende del alcance y del número de sedes. Es la única partida con precio de lista.
- El consultor, si decides usar uno para armar el sistema de gestión.
- La remediación técnica. Lo que hay que arreglar en la infraestructura para que los controles declarados existan. Suele ser la partida más grande y no aparece en ninguna cotización, porque nadie sabe de cuánto es hasta que alguien revisa.
- El tiempo de tu gente. Reuniones, recopilación de evidencia, auditoría interna. No sale del banco, sale de la operación.
No te damos cifras porque dependen por completo del alcance y de en qué estado esté tu infraestructura. Lo que sí puedes hacer esta semana es pedir cotización a tres organismos certificadores: es gratis, tardan poco, y te da el piso real sobre el que calcular lo demás.
Dos cosas que sorprenden a la dirección. La primera: no es un gasto único. El certificado vive en un ciclo de tres años, con auditorías de seguimiento en el primero y el segundo, y recertificación en el tercero. La segunda: verifica que el organismo esté acreditado —en México por la ema, o por un organismo extranjero firmante del acuerdo multilateral del IAF—. Circulan certificados baratos de organismos sin acreditación que el área de compras de tu cliente va a rechazar, y ahí perdiste el dinero y el tiempo.
¿Cuánto tarda y por qué no se puede acelerar?
Para una empresa mediana que empieza de cero, entre nueve y dieciocho meses. El límite no es la documentación, que se puede escribir rápido pagando bien. El límite es que varios controles exigen historial: el auditor quiere ver ciclos de gestión de vulnerabilidades de varios trimestres, registros de cambios acumulados, bitácoras con retención, una auditoría interna que ya se haya hecho. Ese historial solo se produce con el reloj corriendo y no se puede comprar.
Por eso, si tu cliente te pide el certificado en seis meses, la respuesta honesta no es que sí. Es un plan con una fecha creíble y algo que ofrecer mientras tanto. El detalle de qué controles tardan y por qué está en qué le pide la ISO 27001 a tu infraestructura.
¿Qué puedes ofrecer mientras tanto?
Esta es la sección que más sirve, porque casi nadie la plantea. El comprador del otro lado no necesita un proveedor perfecto: necesita poder justificar la contratación ante su propio auditor. Tienes cuatro cosas que ofrecerle, ordenadas de menos a más esfuerzo:
- Contestar su cuestionario de seguridad con evidencia. Políticas, bitácoras, el reporte de una restauración probada. Es lo que resuelve la mayoría de los casos y está desarrollado en tu primer cliente grande te va a mandar un cuestionario de seguridad.
- Una carta de compromiso con plan y fechas. Qué controles ya tienes, qué te falta, qué haces mientras tanto y cuándo lo cierras. Un área de riesgos puede archivar un hueco acotado y fechado; no puede archivar una celda en blanco.
- Una evaluación de brechas hecha por un tercero. No es certificación, pero es evidencia independiente de que alguien externo revisó y de que hay un plan. Cuesta una fracción y se entrega en semanas.
- Certificar un alcance mínimo. Si el certificado es inevitable, que sea del tamaño más chico que satisfaga al cliente.
¿Conviene certificar toda la empresa?
Casi nunca. La norma te deja definir el alcance de tu sistema de gestión, y esa decisión es la palanca de costo más grande que vas a tomar en todo el proyecto.
Un alcance de “toda la empresa” mete cada sede, cada servidor y cada proceso a la auditoría. Un alcance acotado al servicio que tu cliente contrata y a la infraestructura que lo sostiene puede ser una fracción del trabajo, con un certificado igual de válido. El certificado dice cuál es el alcance, así que el cliente va a ver exactamente qué cubriste — y por eso conviene acordar el alcance con él antes de contratar al organismo certificador, no después.
La tentación de dirección suele ser el alcance amplio porque suena mejor. Nadie le ha puesto número al costo técnico de esa decisión, y ese número lo tiene el área de sistemas.
¿Cómo decidir?
| Tu situación | Qué haríamos |
|---|---|
| Requisito obligatorio por escrito, para ingreso que puedes cuantificar | Adelante, con alcance mínimo acordado con el cliente |
| Criterio con puntos, o varios clientes preguntando | Todavía no. Cuestionario con evidencia y evaluación de brechas; se reevalúa en seis meses |
| Una pregunta suelta en un cuestionario | Contéstalo con un “no, con este plan”. No abras un proyecto |
| Nadie lo pide, pero quieres vender a corporativo | Haz el trabajo técnico sin certificarte. Es la mayor parte del beneficio a una fracción del costo |
Ese último renglón merece una línea más. Buena parte del valor de la ISO 27001 no está en el papel: está en tener el inventario al día, las cuentas administrativas bajo control, las bitácoras centralizadas y los respaldos probados. Eso te sirve para contestar cualquier cuestionario, te reduce el riesgo real, y el día que el certificado sí sea obligatorio llegas con el trabajo pesado hecho y un proyecto de meses en lugar de años.
Y una advertencia que conviene decir en voz alta: un certificado obtenido como teatro es un pasivo. Firmaste una Declaración de Aplicabilidad diciendo que operas controles que no operas. El día que haya un incidente con ese cliente, ese documento se lee distinto.
Lista de verificación rápida
- ¿Tengo por escrito del cliente si la certificación es obligatoria y para cuándo?
- ¿Sé cuánto ingreso depende de ese requisito?
- ¿Pedí cotización a tres organismos certificadores acreditados?
- ¿Alguien midió en qué estado está la infraestructura, o estoy presupuestando a ciegas?
- ¿Acordé el alcance con el cliente antes de contratar la auditoría?
- ¿Tengo lista una respuesta intermedia por si la fecha no alcanza?
- ¿Entendimos en dirección que es un ciclo de tres años y no una compra única?
Si contestaste que no a las dos primeras, no tienes un problema de certificación todavía. Tienes un correo pendiente.
No somos consultores de certificación ni organismo certificador. Lo que medimos en el diagnóstico es la tercera partida, la que nadie cotiza: en qué estado están accesos, bitácoras, respaldos, vulnerabilidades y segmentación. Ese número es el que te falta para decidir con cabeza fría, y sirve igual si al final decides no certificarte.